보안서약서에는 어떠한 내용이 들어가야 하는가? 많은 보안담당자의 초미의 관심사가 아닐 수 없다. 보안서약서에 포함되어야 하는 각 조항을 구체적으로 살펴보기로 한다. 1) 보유정보의 비밀유지 및 정보의 유출ㆍ누설ㆍ공개 금지 조항 보안서약서의 가장 기본적인 내용이라 할 수 있다. 다만 이 조항 작성시 주의해야 할 것은 비밀유지의 대상을 어느 정도 구체적으로 기술해야 한다는 것이다. ‘회사가 생성하는 모든 정보’ 등으로 추상적으로 기재하면 이 조항이 무효가 될 수 있기 때문이다. 비밀유지의 대상은 현재 보유정보뿐만 아니라 앞으로 보유할 수 있는 정보도 포함하는 것이 타당하다. 2) 외부 비밀정보의 보유ㆍ이용 금지 조항 특히 경력직 임직원의 경우 이전 직장에서의 비밀정보를 현재 직장 PC 등에 보관하고 사용하는 경우가 적지 않다. 이 경우 현재 직장은 본의 아니게 기술유출 사건의 공범으로 몰릴 수 있는바, 이러한 점을 미연에 차단하고자 외부의 비밀정보를 회사 PC 등에 보관하지 못하게 하고 이를 이용하지 못하도록 하기 위한 조항이다. 3) 권한 외 접근이나 출입 금지 조항 직원이 보유한 정보 외의 정보에 무단으로 접근하는 것을 막고, 시스템 오류 등으로 우연히 접근할 수 있더라도 열람하지 못하게 하며, 주어진 접근권한을 벗어나서 접근을 시도하거나 출입이 금지된 곳의 출입을 금지하지 못하게 하기 위한 조항이다. 접근하지 못하는 정보 등에 대하여도 비밀유지의무가 있음을 밝히고 있다. 4) 업무외 이용 및 사적 이용 금지 조항 직원이 보유한 정보나 우연히 취득한 회사의 정보 등을 업무 외적으로 이용하거나 개인적 용도나 사익을 추구하기 위하여 이용하는 것을 금지하기 위한 조항이다. 5) 퇴사시 반납 및 개인적 보유 금지 조항 불법적으로 정보 취득을 금지시키는 외에 적법하게 취득한 정보라도 퇴사시 반드시 반납하도록 의무를 부여하는 조항이다. 예컨대 회사가 업무를 위하여 준 정보라도 퇴사시 반드시 반납하여야 하는바, 이를 관철하기 위한 조항이다. 6) 회사의 보안정책 준수 및 관리상의 주의의무 조항 출입카드 상시 착용ㆍ정보 반출시 승인 절차ㆍ스마트폰 반입 금지ㆍ퇴사시 ID 반납 등의 보안정책 또는 영업비밀관리규정에 대한 준수의무를 부과하는 조항이다. 중요한 보안정책은 보안서약서의 조항 형식으로 만드는 것이 바람직하지만 모든 보안정책이 보안서약서에 포함될 수 없는바, 비록 보안서약서에 포함되지 않는 것이라도 회사의 보안정책을 따라야 한다는 의미이다. 보안서약서의 일반 조항이라 할 수 있다. 나아가 회사의 정보는 선량한 관리자의 주의의무를 다하여 관리하여야 하는바, 관리상의 주의의무 조항은 부주의한 관리를 막기 위한 조항이다. 7) 회사 정보의 자문이나 교육의 금지 조항 기술 유출은 서류나 전자파일 등의 유출 형식으로 이루어지기도 하지만, 경우에 따라서는 교육이나 자문 등의 형식으로 이루어지도 한다. 교육이나 자문 등을 통한 기술유출은 개념상 영업비밀 유출로 보기 어려운 점이 있는바, 이러한 문제점을 해결하기 위한 조항이다. 다만 통상적인 학술활동이나 교수활동까지 막는 것은 위헌적 소지가 있기 때문에 적절한 선을 지키는 것이 필요하다. 8) 생성 정보의 회사 소유 인정 조항 많은 근로자들은 자신이 생성한 정보나 파일은 자신의 것이라고 생각하는 경향이 있고, 이러한 생각 때문에 기술유출에 대한 죄책감을 느끼지 못하기도 한다. 생성 정보의 회사 소유 인정 조항은 근로자들의 잘못된 생각을 바로 잡고 기술유출의 근원적 동기를 원천적으로 차단하기 위한 조항이라 할 수 있다. 9) 모니터링ㆍ감사 수인 및 분쟁시 회사에 대한 협조 조항 보안 목적이라도 회사가 직원의 이메일, PC 등을 열어보고 디지털포렌식하며 모니터링하기 위해서는 그 직원의 사전 동의를 얻어야 하는바, 보안서약서에 이러한 조항이 들어 있으면 긴급한 감사나 평상시 점검시에 유용하게 활용할 수 있다. 분쟁시 회사에 대한 협조 조항은 분쟁시 회사에 대한 협조를 미리 구함으로써 묵시적 공모를 줄일 수 있게 하는 조항이다. 10) 전직금지 또는 겸직금지 조항 대표적인 인적보안 조항이다. 전직금지 조항은 퇴사 이후 경쟁업체나 동종업종에 취업 또는 창업 등을 하지 않겠다는 조항이고 겸직금지 조항은 재직 중 경쟁업체나 동종업종의 회사에서 일정한 직을 맡지 않겠다는 조항이다. 전직금지 조항의 경우 기간이 지나치게 장기이면 무효가 될 수 있다는 점의 유의하여야 한다. 11) 위약벌 또는 손해배상액의 예정 중대한 보안정책의 위반이나 보안서약서 미준수의 경우에, 위약벌을 부담시키거나 손해배상액의 예정을 미리 약정하는 조항이나, 이 조항은 자칫 근로자의 심리적 거부감을 줄 수 있다는 점에 유의하여야 한다. 이상 보안서약서에 들어갈 수 있는 조항에 대하여 살펴보았다. 다만 대상이 입사자 또는 재직자이냐 아니면 퇴사자이냐, 임원이냐 아니면 직원이냐, 내부인이냐 아니면 외부인이냐, 적용시점이 상시이냐 아니면 특정 프로젝트이냐 등의 각 사정에 따라 일부 조항을 배제하거나 일부 조항을 강조하여야 한다. * 법무법인 민후 김경환 대표변호사, 디지털데일리(2017. 6. 22.) 기고.

1. 서설 최근 해외에서 유명 연예인과 그 동업자가 운영하는 A회사가 C회사로부터 대여금 반환 청구 소송을 제기 당했다는 언론 보도가 있었다. 해당 기사에는 A회사가 주장하길, “B로부터 금전을 대여한 사실은 있으나, B가 위 C에게 채권을 양도한 사실 자체를 알지 못했고, 또한 이미 원래의 채권자인 B와 대여금의 변제일을 연장하기로 합의한 사실이 있다”고 반박하며 C의 소 제기에 대하여 공개적으로 반박하였다는 내용이 있었다. 사실, 위와 같이 채무자와 원채권자인 양도인 간의 대출계약이 체결되어 그에 따라 발생한 대출채권이 양수인에게 양도되고, 이에 따라 양수인이 채무자에게 양수한 채권을 행사하며 금전의 지급을 청구하는 경우는 특별한 사건이 아니다. 이러한 일은 기업이 활동을 하다 보면 당연할 정도로 빈번히 발생하는 일이다. 돌다리도 두들겨 보고 넘어가야하기에, 채권양수도로 인한 법률관계는 기업 또는 개인사업자에게 너무나 일상적인 일인 만큼 반드시 확인해보길 바라며, 채권양수도 관계에 관한 내용을 정리하게 되었다. 2. 채권양도 관계에 관한 개관 가. 양수인의 양수금 청구의 원인사실- 채권양도계약의 체결 및 대항력의 구비 1) 채권은 채권양도계약을 채권양도인과 채권양수인이 체결하여 양도할 수 있다. 이와 같이 채권양도는 채권양도인과 채권양수인 간의 계약으로 이루어지기 때문에, 계약의 당사자가 아닌 채무자와 그 이외의 제3자에게도 채권계약이 체결되어 채권이 양수인에게 귀속되었다는 사실을 알려 대외적으로 인정받아야 한다. 이와 같이 인정받을 수 있는 효력을 ‘대항력’이라 한다. 2) 이러한 대항력은 채권양도인이 확정일자 있는 증서에 의하여 채무자에게 채권양도 통지하여 그 통지가 채무자에게 도달한 때 또는 채무자가 확정일자 있는 증서에 의하여 그 채권양도양수를 승낙한 때에 발생한다(민법 제450조 제2항). 승낙은 당사자인 채무자가 하는 것이 당연한 한편, 주의할 것은 통지는 반드시 양도인 이름으로 해야 하는 것이다. 만약 양수인이 한다면, 양도인으로부터 대리권을 위임받고 위임장을 첨부하여 양도인의 이름 및 대리인 양수인의 이름으로 통지해야 유효한 통지이다. 3) 여기서, 확정일자 있는 증서에 의한 채권양도통지란, 그 작성한 일자에 관한 완전한 증거가 될 수 있는 것으로 법률상 인정되고, 당사자가 나중에 변경하는 것이 불가능한 확정된 일자를 의미한다(대법원 2002. 4. 9. 선고 2001다80815 판결 등 다수의 판결). 구체적으로 ①공증인 또는 법원서기의 확정일자 인(印)이 있는 사문서, ②공정증서에 기입한 일자 또는 ③공무소에서 사문서에 어느 사항을 증명하고 기입한 일자가 각 확정일자에 해당한다(민법 부칙 제3조). 특히 ③공무소에서 사서문서에 어느 사항을 증명하고 기입한 일자는 우체국의 내용증명이 이에 해당한다(우편법 제15조 제1항 및 동법 시행규칙 제25조 제1항 제4호 가목). 그러나, 단순한 등기우편의 방법에 의한 배달은 배달 일자를 증명하기는 하나, 그 내용을 증명하는 것은 아니기에 등기우편의 도달일은 확정일자가 될 수 없다(대법원 2001다80815 판결 등). 4) 이와 같이 채권양도계약 및 대항력을 갖추어야 비로소 채무자 및 그 이외의 제3자에게 채권양수인에게 채권이 양수되었다는 사실을 주장하고 인정받을 수 있다. 이러한 사실들은 채권양도의 유효성을 주장하는 자, 예컨대 채권양수인이 주장·입증해야 한다. 5) 신문기사의 사안이 비록 해외에서 발생한 일이긴 하나, 국내일 경우를 가정하여 적용해본다면, B와 C는 A에 대한 B의 채권을 C에게 양수한다는 내용의 채권양수도계약을 체결한 후, B가 A에게 B의 채권이 C에게 양도되었다는 내용의 통지서를 내용증명의 방법으로 통지하여 A가 이를 수령해야만 C가 A에게 양수금을 청구할 수 있게 된다. 나. 