표준 개인정보 보호지침
제25조(개인정보의 유출) 개인정보의 유출은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것으로서 다음 각 호의 어느 하나에 해당하는 경우를 말한다.
1. 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우
2. 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우
3. 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장 매체가 권한이 없는 자에게 잘못 전달된 경우
4. 기타 권한이 없는 자에게 개인정보가 전달된 경우
개인정보 노출방지 안내서
노출이란 개인정보를 누구든지 알아볼 수 있어 언제든지 유출로 이어질 수 있는 상태를 말하며, 유출이란 처리자의 자유로운 의사에 의하지 않고 통제권을 상실하거나 권한없는 자의 접근을 허용한 것을 의미함
o 개인정보 ‘유출’은 처리자의 통제권 상실 또는 권한 없는 자의 접근 중 하나만 충족해도 해당되는바, 그래서 표준개인정보보호지침은 ‘유출’에 대하여 통제권이 상실된 상태 또는 권한 없는 자가 접근하는 상태로 보고 있음
o 그렇다면 유출에서 개념정의한 상태를 제외한 상태가 존재하는데, 그 상태가 바로 권한 없는 자가 접근할 수 있는 상태인데 이것이 바로 노출에 해당함
o 노출은 유출의 전 단계에 해당하지 않음. 왜냐하면 접근성으로 본다면 노출 이후 유출되지만, 통제권 상실 측면을 본다면 노출과 유출은 전혀 관련성이 없기 때문임
o 누출에 관한 대법원 2011다24553 판결은 ‘통제권 상실 and 권한 없는 자의 접근 가능성’으로 보는 반면, 표준개인정보보호지침은 ‘통제권 상실 or 권한 없는 자의 접근’으로 보고 있음
GS칼텍스 사건 : 대법원 2014. 5. 16. 선고 2011다24555,24562 판결
[1] 정보통신망 이용촉진 및 정보보호 등에 관한 법률로 보호되는 개인정보의 누출이란 개인정보가 해당 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미하는바, 어느 개인정보가 정보통신서비스 제공자의 관리·통제하에 있고 개인정보가 제3자에게 실제 열람되거나 접근되지 아니한 상태라면, 정보통신서비스 제공자의 기술적·관리적 보호조치에 미흡한 점이 있어서 제3자가 인터넷상 특정 사이트를 통해 정보통신서비스 제공자가 보관하고 있는 개인정보에 접근할 수 있는 상태에 놓여 있었다고 하더라도 그것만으로 바로 개인정보가 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 내용을 알 수 있는 상태에 이르게 되었다고 할 수는 없다.
[2] 甲 주식회사가 개인휴대통신서비스를 제공하는 乙 주식회사로부터 서버와 연동하는 웹사이트의 시스템 점검을 위하여 서버와 연동할 수 있는 아이디와 비밀번호를 임시로 부여받았으나 시스템 점검 후 아이디와 비밀번호를 삭제하지 아니하여 위 웹사이트의 폰정보 조회 페이지에 휴대폰번호를 입력하면 휴대폰번호 가입자의 개인정보가 서버로부터 전송되는 상태에 있었음을 이유로, 乙 회사가 제공하는 개인휴대통신서비스에 가입한 丙 등이 乙 회사 등을 상대로 개인정보 누출로 인한 손해배상을 구한 사안에서, 위 웹사이트의 폰정보 조회 페이지에 丙 등의 휴대폰번호를 입력하기 전에는 丙 등의 개인정보는 서버에 그대로 보관된 채 아무런 접근이 이루어지지 않으며 乙 회사가 관리·통제권을 행사하여 위 웹사이트와 서버가 더 이상 연동하지 않도록 함으로써 丙 등의 개인정보에 대한 접근과 전송 가능성을 없앨 수 있었던 상태에 있었으므로, 丙 등의 휴대폰번호가 위 웹사이트의 폰정보 조회 페이지에 입력되었는지가 확인되지 않은 상황에서 위 웹사이트와 서버가 연동하고 있었다 하더라도 丙 등의 개인정보가 乙 회사의 관리·통제권을 벗어나 제3자가 내용을 알 수 있는 상태에 이르게 되었다고 볼 수 없다고 한 사례.
* 법무법인 민후 김경환 대표변호사 작성, 블로그(2021. 11. 6.) 기고.