채무자의 항변사유 그렇다면 A는 C의 청구에 무조건 채권양수금을 지급해야 하는 것일까. A는 ①채권은 C에게 귀속되지 않는다는 사유나, ②채권양도금지특약 등에 의해 채권 양도가 무효라는 사유, ③양도인에게 주장할 수 있었던 상계나 동시이행, 또는 A와 B간의 계약관계의 의사표시의 하자로 인한 취소 등의 항변을 각 주장하며 C의 청구에 대항할 수 있다. (1) C에게 채권이 귀속되지 않는다는 사유 - 도달의 선후 채권양도의 대상이 된 대상채권이 이미 양도인의 다른 채권자에 의해 가압류·압류되었거나, 또는 양도인이 이미 다른 사람에게 양도한 채권을 이중으로 재양도한 경우가 왕왕 발생한다. 이는 대상채권이 C에게 속하지 않는다는 사유인데, 채무자는 이를 주장·입증하며 양수인의 양수금 지급 청구에 대항할 수 있다. 이때 핵심이 되는 사실은 확정일자 있는 채권양도 통지서 또는 가압류·압류등 결정 정본이 채무자(민사보전처분의 절차에서는 ‘제3채무자’이나, 용어의 통일을 위하여 본 글에서는 채무자라 한다)에게 도달한 선후이다(1994. 4. 26. 선고 93다24223 전원합의체 판결). (2) 채권양도금지특약 등에 의한 채권양도의 무효 사유 채권양수도가 대항력을 갖추었다 할지라도, 만약 다만 채권의 성질이 양도를 허용하지 않거나, 양수인과 채무자 간의 계약으로 채권을 양도할 수 없다는 양도금지 특약이 있는 경우에는 양도할 수 없어, 이러한 채권양도는 원칙적으로 무효이다(민법 제449조). 그러나 양도금지 특약이 있다 할지라도, 양도금지특약의 존재를 선의의 제3자에 대해서는 양도금지 특약을 주장하며 채권양도의 효력을 부인할 수 없다(민법 제449조 제2항). 여기서 ‘선의’는 악의 또는 중과실에 의하여 양도금지특약의 존재를 알지 못하였던 경우를 포함하고, 채권 양수인의 악의나 중과실은 양도금지특약으로 채권양도의 무효를 주장하려는 자인 채무자A가 주장·증명해야 한다(대법원 2019. 12. 19. 2016다24284 전원합의체판결). (3) B에 대한 항변사유를 원용 대항력 부여의 방법으로 양도인의 통지만 있었던 경우에는 채무자가 그 채권의 지급과 관련하여 그 양도 통지가 채무자에게 도달한 날까지 발생하였던 양도인에게 주장할 수 있었던 사유를 양수인에게도 동일하게 주장할 수 있다(민법 제451조 제2항). 다만 채무자가 확정일자 있는 증서로 승낙을 하여 대항력이 부여된 경우에는 양도인에게 그 채권의 지급과 관련하여 대항할 수 있었던 사유를 양수인에게 그대로 주장할 것이라는 점을 명시해야 해당 내용을 양수인에게도 주장할 수 있고, 그러한 내용이 명시되어 있지 않았다면 이의를 유보하지 않은 승낙이 되어 양수인에게는 어떠한 점도 주장할 수 없게 된다(민법 제452조 제1항). (4) 구체적인 적용 위 각 사유들을 A가 실제로 주장할 수 있는 예를 들어보자면 아래와 같다. ㉠ 채권 귀속에 관한 사유(통지의 도달 선후) 만약에 B가 한 확정일자 있는 C와의 채권양수도를 알리는 통지서보다 먼저 B의 다른 채권자가 행한 동일한 채권에 대해 가압류·압류의 결정이 A에게 도달하였거나, B가 C 이외에도 D에게 채권을 양도하고 확정일자 있는 증서로 통지를 하였는데 D와의 채권양도 통지가 먼저 도달한 경우에는, 먼저 통지가 도달한 사람이 C에게 채권자가 된다. 이러한 경우 C는 A에게 채권자가 아니므로, A는 이와 같이 C의 통지서와 경합하는 다른 통지가 있고 그 도달 일자의 선후를 주장·증명하여 C의 청구에 대항할 수 있다. 즉, B와 C의 채권양도에 관한 확정일자 있는 B의 양도통지가 다른 그 어떤 통지보다 A에게 먼저 도달해야 C만이 유일한 채권자가 되는 것이다. ㉡ 채권양도금지특약이 있어 채권양도가 무효인 경우 만약, A와 B의 당초의 금전 대여계약에 B의 대출채권을 제3자에게 양도할 수 없다는 양도금지특약이 있고, C가 이러한 사실을 알고 있었거나 사소한 주의를 기울였어도 충분히 알 수 있었음에도 주의를 기울이지 않은 중대한 과실로 인하여 알지 못하였다는 사실을 주장·입증하면 A는 C의 청구에 대항할 수 있다. ㉢ B에 대한 항변사유를 원용 예컨대, 위 신문기사에서 A의 주장을 보도한 기사 중, A가 “B와 이미 변제기 연장의 합의가 있었다.”라고 언급했다는 부분이 있다. 만약, B가 C와의 채권양수도에 관하여 A에게 확정일자 있는 증서로 통지하기만 하였다면 A는 통지서를 수령한 그 날까지 B와의 사이에서 그 대상채권에 관하여 주장할 수 있었던 사유를 모두 주장할 수 있으므로, A는 C에게 B와 연장하기로 합의한 새로운 변제일을 유효한 변제일로 주장할 수 있다. 3. 결어 이상과 같이 채권양도양수관계에 관한 개략적이고 기본적인 원칙들을 정리해보았다. 사업을 하다가 한번쯤은 겪을 수 있는 채권양수도 법률관계를 직면하였을 때 이해관계인이 모두 적절한 이익을 취하며 법률관계가 해소하기 위해 이러한 기준을 활용할 수 있을 것이다. 그러나 유비무환이라, 3인 이상의 이해관계가 얽히는 채권양수도 법률관계의 발생, 운영 및 종료의 모든 과정 및 분쟁이 발생하였을 경우에는 가능하다면 법률가의 조력을 얻는 것이 장기적으로 당사자의 도움이 되는 길임을 마지막으로 첨언 해보는 바이다. * 법무법인 민후 한지윤 변호사 작성, 디지털데일리(2021. 10. 6.) 기고.

이번 연재는 개인정보 관련 집단소송 사례 마지막 연재로, 우리나라 개인정보보호 역사에 크나큰 공헌을 한 역대 10대 개인정보 관련 집단소송 사례들을 정리함으로써 개인정보보호의 역사가 어떻게 흘러왔는지를 살펴보고자 한다. 10. [2011. 7.] 네이트·싸이월드 해킹 사건 성명불상의 해커는 2011. 7. 21. 00:40경 SK컴즈 DB기술팀 직원의 컴퓨터에 역접속을 시도하는 기능을 가진 악성프로그램을 유포하고, 2011. 7. 26.부터 2011. 7. 27.까지 중국 내 불상지에서 자신의 컴퓨터로 직원의 컴퓨터에 원격접속하여 SK컴즈 정보통신망에 침입했다. 그리고 네이트 회원정보가 저장되어 있는 데이터베이스 서버, 싸이월드 회원정보가 저장되어 있는 데이터베이스 서버, 중복 저장 회원정보가 저장되어 있는 데이터베이스 서버에 침입하여 위 각 서버에서 처리, 보관하고 있는 개인정보를 자신이 지정한 외부 서버로 전송했다. 이 사건 해킹 사고를 통해 네이트 또는 싸이월드의 회원 중 34,954,887명의 개인정보가 유출됐는데, 유출된 개인정보에는 아이디, 비밀번호, 주민등록번호, 성명, 생년월일, 이메일 주소, 전화번호, 주소가 포함되어 있고 가입 당시 혈액형, 닉네임 등을 입력한 일부 회원들의 경우 위 혈액형, 닉네임 등도 포함되어 있었다. 경찰의 수사 결과에 따르면, 이스트소프트는 압축 프로그램인 알집 중 국내 공개용의 경우, 무료로 배포하는 대신 프로그램 실행시 프로그램 창의 일부에 광고가 게시되도록 하여 수익을 얻고 있는데 이스트소프트는 위 광고를 교체하기 위해 알집 업데이트 서버를 이용하여 알집 프로그램에 ALAD.dll이라는 파일을 전송하고 있었다. 그런데 해커는 정상적인 ALAD.dll 파일이 아닌, 동일한 이름의 악성 프로그램인 ALAD.dll 파일을 만들었고, 이를 이스트소프트의 알집 업데이트를 통해 국내 공개용 알집의 사용자 컴퓨터에 설치하기 위해 알집 업데이트 서버에 있는 ISAPI 필터에 stmpxml.dll 파일을 등록함으로써, SK컴즈 등 선별된 IP 주소에서 사용되는 컴퓨터가 알집 업데이트를 요청하는 경우, 해커가 설정한 악성 프로그램 유포지인 ‘http://inexon.softsforum.org’에서 악성 프로그램인 ALAD.dll 파일을 다운로드 받게 했다. 악성 프로그램인 ALAD.dll 파일이 다운로드되면, 위 파일은 악성 프로그램인 ALAD.exe 파일을 생성·실행시키고, 위 프로그램은 키로깅(keylogging) 프로그램인 nateon.exe 프로그램을 실행시켜 키보드 입력값이 컴퓨터에 파일로 저장되게 되어 있었다. 2011. 7. 18. 08:58:27경 SK컴즈의 컴퓨터가 알집 업데이트 과정에서 악성 프로그램인 ALAD.dll 파일을 최초로 다운로드 받았고 그 후 2011. 7. 20. 14:59경 SK컴즈 직원의 컴퓨터에 nateon.exe 파일이 생성되어 2011. 7. 21. 02:02경 nateon.exe에 감염됐으며, 2011. 7. 23. 13:09경 위 직원의 컴퓨터가 update.exe 파일과 windowsrpc.dll 파일을 실행했다. 그 후 2011. 7. 26. 02:07경 위 해커가 직원의 컴퓨터를 경유하여 게이트웨이 서버에 DB 관리자 아이디로 접속했고, 이어서 SK컴즈의 DB 서버에 침입하여 개인정보를 덤프 파일로 생성하여 압축한 다음, 이를 게이트웨이 서버에 내려받고 직원의 컴퓨터로 내려받아 중국으로 전송했다. 이 사건에서의 주요 쟁점은, SK컴즈가 개인정보 관리에 대하여 주의의무를 다했는지 여부였다. 가. 서울중앙지방법원 2012. 11. 23. 선고 2011가합90267 판결 이에 대하여 원고들은, 1. SK컴즈는 해당 직원들이 저작권법 위반 사항인 국내 공개용 알집 프로그램을 불법적으로 사용하는 것을 방치함으로써 이 사건 해킹 사고를 초래했다. 2. 주민등록번호를 수집하지 않더라도 실명제 운영에 지장이 없음에도, 이를 수집하였는바, SK컴즈는 최소수집의무 등 개인정보 수집에 관한 주의의무를 위반했다. 3. 공개용 알집 프로그램은 자동 광고 업데이트 기능이 있어, 방화벽 외부에 있는 파일이 아무런 제약 없이 방화벽 내부로 진입할 수 있는 바, SK컴즈는 정당한 권한 없는 자가 정보통신망에 접근·침입하는 것을 방지할 의무를 위반했다. 4. SK컴즈가 침입탐지시스템을 제대로 설치·운영하고 이상 징후를 실시간 모니터링하였다면 개인정보 유출을 충분히 막을 수 있었을 것이다. 5. 개인정보보호 관리체계(PIMS, Personal Information Management System) 인증이 없는 등 정보통신망의 안전성을 확보할 의무를 이행하지 않았다. 6. SK컴즈는 악성 프로그램을 항시 점검·치료할 수 있는 백신소프트웨어를 설치하고 이를 주기적으로 갱신·점검할 의무를 위반했다. 7. SK컴즈는 개인정보를 보호하기에 충분한 내부관리계획을 수립·시행할 의무를 위반했다. 8. SK컴즈는 불법접근을 탐지하거나 방지하기 위한 시스템을 설치·운영하지 않았다. 9. SK컴즈는 불법적인 접근을 원천적으로 불가능하도록 망분리 조치를 할 수 있었음에도, 망분리를 하지 않았다. 10. SK컴즈는 공인인증서 등 추가적인 인증수단을 적용하여야 하는데, 이러한 추가적인 인증수단을 도입하지 않아, 해커가 쉽게 해킹할 수 있었다. 11. SK컴즈는 개인정보가 안전하게 저장·전송될 수 있는 암호화 기술을 사용할 의무를 위반했다. 12. SK컴즈는 사후 조치에 관한 주의의무를 위반했다. 고 주장했다. 이에 대하여 법원은, 1. SK컴즈의 저작권법 위반행위와 원고들의 주장과 같은 손해 발생 사이에 상당인과관계가 있는 것으로 보기에 부족하며, SK컴즈가 국내 기업용 알집 프로그램을 사용한 경우에도 국내 기업용 알집 프로그램의 업데이트 과정에서 본래의 다운로드 경로가 아닌 악성 프로그램 유포지에서 악성 프로그램을 다운로드 받도록 이스트소프트의 업데이트 웹사이트 ISAPI 필터를 조작하는 것이 가능했을 것으로 보여, SK컴즈가 국내 기업용 알집 프로그램을 사용하였더라도, 이 사건 해킹 사고를 막을 수 없었을 가능성을 배제할 수 없다. 2. 이 사건 해킹 사고 이전에는 정보통신망법에 따라 회원들로부터 주민등록번호를 수집하는 것이 가능했던 것으로 볼 수 있다. 3. 원고들은 국내 공개용 알집 프로그램에 자동 광고 업데이트 기능이 있어, 이를 사용할 경우 방화벽 외부에 있는 파일이 아무런 제약 없이 방화벽 내부로 진입할 수 있다고 주장하나, 이를 인정할 증거가 없다. 4. 규정에서 정한 기술적 및 관리적 보호조치에는 개인정보처리시스템에서 대량으로 유출되는 정보를 실시간으로 모니터링하는 보호조치가 포함되어 있는 것으로 보기 어렵고, SK컴즈가 이 사건 해킹 사고 당시 대량의 정보가 유출되는 이상 징후를 감지하지 못했다 하더라도, 이러한 사정만으로는 SK컴즈가 개인정보에 대한 불법적인 접근을 차단하기 위한 기술적 및 관리적 보호조치를 위반했다는 이 사건 나머지 원고들의 주장사실을 인정하기에 부족하다. 5. 이 사건 해킹 사고 당시에는 정보통신망법에 따른 정보보호 관리체계 인증이 정보통신서비스 제공자의 의무사항에 해당하는 것으로 보기 어렵다. 6. SK컴즈가 사용하고 있는 위 백신소프트웨어가 이 사건 해커가 만든 악성 프로그램의 침투 사실을 탐지하지 못하였다 하더라도, 이러한 사정만으로는 SK컴즈가 백신소프트웨어를 설치하고 주기적으로 갱신 및 점검하지 아니하였다는 이 사건 나머지 원고들의 주장사실을 인정하기에 부족하다. 7. SK컴즈 직원의 컴퓨터에 악성프로그램이 다운로드된 후 이 사건 해킹 사고 발생시까지 그 악성 프로그램을 발견하지 못하였다 하더라도, 이러한 사정만으로는 SK컴즈가 개인정보를 안전하게 취급하기 위한 내부관리계획을 수립·시행하지 아니하였다는 이 사건 나머지 원고들의 주장사실을 인정하기에 부족하다. 8. SK컴즈는 개인정보처리시스템에 아이디와 비밀번호를 입력한 후 계속해서 2차 로그인을 위해 이메일로 OTP 번호를 발송하여 로그인 하도록 하고, 개인정보처리시스템에 대한 접속권한을 아이피 주소 등으로 제한하여 인가받지 않은 접근을 제한하는 방화벽을 설치하는 방법으로 침입차단시스템을 설치·운영하고 있으며, 침입 차단시 개인정보처리시스템에 접속한 아이피 주소 등을 재분석하여 불법적인 개인정보 유출시도를 탐지하도록 하는 침입탐지시스템을 설치·운영하고 있다. 9. 이 사건 해킹 사고 당시의 이 사건 고시는 개인정보취급자 컴퓨터 등의 망분리 의무를 별도로 규정하고 있지 않았다. 10. 이 사건 해커는 외부에서 직접 개인정보처리시스템에 접속한 것이 아니라, SK컴즈의 내부로 침입한 후 직원의 컴퓨터에서 개인정보처리시스템에 접속한 것으로 보이는 바, 이와 달리 외부에서 개인정보처리시스템에 직접 접속하는 경우를 전제로 공인인증서 등 추가적인 인증수단을 강구하지 않아 SK컴즈가 기술적·관리적 보호조치를 위반하였다는 이 사건 나머지 원고들의 이 부분 주장은 이를 받아들이기 어렵다. 11. SK컴즈가 사용한 암호화 방식이 구식이어서 상대적으로 해독 가능성이 큰 것이 사실이라 하더라도, 이러한 사정만으로는 SK컴즈가 암호화 기술사용 관련 기술적 및 관리적 보호조치를 위반한 것으로 인정하기에 부족하다. 12. SK컴즈가 이 사건 해킹 사고를 인지하였을 때에는 이미 이 사건 해커에 의해 회원들의 개인정보가 모두 유출된 후인 것으로 보여, 그 인지 직후 경찰 등에 신고하였더라도, 이 사건 나머지 원고들의 주장과 같이 개인정보가 유출되는 상황을 방지할 수 있었을 것으로 보기 어렵다. 고 판시했다. 원고들은 SK컴즈뿐만 아니라 이스트소프트와 대한민국(방송통신위원회)을 피고로 삼았으나 모두 패소했다. 하지만 이 판결과 달리 같은 사안에 대하여 2013. 2. 15. 선고된 아래의 서울서부지방법원 판결은 원고들의 일부 승소를 선고했다. 나. 서울서부지방법원 2013. 2. 15. 선고 2011가합11733, 2011가합13234(병합), 2011가합14138(병합), 2012가합1122(병합) 판결 원고들은, 1. SK컴즈는 대용량 개인정보의 유출을 탐지하지 못했다. 2. SK컴즈의 직원들의 컴퓨터에서 공개용 알집을 사용했다. 3. SK컴즈는 FTP 서비스를 제공했다. 4. SK컴즈의 담당직원은 DB에서 로그아웃을 하지 않고 퇴근했고, 자동 로그아웃 시간을 설정하지 않았다. 5. 비밀번호의 개인정보 암호화 수준이 낮다. 6. SK컴즈는 필요한 최소한의 정보 외의 개인정보를 수집하고, 이러한 개인정보의 제공을 강요한 잘못이 있다. 7. SK컴즈는 허용되지 않은 IP 주소로도 게이트웨이 서버에 접속할 수 있도록 한 잘못이 있다. 8. 해커는 이 사건 해킹사고와 동일한 방법으로 중국에서 원격접속을 통해 NHN의 내부망에 접근하였으나, NHN은 침입방지시스템을 통해 이를 차단했다. 9. 해킹사고 발생 후 SK컴즈가 이 사건 해커가 사용한 IP 주소를 차단하지 않아서 이 사건 해커가 2011. 7. 28. 같은 IP 주소를 이용하여 SK컴즈의 직원 컴퓨터로 다시 접속을 시도하였다. 10. SK컴즈가 이스트소프트사의 백신인 알약이나 안랩의 백신인 V3를 사용하였더라면 이 사건 해킹사고가 발생할 가능성이 적었다. 11. SK컴즈가 2011. 7. 26. 업무시간 중 같은 날 새벽에 원격접속의 방법으로 이루어진 대용량 개인정보 접속 내역에 대하여 아무런 사후 모니터링을 하지 않았기 때문에 같은 달 27. 추가적으로 발생한 해킹사고를 방지하지 못한 잘못이 있다. 12. SK컴즈는 원고들에게 재산적 손해배상으로서 20만원, 정신적 손해배상으로서 80만원을 지급해야 한다. 고 주장했다. 이에 대하여 법원은, 1. SK컴즈는 개인정보에 대한 불법적인 접근 및 유출을 차단하기 위하여 침입탐지시스템 등을 갖춤으로써 개인정보가 보관된 DB의 접속내역 및 DB에 접속하여 수행하는 업무내역을 실시간으로 모니터링하고, 통상적으로 수행되는 업무와 다른 형태의 업무가 수행되거나 비정상적인 트래픽이 발생할 경우 이를 탐지하여 DB 관리자에게 즉시 경고함으로써 DB 관리자가 이에 대한 조치를 취할 수 있도록 하는 시스템을 갖출 의무가 있다. 해커가 대용량의 개인정보 파일을 DB 서버에서 게이트웨이로 내려받고, FTP 방식으로 위 파일을 게이트웨이에서 외부망인 에듀티에스 사이트에까지 전송하는 동안에도 이를 전혀 탐지하지 못했다는 것은 개인정보가 대량으로 전송되는 것을 이상 징후로 감지하는 기준이 설정되지 않은 상태였다고 볼 수밖에 없는 점 등을 종합하면, SK컴즈가 설정한 경고 발생의 기준이 지나치게 완화되어 있어서 개인정보를 보호하기에 매우 부족한 수준이었고, 그로 인하여 이 사건 해킹사고를 탐지하지 못하였다고 봄이 상당하다. 2. ALDA.dll 파일은 공개용 알집에만 포함되어 있으며, 공개용 알집이 아닌 기업용 등 다른 유료 알집의 업데이트 과정에서 악성 ALAD.dll 파일을 내려받은 내역이 발견된 바가 없고, 공개용 알집과 같이 실시간으로 외부 서버와 연결되어 있는 프로그램을 이용하는 것이 일반적으로 외부 서버와 연결이 끊어져 있는 프로그램을 이용하는 것보다 보다 용이하게 해킹의 대상이 되리라고 보인다. 3. SK컴즈는 정보통신망의 안정성 등을 확보하기 위해 게이트웨이에서 불필요한 FTP를 제거할 의무가 있는데, 이러한 의무를 이행하지 않았다. 4. SK컴즈의 DB 관리자가 DB 서버에 접속하여 업무를 수행한 후 로그아웃을 하지 않았고, 일정 시간 이상 작업을 수행하지 않으면 자동으로 로그아웃이 되는 아이들 타임(idle time)이나 접속 가능한 최대시간인 커넥트 타임(connect time)도 설정되어 있지 않았기 때문에 로그인이 된 상태로 계속 남아있었으며, 이를 이용하여 이 사건 해커가 OTP 번호를 새로 받지 않고도 DB 서버에 접근할 수 있었던 것으로 봄이 상당하다. 5. MD5는 그 보안 강도가 다른 해쉬함수에 비해 낮아서 일반적으로 권고되지 않는 암호화 방법인 사실을 인정할 수 있으므로, SK컴즈는 비밀번호 등 개인정보를 안전한 방법으로 저장할 의무를 위반하였다고 봄이 상당하다. 6. 당시에는 정보통신망법에 따라 정보통신서비스 제공자가 서비스 이용자들로부터 주민등록번호를 수집하는 것이 가능하였고, 실제로 대부분의 정보통신망서비스 제공자들이 주민등록번호를 수집하고 있었다. 7. SK컴즈는 게이트웨이에 접속가능한 IP 주소를 DB 서버에 접속할 권한이 있는 직원들이 사용하는 컴퓨터의 IP 주소로 한정시키고, DB 서버에 접속가능한 IP 주소는 게이트웨이의 IP 주소로 한정시키는 방법으로, 허용되지 않은 IP 주소를 통해 게이트웨이나 DB 서버에 접근할 수 없도록 조치를 취하고 있는 사실을 인정할 수 있다. 8. NHN이 차단한 것을 SK컴즈가 차단하지 못했다는 것만으로는 SK컴즈의 침입탐지시스템 등의 운영에 어떠한 잘못이 있다고 단정할 수 없다. 9. 원고들이 지적한 접근은 SK컴즈가 이 사건 해킹사고가 발생한 후 보안상의 취약점을 테스트하려는 목적으로 시행한 것으로 보인다. 10. 알약이나 V3가 SK컴즈가 사용한 피고 시만텍의 엔드포인트 프로텍션보다 우수하여 이 사건 해킹사고에 이용된 악성 파일을 더 잘 탐지하여 이를 치료할 가능성이 더 높았다고 인정하기에 부족하다. 11. 실시간 모니터링을 하는 외에 이 사건 해킹사고가 발생한 당일의 업무시간 중 실시간 모니터링에서 탐지되지 않은 이상 징후를 발견하기 위한 사후적인 점검조치를 했어야 한다고 보기 어렵다. 12. 이 사건 해킹사고로 인하여 원고들에게 어떠한 재산상 손해가 발생하였음을 인정하기에 부족하나, SK컴즈는 이 사건 해킹사고로 인하여 원고들이 입은 정신적 손해를 배상할 의무가 있고, 그 범위는 각 200,000원으로 정함이 상당하다. 고 판시했다. 원고들은 SK컴즈 외에 이스트소프트, 시만텍코리아, 안랩을 피고로 삼았으나, SK컴즈에 대한 일부승소와 달리 나머지 세 피고에 대하여는 패소했다. 이 판결에서는 먼저 선고되었던 서울중앙지방법원 판결과는 달리 SK컴즈의 주의의무 위반을 인정했고, 정신적 손해배상 20만원을 인용했다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 8. 26.) 기고.

개인정보 관련 집단소송 사례 세 번째로, 우리나라 개인정보보호 역사에 크나큰 공헌을 한 역대 10대 개인정보 관련 집단소송 사례들을 정리함으로써 개인정보보호의 역사가 어떻게 흘러왔는지를 살펴보고자 한다. 7. [2008. 3.] 엘지텔레콤(현 엘지유플러스) 사건 엘지유플러스는 콘텐츠 제공업체들로부터 제공받은 모바일 콘텐츠를 이용자들에게 제공하고 있기에 서비스 제공을 위해 콘텐츠 제공업체로 하여금 부여받은 아이디와 패스워드를 통해 엘지유플러스의 고객정보 시스템에 접속할 수 있게 하고 있었다. 한편, 엘지유플러스의 CP인 코디너스는 엘지유플러스에 ‘mive’라는 연예인 화보 및 풍경 서비스를 제공하기 위해 엘지유플러스로부터 아이디 및 패스워드를 부여받았다. 그런데 엘지유플러스의 CP로 가입하려는 엠샵사이트는 아직 CP로 가입하지 않은 상태에서 엠샵사이트와 엘지유플러스의 연동을 시험하는 과정에서 인증이 이루어지지 않자, 코디너스에 요청하여 코디너스의 CP 아이디와 패스워드를 제공받았는데, 이후 아이디와 패스워드를 삭제하지 않음으로써 그 이후에도 엠샵사이트에서 휴대폰 번호를 입력하면 폰정보 조회가 가능하게 되었다. 갑은 우연히 엠샵사이트에서 엘지유플러스에 가입된 자신의 휴대폰 번호를 입력하면 주민등록번호, 가입일자, 휴대폰 기종 등의 정보가 URL에 나타나는 사실을 알게 되자, 친구인 을에게 위 사실을 알려 주었다. 을은 ‘폰정보 조회’ 페이지에서 키보드의 시프트 키를 누른 상태에서 휴대폰 번호를 입력하자 특정 URL이 나타났는데, 그 URL 뒷부분에 주민등록번호, 가입일, 휴대폰 기종 등이 그대로 표시되는 것을 확인하게 되자, 위 URL의 소스를 확보한 다음 자신이 2001년경부터 운영하는 개인 홈페이지에 ‘휴대폰 정보조회’라는 페이지를 만들었다. 이에 개인정보가 유출된 피해자들이 엘지유플러스와 코디너스를 상대로 손해배상청구를 하기에 이르렀다. 이 사건에서의 주요 쟁점은, 엘지유플러스가 코디너스에 아이디와 패스워드를 부여한 것이 원고들의 동의를 얻지 아니하고 원고들의 개인정보를 제공 또는 위탁한 것인지 여부, 누구라도 엠샵사이트에 접속하여 원고들의 개인정보인 주민등록번호를 알 수 있는 상태에 이르러 원고들에게 정신적 손해가 발생하였는지 여부, 엘지유플러스가 개인정보의 기술적·관리적 보호조치 의무를 이행하지 않았는지 여부, 코디너스의 아이디·패스워드 관리 부실에 대하여 엘지유플러스가 사용자책임을 지는지 여부 등이었다. 이에 대해 1심 법원은 엘지텔레콤측은 최소한의 보안장치도 마련하지 않은 채 800만명에 이르는 가입자 정보가 저장돼 있는 서버를 허술히 관리한 것으로 드러났다며, 원고 1인당 5만원을 지급하라는 원고 승소 판결을 선고했다. 그러나 항소심 법원은 이에 대해, 첫째, ‘mive’를 사용하는 이용자는 자신의 주민등록번호를 이미 코디너스에 제공했으므로 엘지유플러스의 사용자 인증에 대하여도 자신들의 주민등록번호 제공을 동의했다고 봄이 상당하고 엘지유플러스가 코디너스에 아이디와 패스워드를 부여했다고 하여 코디너스에 원고들의 개인정보를 제공 또는 위탁했다고 볼 수 없다. 둘째, ‘폰정보 조회’ 페이지에서 나타나는 정보는 색상, 액정크기 등에 불과하며 을과 같은 컴퓨터 전문가에 의해 분석을 거쳐야만 비로소 주민등록번호를 알 수 있으므로 개인정보를 URL에 그대로 붙여서 평문으로 전송된다는 사정만으로 원고들의 개인정보가 엘지유플러스의 관리통제권을 벗어나 제3자가 알 수 있는 상태에 이르렀다고 보기 어렵다고 해석했다. 또한, 설사 누구라도 엠샵사이트에 접속하여 원고들의 주민등록번호를 알 수 있는 상태에 이르게 하여 원고들 및 엘지유플러스의 원고들의 주민등록번호에 대한 관리·통제권을 벗어나 제3자가 알 수 있는 상태에 있었다 하더라도, 원고들의 주민등록번호가 그 의사에 반하여 실제로 검색되지 않았기에 검색될 수 있는 상태에 있다는 사정만으로 원고들에게 위자할 정도의 정신적 고통이 있었다고 볼 수 없다. 셋째, 엘지유플러스가 원고들 주장과 같이 주의의무를 위반했다 하더라도 그 자체만으로 원고들의 사생활의 비밀과 자유를 침해했다고 볼 수 없고, 위와 같이 원고들의 주민등록번호가 누출되었거나 원고들이 정신적 고통을 받았다고도 볼 수 없다. 넷째, 엘지유플러스가 코디너스에 대하여 사용자로서의 지위를 가지고 있고, 코디너스가 CP 계정을 제대로 관리하지 못했다 하더라도, 원고들의 개인정보가 누출되지 아니하고 금전으로 위자할 정도의 정신적 고통을 받았다고 볼 수 없는 이상 코디너스가 CP 아이디와 패스워드를 제대로 관리하지 아니한 사정만으로는 어떠한 불법행위가 성립한다고 볼 수 없다고 판시하였다. 이에 원고들은 상고했고, 현재 상고심 계속 중이다(2011다24555, 2011다24562). 8. [2008. 7.] 다음(Daum) 개인정보유출 사건 다음커뮤니케이션은 서비스 이용자가 다음에 접속하면 본인의 마지막 로그인 기록을 보여주는 기능을 추가한 프로그램을 개발해, 2008. 7. 22. 15:10경 이용자들을 대상으로 배포했다. 그런데 위 프로그램에 오류(일명 ‘버그’)가 발생해 동시간대에 다음 서버에 접속한 이용자들이 어떤 서비스를 요청한 경우 마지막에 서비스를 요청한 이용자의 이메일 정보가 동시에 접속한 다른 이용자들에게 노출되는 사고가 발생했다. 이 사건 사고 당시 로그기록을 분석한 결과에 의하면, 이 사건 사고로 인해 자신의 메일 내용을 다른 사람이 본 이용자는 최대 307명, 자신의 메일에 첨부된 파일을 다른 사람이 다운로드한 이용자는 최대 141명인 것으로 확인됐다. 이에 피해자들은 다음을 상대로 손해배상청구를 하기에 이르렀다. 이 사건에서의 주요 쟁점은 피고 다음에게 주의의무위반이 있는지 여부였다. 이에 대해 법원은, 오늘날 인터넷을 통한 정보의 전달과 이용은 일반인에게도 필수적인 것이 되고 있고, 이를 보다 편리하고 안전하게 이용하기 위하여 새로운 프로그램을 개발하거나 기존 프로그램의 성능 개선을 원하는 고객들의 수요가 매우 큰 반면, 현재의 기술수준과 경제성에 비추어 프로그램 개발 과정에서 버그 발생 가능성을 완전히 배제하는 것은 거의 불가능한 바, 따라서 이 사건 사고로 인하여 원고들에게 금전으로 위자하여야 할 손해가 발생하였다거나, 피고에게 주의의무 위반이 있었다는 점을 인정하기 어렵다고 판시했다. 당시 판결은 프로그램 개발 과정에서 발생하는 오류에 대하여 기업이 책임을 부담하는지에 관한 판결이다. 법원은 이 사건 사고에 대하여 본질적으로 새로 개발한 프로그램에 발생한 버그에 의한 것으로서, 피고가 영업상 이익을 추구하는 과정에서 개인정보보호 시스템에 중대한 하자를 야기하거나 이를 방치하는 등으로 개인정보 보호를 태만히 하여 발생한 것으로 볼 수는 없다고 판시한 것이다. 9. [2008. 7.] GS칼텍스 개인정보 유출사건 원고들은 GS칼텍스가 제공하는 구매금액 등에 따라 포인트가 적립되는 주유 관련 보너스카드의 회원으로 가입하면서 GS칼텍스에 이름, 주민등록번호, 자택주소, 자택전화번호, 회사주소, 회사전화번호, 핸드폰번호, 이메일주소 등 개인정보를 제공했다. GS칼텍스는 원고들을 비롯해 보너스카드 회원으로 가입한 고객들의 개인정보를 ‘보너스카드 데이터베이스’를 구축해 관리하고, 위 보너스카드 데이터베이스에서 고객들의 개인정보를 추출하여 ‘CSC(고객서비스센터) 데이터베이스’를 구축했으며, GS넥스테이션은 GS칼텍스로부터 위 CSC 운영업무 및 관련 장비 유지·보수 업무 등을 위탁받아 이를 수행했다. 그러던 중 갑은 동료직원인 GS넥스테이션의 CSC팀 소속 을과 함께 위 CSC DB 접근권한을 이용해 고객정보를 빼낸 후 이를 시중에 판매하거나 집단소송을 의뢰받을 변호사에게 판매하는 방법 등으로 금원을 취득하기로 모의했고, 이에 갑은 2008년 7월 8일경부터 같은 달 20일경까지 GS넥스테이션 관리팀 사무실에서, 자신이 사용하는 사무용 컴퓨터를 이용해 데이터베이스 원격관리 프로그램인 PLSQL Deve loper에 평소 업무상 알고 있던 계정명 ‘lgcsc’와 비밀번호를 입력하여 CSC서버에 접속한 후 보너스카드 회원 11,517,125명의 성명, 주민등록번호, 주소, 전화번호, 이메일 주소 등 고객정보를 자신의 위 사무용 컴퓨터로 전송 받았다. 갑은 2008. 8. 29. 자신이 편집한 DVD 1장을 병에게 전달해 주었고 병은 2008년 8월 28일경 변호사 사무실 사무장으로 재직하고 있던 정에게 GS칼텍스 보너스카드 회원 1,200만명의 개인정보를 가지고 있는데, 이를 넘겨 줄테니 GS칼텍스를 상대로 한 집단소송에 활용하고 그 수익을 달라고 제의했고, 이에 정은 집단소송을 위해서는 우선 개인정보 유출 사실이 언론에 보도되어 사회문제가 되어야 한다고 말했다. 이에 병은 모 매체 기자 등을 만나 ‘도심 쓰레기 더미에서 GS칼텍스의 고객정보가 담긴 DVD를 주웠다’는 취지로 말하며 기자 등에게 샘플 CD와 DVD를 교부했다. 갑 등은 언론보도가 나간 이후 각 검거되었고 갑 등이 소지하고 있던 고객정보가 수록된 CD, DVD, USB, 외장형 하드디스크 및 위 작업에 사용된 컴퓨터, 노트북 등은 모두 압수되었거나 폐기됐으며 기자들에게 제공된 CD 및 DVD는 언론보도 이후 전량 임의제출됐다. 이 사건에서의 주요 쟁점은, 개인정보가 유출되어 원고들에게 정신적 손해가 발생했는지 여부였다. 이에 대해 1심 법원은 피고들에게 개인정보 누출로 인한 손해배상책임을 지우기 위해서는 우선 원고들의 개인정보가 피고들의 지배영역을 떠나 외부로 누출됨으로써 원고들에게 정신적 손해가 발생하였다는 사정이 구체적으로 입증되어야 한다고 할 것인 바, 개인정보 누출로 인하여 당해 개인정보를 모르는 제3자가 현실적으로 그 내용을 알게 되었다거나 적어도 이와 동일시할 수 있는 정도의 구체적이고 현실적인 고도의 위험이 발생할 것까지 요구되는 것은 아니라고 할지라도, 최소한 개인정보가 외부로 누출됨으로써 원고들의 개인정보가 불특정 다수에게 공개되어 이를 열람할 수 있는 상태 또는 원고들의 의사에 반해 원고들의 개인정보가 수집·이용될 수 있는 상태에 이르러 원고들의 개인정보 자기결정권이 침해되었다거나 침해될 상당한 위험이 발생했다는 점이 인정되어야 한다고 할 것이다. 그러나 갑 등으로부터 저장매체 등은 모두 조기에 압수되거나 폐기된 점, 기자들이 소지하던 저장매체도 모두 회수된 점, 갑 등이 빼낸 고객정보가 다른 경로로 누출된 흔적이 발견되지 아니한 점 등에 비추어 보면, 원고들의 개인정보가 누출됨으로써 불법행위자인 갑 등 이외의 불특정 다수에게 공개되어 이를 열람할 수 있는 상태 또는 원고들의 의사에 반하여 원고들의 개인정보가 수집·이용될 수 있는 상태에 이르러 원고들의 개인정보자기결정권이 침해되었거나 침해될 상당한 위험성이 발생하여 원고들에게 정신적 손해가 발생하였다는 점을 인정하기 어렵다. 나아가 갑 등의 행위로 인해 원고들이 자신들의 개인정보가 추가로 복제되어 유출됨으로써 제3자에 공개되거나 범죄 등에 도용 또는 악용될지도 모른다는 막연한 불안감이나 불쾌감을 가지게 될 수도 있었음은 능히 추단되나, 이러한 사정만으로는 원고들이 수인한도를 초과하여 피고들이 금전으로 위자할 만한 정신적 손해를 입었다고 할 수는 없다고 판시했다. 또한 항소심 법원은, 이 사건 개인정보는 원고들의 성명, 주민등록번호, 전화번호, 이메일 주소 등 개인을 알아볼 수 있는 정보이고, ‘사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보’와 같이 정보주체에 관한 아주 민감한 정보는 아닐 뿐만 아니라, ‘은행계좌번호, 은행계좌의 비밀번호 등 금융에 관한 정보’와 같이 공개될 경우 곧바로 정보주체의 경제적 이익을 침해할 우려가 높은 정보에도 해당하지 않는 것인 점, 이 사건 개인정보는 범행공모자와 언론기관 관계자에게 유출된 직후 곧바로 전체가 회수되어 폐기된 점, 실제로 이 사건 개인정보가 부정하게 사용되었다거나 이 사건 개인정보의 유출로 말미암아 이를 취득한 제3자로부터 많은 양의 스팸메시지나 스팸메일을 받게 되었다는 등의 원고들이 개별적, 구체적인 피해를 입은 사실을 인정할 증거가 없거나 부족한 상태에서, 원고들의 이 사건 개인정보가 한때나마 유출된 적이 있었다는 사실만으로 원고들에게 정신적인 피해가 있었을 것이라고 단정하기는 어렵고, 달리 원고들이 개별적, 구체적으로 정신적 피해를 입었다고 인정할 만한 증거도 없으므로, 원고들에게 정신적 손해가 발생하였다고 보기는 어렵다고 판시했다. 이에 대하여 대법원은 개인정보를 처리하는 자가 수집한 개인정보를 피용자가 정보주체의 의사에 반하여 유출한 경우, 그로 인하여 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생했는지는 유출된 개인정보의 종류와 성격이 무엇인지, 개인정보 유출로 정보주체를 식별할 가능성이 발생했는지, 제3자가 유출된 개인정보를 열람하였는지 또는 제3자의 열람 여부가 밝혀지지 않았다면 제3자의 열람 가능성이 있었거나 앞으로 열람 가능성이 있는지, 유출된 개인정보가 어느 범위까지 확산되었는지, 개인정보 유출로 추가적인 법익침해 가능성이 발생하였는지, 개인정보를 처리하는 자가 개인정보를 관리해온 실태와 개인정보가 유출된 구체적인 경위는 어떠한지, 개인정보 유출로 인한 피해 발생 및 확산을 방지하기 위하여 어떠한 조치가 취해졌는지 등 여러 사정을 종합적으로 고려하여 구체적 사건에 따라 개별적으로 판단해야 한다고 설명했다. 개인정보가 유출된 후 저장매체에 저장된 상태로 공범들과 언론관계자 등에게 유출되었지만 언론보도 직후 개인정보가 저장된 저장매체 등을 소지하고 있던 사건 관련자들로부터 저장매체와 편집 작업 등에 사용된 컴퓨터 등이 모두 압수, 임의제출되거나 폐기된 점, 범행을 공모한 사람 등이 개인정보 판매를 위한 사전작업을 하는 과정에서 위와 같이 한정된 범위의 사람들에게 개인정보가 전달 또는 복제된 상태에서 범행이 발각되어 개인정보가 수록된 저장매체들이 모두 회수되거나 폐기되었고 그 밖에 개인정보가 유출된 흔적도 보이지 아니하여 제3자가 개인정보를 열람하거나 이용할 수는 없었다고 보이는 점, 개인정보를 유출한 범인들이나 언론관계자들이 개인정보 중 일부를 열람한 적은 있으나 개인정보의 종류 및 규모에 비추어 위와 같은 열람만으로 특정 개인정보를 식별하거나 알아내는 것은 매우 어려울 것으로 보이는 점, 개인정보 유출로 인하여 신원확인, 명의도용이나 추가적인 개인정보 유출 등 후속 피해가 발생했음을 추지할 만한 상황이 발견되지 아니하는 점 등 제반 사정에 비추어 볼 때, 개인정보 유출로 인하여 위자료로 배상할 만한 정신적 손해가 발생했다고 보기는 어렵다고 판시했다. 판례는 이 사건에서 개인정보 유출로 인하여 위자료로 배상할 만한 정신적 손해가 발생하기 위해서는, ‘최소한 개인정보가 외부로 누출됨으로써 원고들의 개인정보가 불특정 다수에게 공개되어 이를 열람할 수 있는 상태 또는 원고들의 의사에 반하여 원고들의 개인정보가 수집·이용될 수 있는 상태’가 되어야 한다고 판단했다. 다시 말하면 유출이 되었다고 하더라도 불특정 다수에게 공개될 가능성이 없는 상태라면, 기업은 손해배상책임을 부담하지 않는다고 판단한 것이다. 다만 제1심에서는 ‘원고들의 개인정보가 불특정 다수에게 공개되어 이를 열람할 수 있는 상태’를 요구한 것과 달리 대법원에서는 ‘제3자의 열람 가능성이 있었거나 앞으로 열람 가능성이 있는지’를 판단기준으로 세웠다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 8. 16.) 기고.

지난 번에 이어 우리나라 개인정보보호 역사에 크나큰 공헌을 한 역대 10대 개인정보 관련 집단소송 사례들을 정리함으로써 개인정보보호의 역사가 어떻게 흘러왔는지를 살펴보고자 한다. 5. [2006. 9.~2007. 7.] SK브로드밴드(옛 하나로텔레콤) 사건 하나로텔레콤은 2006년 4월경 텔레마케팅 사업자인 예드림씨앤엠과의 사이에 예드림씨앤엠이 하나로텔레콤의 가입자유치 등 업무를 위탁받기로 하는 내용의 영업업무위탁계약을 체결했다. 한편, 하나로텔레콤은 2006년 9월경 SC제일은행과 사이에 하나로텔레콤의 멤버십카드와 SC제일은행의 신용카드 기능을 동시에 갖춘 제휴카드를 발행하기로 하고, 다음과 같이 제휴카드(하나포스SC 멤버스카드, 이하 ‘멤버스카드’) 발행에 관한 업무제휴계약을 체결했다. 1)하나로텔레콤의 고객 중 카드 발급을 희망하는 개인을 대상으로 하고, 2)회원 모집은 양 측의 공동 책임 하에 모집하며, 3)제휴카드는 하나로텔레콤의 멤버십 기능과 SC제일은행의 신용카드 기능을 동시에 부여함. 그리하여 하나로텔레콤은 예드림씨앤엠에게 위 멤버스카드 발급 및 운영을 포함한 고객관리 업무 전반을 위탁했는데, 법률자문결과 위 업무제휴를 실행하기 위해서는 ‘개인정보를 예드림씨앤엠에 제공한다는 동의’, ‘제공한 개인정보를 신용카드 회원모집에 활용한다는데 대한 동의’ 및 ‘멤버쉽카드 회원모집을 위한 영리목적의 광고성 정보를 전화를 통해 제공한다는데 대한 동의’가 필요하다는 점을 알게 됐다. 이에 하나로텔레콤은 2006년 9월 21일 소비자 이용약관의 ‘개인정보보호방침’의 ‘개인정보 수집 및 활용목적’에 다음 표와 같이 추가된 내용을 하나로텔레콤의 인터넷 홈페이지에 고지했으나 고객들로부터 별도의 동의는 받지 않았다. 이후 하나로텔레콤은 2006년 9월 30일경부터 2007년 7월 20일경까지 예드림씨앤엠에게 하나로텔레콤의 초고속인터넷서비스인 하나포스 가입자 515,206명의 개인정보인 성명, 서비스명, 전화번호, 주민등록번호 중 앞부분 생년월일과 뒷자리 중 첫 번째 숫자, 주소, 사용요금조회 등의 정보를 제공했다. 그 방법은 별도의 저장장치를 통해 개인정보를 주고받은 것이 아니라, 하나로텔레콤이 설치하여 관리하고 있는 중앙정보시스템(개인정보처리시스템)에 접속할 수 있는 시스템을 예드림씨앤엠에 설치한 후 아이디 및 비밀번호 등으로 인증을 거쳐 권한을 부여받은 사람만 접속하여 열람할 수 있도록 하는 방식이었다. 예드림씨앤엠은 하나로텔레콤으로부터 위와 같이 정보를 제공받아 2006년 9월 30일경부터 2007년 7월 20일경까지 하나포스 가입자들에게 전화를 통하여 멤버스카드의 발급을 권유했다. 이에 검사는 정보통신서비스 제공자인 하나로텔레콤 주식회사와 그 임원을, 이용자들의 개인정보를 수집하면서 ‘미리’ 고지하거나 약관에서 명시한 ‘개인정보의 이용목적’의 범위를 넘어 개인정보를 이용했다고 해 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘구 정보통신망법’) 위반으로 기소하고, 나아가 이용자들의 동의를 받지 아니하고 개인정보를 제3자인 예드림씨앤엠 주식회사에 제공했다고 하여 역시 구 정보통신망법 위반으로 기소하기에 이르렀으며(형사), 개인정보가 제공된 이용자들은 손해배상청구를 하기에 이르렀다(민사). 가. 형사판결 형사사건에서의 주요 쟁점은, 구 정보통신망법 제24조 제1항에서 정한 ‘제22조 제2항의 규정에 의한 고지의 범위 또는 약관에 명시한 범위’의 의미, 즉 사후에 약관이 변경된 경우 변경된 약관을 기준으로 법 제24조 제1항 위반 여부를 판단해야 하는지 여부, 그리고 개인정보의 ‘제3자 제공’과 ‘타인 위탁’의 구별기준이었다. 이에 대하여 법원은, 첫째, 구 정보통신망법 제24조 제1항에 의하면, 정보통신서비스제공자는 당해 이용자의 동의가 없더라도 법 제22조 제2항의 규정에 의한 고지의 범위 또는 정보통신서비스이용약관에 명시한 범위 내에서 개인정보를 이용할 수 있다고 보아야 하며, 동법 제22조는 ‘개인정보의 수집’에 관한 규정이고, 제24조는 ‘개인정보의 이용 및 제공’에 관한 규정으로서, 제22조 제2항 제2호에 의하면 정보통신서비스제공자는 개인정보 수집을 위한 동의를 얻고자 하는 경우 ‘미리’ ‘개인정보의 수집목적 및 이용목적'을 이용자에게 고지하거나 정보통신서비스이용약관에 명시하여야 한다고 규정하고 있다. 그러므로 제24조 제1항에서 말하는 '제22조 제2항의 규정에 의한 고지의 범위 또는 약관에 명시한 범위’란 개인정보를 수집하면서 ‘미리’ 고지하거나 약관에 명시한 ‘개인정보의 이용목적’의 범위를 말하고, 사후에 정보통신서비스이용약관이 변경된 경우 변경된 약관을 기준으로 제24조 제1항 위반 여부를 판단하여야 한다고 볼 수는 없다고 판시하여, 사후에 변경된 약관을 기준으로 하여야 한다는 피고인들의 주장을 배척했다. 또한, 법원은 둘째로, ①제24조에서 말하는 개인정보의 ‘제3자 제공’은 ‘제공받는 자의 목적’을 위하여 개인정보가 제공되는 경우로, 제25조에서 말하는 개인정보의 ‘타인 위탁’은 ‘제공하는 자의 사무처리’를 위한 경우로 구별되어야 하고, 따라서 제24조에 정한 ‘제3자’에는 개인정보 취급을 위탁받은 수탁자는 포함되지 아니한다고 해석하여야 하는 점, ②예드림씨앤엠은 실질적으로 하나로텔레콤의 상품 안내 및 가입자 유치를 목적으로 설립된 회사로서 하나로텔레콤과의 업무협약을 통해 하나로텔레콤 주식회사의 상품 안내를 위한 전화 영업을 하고, 그 수수료를 하나로텔레콤으로부터 지급받았으며, 하나로텔레콤 이외의 다른 동종 업체의 업무는 처리하지 않은 채 폐업한 점, ③하나로텔레콤이 가지고 있는 개인정보가 다른 저장매체나 출력물 등을 통해 예드림씨앤엠에 제공된 것이 아니라 하나로텔레콤의 서버에 접속할 수 있는 시스템을 별도로 설치하여 기간을 정하여 제한된 방법과 절차로만 접근이 가능하도록 한 점, ④예드림씨앤엠이 고객을 유치한 이 사건 제휴카드에는 단지 신용카드의 기능뿐만 아니라 하나TV의 설치비 면제 등 하나로텔레콤의 상품이나 고객의 혜택에 관한 내용도 포함되어 있는 점, ⑤예드림씨앤엠은 위 제휴카드를 신청한 고객의 경우 그 개인정보를 SC제일은행에 제공하기는 하였으나, 이는 하나로텔레콤의 업무협약 내용에 따른 것이고 고객과의 통화를 통해 카드 발급에 관한 동의를 얻은 후 이루어진 것인 점 등을 종합하면, 예드림씨앤엠은 구 정보통신망법 제24조에서 규정하는 ‘제3자’가 아니라 하나로텔레콤을 위하여 하나로텔레콤의 일부 업무를 위탁받아 수행하는 ‘수탁자’로서의 지위를 가진다고 판시하여, 하나로텔레콤은 개인정보의 ‘제3자 제공’이 아니라 ‘타인 위탁’을 한 것이라고 판단했다. 나. 민사판결 민사사건에서의 주요 쟁점은, 하나로텔레콤이 원고들로부터 개인정보 수집·이용에 관한 적법한 동의를 받았는지 여부, 하나로텔레콤의 전화권유판매 사업자 등에 대한 개인정보 제공이 정보통신망법상 ‘취급 위탁’과 ‘제3자 제공’ 중 어디에 해당하는지 여부 등이었다. 이에 대하여 법원은, 먼저 적법한 동의 여부와 관련하여, ①하나로텔레콤이 개인정보 수집·이용에 대한 동의 자료를 제출하고 있지 못하고 있는 원고들에 대하여는 개인정보 수집·이용에 관한 동의가 없었던 것으로 보았고, ②서비스개통 의사와 개인정보 수집·이용 의사를 분리하여 구하지 않고 ‘본인은 상기와 같이 서비스가 개통되었음을 확인합니다’며 동의 확인 부분을 생략하거나 ‘본인은 상기 개인정보의 제공 및 활용에 관한 동의서와 뒷면의 내용에 대하여 충분히 인지하고 준수할 것을 동의하며 서비스 개통되었음을 확인합니다’는 내용으로 그 의사의 확인을 구한 데 그친 원고들에 대해서도 하나로텔레콤이 개인정보 수집·이용에 관한 유효한 동의를 획득하지 못하였다고 보았으며, ③별도의 동의 양식을 제시했으면서도 개인정보 수집·이용에 관한 동의를 받지 않은 원고들의 경우 및 개인정보 수집·이용에 관한 동의를 받았다고 할지라도 동의 이전에 이미 취급 위탁의 형태로 개인정보를 외부에 제공한 원고들의 경우에는, 하나로텔레콤이 위 원고들의 동의 없이 개인정보를 이용·제공한 것이므로 위 원고들의 개인정보자기결정권을 침해했다고 보았다. 그러나 ④별도의 동의 양식을 제시하였고 개인정보 수집·이용에 관한 별도의 동의를 받은 후에서야 비로소 개인정보를 외부에 제공한 원고들의 경우에는 하나로텔레콤이 개인정보 수집·이용에 관한 동의 과정에서 그 원고들의 권리를 침해했다고 볼 수는 없다고 판시했다. 또한 법원은 둘째로, 적법한 위탁 여부와 관련하여, 이 사건은 정보통신서비스제공자인 하나로텔레콤 측의 사업 목적을 위해 개인정보를 외부에 제공한 것이므로, ‘제3자 제공’이 아니라 ‘취급 위탁’에 해당한다고 판시했다. 그리하여 법원은 개인정보 수집·이용에 관한 동의를 받지 아니한 채 또는 동의를 받기도 전에 개인 정보를 외부에 제공한 원고들에게는 20만원의 위자료를, 개인정보 수집·이용 등에 관한 동의를 받았으나, 그 후 새로운 수탁자에게 취급 위탁을 하면서도 개정된 정보통신망법에 따른 동의 절차를 거치지 않은 원고들에 대하여는 10만원의 위자료를 인정했다. 이 사건은 동의의 방식, 수집목적을 벗어난 활용에 관한 정보통신서비스제공자의 책임, 제3자 제공과 타인 위탁의 구별 등 매우 중요한 쟁점들에 대하여 법원이 명확한 기준을 제시하여 준 중요한 사안이다. 6. [2008. 1.] 옥션 해킹 사건 중국인 해커로 추정되는 갑은 ①2008. 1. 4. 04:49경부터 05:33경까지, ②2008. 1. 5. 03:33경부터 04:33경까지, ③2008. 1. 7. 04:08경부터 05:11경까지, ④2008. 1. 8. 02:42경부터 03:45경까지 등 4차례에 걸쳐 인터넷 오픈마켓사인 옥션의 웹 서버 중 하나인 이노믹스 서버[아이피(IP) 주소 : 211.233.17.184]에 침입하여 이노믹스 서버를 통해 피고 옥션의 메인디비2(MAINDB2) 데이터베이스 서버에 저장되어 있던 피고 옥션 회원의 이름, 주민등록번호, 주소, 전화번호, 아이디, 계좌번호 등 개인정보를 자신의 컴퓨터로 내려받아 이를 유출했다(10,807,471명의 개인정보 유출). 갑은, 옥션이 운영하는, 아이디 ‘admin’, 비밀번호는 기본으로 설정되어 있는 톰캣 서버에 무단 로그인한 다음 위 서버에 백도어 프로그램을 올렸고, 이후 ‘ipconfig’ 등의 명령어를 실행하여 IP 주소 등 시스템 정보를 획득했으며, 3389 포트의 터미널 서비스를 기동한 다음, 자신의 IP 주소를 세탁하기 위하여 한국 내 경유지로 터미널 서비스 포트를 포워딩했다. 이어서 경유지인 서버를 거쳐 옥션의 이노믹스 서버를 통하여 데이터베이스 서버에 접속한 다음 데이터베이스 서버에 저장되어 있던 옥션 회원의 개인정보를 경유지로 전송하고, 경유지에서 개인정보를 백업한 다음 자신의 컴퓨터로 전송받은 것이었다. 이에 원고들은 옥션에게 30만원의 위자료 청구를 하기에 이르렀다. 이 사건에서의 쟁점은, 옥션이 법령에서 요구하고 있는 정보보호조치 의무를 다하였는지 여부였다. 이에 대하여 원고들은, 옥션이 보안전담 부서를 따로 설치하지 않았고 웹 관련 해킹을 막기 위해서는 필수적으로 설치해야 하는 웹 방화벽을 웹 서버에 전혀 설치하지 않았으며, 2008. 1. 3.경 이노믹스 서버에 설치된 악성코드를 발견하고도, 데이터베이스 서버 관리자의 아이디를 변경하는 등의 적절한 조치를 취하지 않았다고 주장했다. 또한, 정보통신부 고시 제2005-18호에서 암호화 대상으로 규정하고 있는 본인인증 정보인 주민등록번호 등이 사건 데이터베이스 서버에 저장되어 있는 피고 회사의 개인정보를 암호화하지 않았으며, 서버에 대한 인증 및 접근 제어 시스템을 도입하지 않았다고 주장했다. 또한, 웹서버인 이노믹스 서버에 대하여 아무런 보안 조치를 하지 않은 채, 전용선이나 ‘VPN’이 아닌 인터넷을 통해서도 외부에서 이노믹스 서버에 접근할 수 있도록 함으로써 해커에게 이노믹스 서버를 노출했고, 해커가 새벽 시간대에 이노믹스 서버를 통해 이 사건 데이터베이스 서버에 저장되어 있던 피고 회원의 개인정보를 조회하는 과정에서 이노믹스 서버로부터 데이터베이스 서버로의 정보조회 요청에 따른 비정상적인 다량의 쿼리(Query)가 발생했다. 그럼에도 이를 탐지하고 경고할 수 있는 모니터링 시스템을 갖추지 않아 이 사건 해킹 사고를 전혀 인식하지 못하였으며, 이노믹스 서버 관리자의 아이디, 비밀번호 앞 여섯 자리, 이 사건 데이터베이스 서버 관리자의 아이디, 비밀번호를 피고 옥션의 아이디 및 비밀번호에 대한 내부 관리 지침에 위배하여 설정했다고 주장했다. 옥션은 원고들에게 서비스 이용계약에 따른 전자금융거래 서비스를 제공하는 계약당사자 또는「전자금융거래법」상 전자금융업자로서 접근매체의 위조나 변조로 발생한 사고, 계약체결 또는 거래지시의 전자적 전송이나 처리과정에서 발생한 사고로 인하여 이용자가 입은 손해를 배상할 책임을 지는데, 이 사건 해킹사고를 통해 원고들의 금융정보가 유출되도록 했으며, 그 밖에 피고의 약관 및 정보통신망 이용촉진 및 정보보호 등에 관한 법률 등에서 요구하고 있는 정보보호 조치 의무를 다하지 않았다는 것이 원고들의 주장이었다. 이에 대하여 법원은, 첫째, 피고는 이 사건 해킹 사고 당시 정보보호정책 및 관리지침서 제2장 정보보호조직 관리지침에 따라 임원을 정보보호책임자로 임명하고 산하에 세부 분야별로 정보호호관리자 및 담당 직원(보안 전담 부서로는 SIT팀)을 운영하여 정보보호 업무를 한 사실이 인정되고, 둘째, 피고 옥션이 이 사건 해킹 사고 당시 이노믹스 서버를 비롯한 피고의 웹 서버에 웹 방화벽을 설치하지 않았다고 하더라도 관련 법령상으로도 웹 방화벽의 설치가 의무화되어 있지 않는 한 피고에게 그로 인한 주의의무 위반이 있다고 할 수 없다. 셋째, 피고 옥션이 2008년 1월 4일경 이노믹스 서버에 설치된 악성코드를 발견한 다음 수행한 대응 조치에 어떠한 주의의무 위반이 있다고 할 수 없고, 달리 피고 옥션이 이 사건 해킹 사고 당시 적절한 대응조치를 취하지 않아 이 사건 해킹 사고를 막지 못하였다는 점을 인정할 만한 증거가 없으며, 넷째, 주민등록번호는 생존하는 개인에 관한 정보로서 개인을 식별할 수 있는 개인정보에 해당될 뿐, 이 사건 고시 제5조 제1항에서 암호화 대상으로 정하고 있는 본인 인증 정보에는 해당되지 않는다. 그리고 다섯째, 피고 옥션은 서버 운영체제인 ‘윈도우 서버 2003’에 내재되어 있는 인증 및 접근 제어 시스템인 ‘Active Directory’를 사용하여 중앙통제 방식으로 다양한 권한의 등급을 가진 사용자 및 하위 관리자의 인증 및 접근제어를 구현했고, 데이터베이스 관리 시스템(DBMS, Database Management System)의 하나인 ‘윈도우 SQL 서버’의 내재된 인증 및 제어 시스템을 사용하여 데이터베이스에 대한 SQL(질의) 작업시 별도 서버에서 가상 계정이 부여된 사용자만이 접근할 수 있도록 함으로써 비인가자의 데이터베이스 접근을 차단했다. 여섯째, 해커가 이 사건 해킹 당시 침입하였던 이노믹스 서버에 대하여 외부 인터넷을 통해서도 접근이 가능했던 사실만으로는 피고 옥션이 이노믹스 서버에 대하여 아무런 보안 조치를 하지 않은 채 해커에게 이노믹스 서버를 노출하여 이 사건 해킹 사고가 발생하였다는 사실을 인정하기에는 부족하다. 일곱째, 이 사건 해킹 사고 당시 이 사건 데이터베이스 서버에서는 초당 약 3,333개(12,000,000개/3,600초) 정도의 쿼리가 발생하고 있었는데, 해커가 이 사건 해킹에 사용한 쿼리는 모두 십여 개에 불과하며, 이 사건 해킹 사고 당시 데이터베이스 서버에 대하여 평소 대비 정상 범위를 벗어난 수의 쿼리가 발생하거나 비정상 쿼리가 발생하는 경우 이를 실시간으로 탐지하여 문자나 메일로 알려주는 자체 개발 프로그램을 운영하고 있었는 바, 옥션이 이 사건 해킹 사고 당시 해커가 개인정보를 유출하는 과정에서 발생한 쿼리를 탐지하지 못하였다고 하더라도 그로 인한 주의의무 위반이 있다고 할 수 없다. 여덟째, 시스템 관리자의 아이디와 비밀번호를 회사명 등 잘 알려진 단어로 설정하는 경우 브루트-포싱(brute-forcing) 공격에 취약해 브루트-포싱 공격을 시도하는 해커에게 시스템 관리자 권한을 빼앗길 우려가 크기는 하나, 이 사건 해킹 사고는 해커가 웹쉘을 통해 이 사건 데이터베이스 서버 관리자의 아이디와 비밀번호를 알아낸 다음 이를 통해 이 사건 데이터베이스 서버에 저장되어 있던 옥션 회원의 개인정보를 자신의 컴퓨터로 내려받아 이를 유출하여 발생한 것으로 추정된다. 설령 옥션이 내부 관리 지침에 위배하여 이노믹스 서버 및 이 사건 데이터베이스 서버 관리자의 비밀번호와 이 사건 데이터베이스 서버 관리자의 아이디를 회사명이 포함되게 설정했다고 하더라도, 이로 인해 이 사건 해킹사고가 발생했다고 볼 수는 없다고 판시했다. 나아가 법원은, 이 사건 해킹 사고는 옥션이 저장·보관하고 있는 회원 개인정보의 도난에 해당할 뿐, ‘접근매체의 위조나 변조로 발생한 사고’, 또는 ‘계약체결 또는 거래지시의 전자적 전송이나 처리과정에서 발생한 사고’에 해당한다고 볼 수 없다. 그리고 옥션은 이 해킹 사고 당시 이용약관 및 각종 기술적·관리적 정보보호조치의 이행, 그 밖에 피고 내부의 정보보호정책 및 관리지침에 따른 보안조치 등 다양한 방식의 해킹 방지 조치를 이행하고 있었던 점, 이 사건 해킹 사고는 초급 수준을 넘어 적어도 상당한 수준의 해킹 기술을 보유하고 있는 지능적인 해커에 의하여 발생한 것으로 보이는 점 등을 종합적으로 고려하면, 옥션이 이용약관 등에서 규정하고 있는 정보보호 치 의무를 다하지 않아 이 사건 해킹 사고를 예방하지 못했다고 할 수 없다. 그러므로, 결국 옥션이 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제28조 제1항, 같은 법 시행규칙 제3조의3 제1항 및 이에 근거한 정보통신부 고시 제2005-18호, 제2007-3호에서 각각 규정하고 있는 개인정보 보호를 위한 기술적·관리적 조치를 다한 사실은 인정된다고 판시했다. 이번 사건은 해커가 톰캣 서버를 간단하게 뚫은 다음에 여러 단계를 거쳐 데이터베이스 시스템에 접근한 사건으로서, 대규모 해킹에 의한 개인정보 유출사건에 대해 법원이 기업의 과실을 부정한 대표적인 사건이다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 8. 8.) 기고.

우리나라에서 일어난 개인정보 관련 집단소송의 시초는, 지금은 잘 알려져 있지 않지만 2001년에 있었던 삼성생명의 개인정보 무단제공 사건으로서, 1인당 위자료 200만원이라는 꽤 큰 규모의 손해배상액을 법원이 인정한 사례였다. 그러다가 2005년 엔씨소프트 리니지 게임 개인정보유출 사건을 기점으로, 개인정보의 ‘대량유출’이라는 새로운 형태의 개인정보 사고유형이 우후죽순처럼 발생하기 시작하였고 이는 개인정보의 기술적·관리적 보호조치 기준의 내용을 매년 업그레이드 시키는 계기로 작용하였으며, 개인정보보호법이라는 기본법의 제정까지 이끌어 내었다. 또한 법원은 개인정보의 개념과 종류, 개인정보처리자의 주의의무의 내용과 정도, 손해발생의 판단기준 등에 대하여 법리를 하나 하나 발전시켜 나갔다. 특히 2008년도의 옥션 해킹사건, 2011년도의 네이트·싸이월드 해킹 사건은 해킹으로 인한 개인정보 유출사건 중에서도 매우 큰 중요도를 차지하고 있는 사건들이라 할 수 있는데, 기업들이 취해야 할 보안조치의 내용들이 실질화되고 구체화되는 과정에서 가장 큰 역할을 한 사건들이었다. 한편 개인정보 관련 사건 중에 유출사고 다음으로 중요한 카테고리는 바로 개인정보의 무단제공인데, 삼성생명 사건과 하나로텔레콤 사건이 바로 이에 해당한다. 이 사건들을 통해 제공과 위탁의 개념이 확실히 구분되었으며, 동의의 실질성에 대해서도 법원이 일응의 기준을 제시하여 주게 되었다. 아래에서는 이와 같이 우리나라 개인정보보호 역사에 크나큰 공헌을 한 역대 10대 개인정보 관련 집단소송 사례들을 정리함으로써, 개인정보보호의 역사가 어떻게 흘러왔는지를 살펴보고자 한다. 1. [2001. 2.~2001. 5.] 삼성생명 개인정보 무단제공 사건 삼성생명은 신용정보제공·이용자로서 삼성생명의 금융상품에 가입하고 있는 고객 중에서 다른 금융기관으로부터 높은 이율로 대출을 받은 고객들을 파악해 그들을 상대로 삼성생명이 판매하는 아파트담보대출상품을 효과적으로 홍보하고 그 대출상품으로의 전환을 유도하기로 하였다. 이에 삼성생명은 전국은행연합회로부터 제공받은 다른 금융기관의 대출정보 및 삼성생명이 자체적으로 수집·보관하고 있던 고객정보를 혼합하는 방법으로 원고들을 포함한 개인신용정보주체의 이름, 주민등록번호, 주소, 전화번호, 대출금융기관, 대출금액 등의 신용정보를 정리한 수십만건의 자료를 마련한 뒤, 이를 삼성생명의 보험영업본부 산하 충청지역단 등 수 개의 지역단에 송부하여 지역단 산하 각 지점 및 영업소를 통하여 그 소속 보험모집원들에게 이를 배포하였다. 뒤늦게 이 사실을 알게 된 원고들은 삼성생명을 상대로 300만원의 손해배상을 청구하였다. 이 사건에서의 주요 쟁점은, 삼성생명이 보험모집원들에게 위와 같이 신용정보를 제공한 행위가 신용정보의 이용 및 보호에 관한 법률을 위반하여, 원고들에게 정신적 손해배상을 하여야 하는지 여부였다. 이에 대하여 법원은, 삼성생명이 대출상품의 판매를 위한 수요자의 물색 및 그에 대한 효율적인 영업활동이라는 적극적인 영업목적을 위하여 원고들로부터 서면에 의한 동의를 받지 아니하고 임의로 원고들의 신용정보를 추출·가공하여 영업조직에 배포하는 방법으로 이용하였으므로, 이는 신용정보법에 반하는 위법행위라고 할 것이고, 이러한 위법행위에 관하여 삼성생명에게 고의 또는 과실이 없다는 점을 인정할 만한 아무런 증거가 없으므로, 피고는 원고들에게 손해를 배상할 의무가 있다고 판시하였다(위자료 200만원 인정). 다만 법원은 피고가 영업조직을 통하여 보험모집인들에게 원고들의 신용정보를 배포한 행위를 신용정보법에서 규정하고 있는 신용정보의 누설로 볼 수는 없다고 하였다. 이는 신용정보의 이용 및 보호에 관한 법률 제33조에 규정된 개인신용정보의 이용에는, 적극적으로 금융상품을 판매할 상대방을 선정하고 그와의 거래관계의 설정 여부를 결정하기 위하여 고객들의 신용정보를 이용하는 경우는 포함되지 않는다는 점, 상품판촉을 위하여 신용정보를 추출·가공하고 타인에게 배포하는 행위는 신용정보의 위법·부당한 이용이라는 점을 확인한 의미 있는 판결이었다. 다만 참고로 2012년 12월경 금융위원회는 위 판결 이후 개정된 보험업법 시행령에 근거하여 보험사의 고객 개인식별정보를 활용한 마케팅 행위는 징계할 수 없다는 판단을 한 바 있다. 2. [2005. 5.] 엔씨소프트 리니지 게임 개인정보유출 사건 온라인 게임 운영업체인 엔씨소프트사는 게임 서버의 업데이트 과정에서 이용자들의 개인정보인 아이디와 비밀번호가 암호화되지 않은 상태에서 로그파일에 저장되도록 함으로써, 컴퓨터에 관한 상당 수준의 전문지식이 있는 사람이라면 누구라도 그에 접근하여 이용자들의 아이디와 비밀번호를 알 수 있는 상황을 발생시켰는데, 이에 이용자들은 엔씨소프트사를 상대로 손해배상청구를 하기에 이르렀다. 이 사건에서의 주요 쟁점은, 아이디와 비밀번호 등의 식별번호가 개인정보인지 여부, 피고 회사에게 과실(주의의무 위반)이 있는지 여부, 이를 개인정보의 누출로 볼 수 있는지 여부 등이었다. 이에 대해 법원은, 첫째, 아이디와 비밀번호 등 식별부호는 실제공간과는 달리 익명성이 통용되어 행위자가 누구인지 명확하게 확인하기 어려운 가상공간에서 그 행위자의 인격을 표상한다고 할 것이므로, 개인에 관한 정보로서 당해 개인을 알아볼 수 있는 정보, 즉 ‘개인정보’에 해당한다고 하였고, 둘째, 엔씨소프트사는 원고들의 개인정보가 누출되지 않도록 암호화기술 등을 이용한 보안조치를 다하여야 할 주의의무를 부담함에도, 이 사건 게임서버의 정기점검·업데이트 과정에서 원고들의 개인정보인 아이디 및 비밀번호가 암호화되지 않은 상태로 원고들이 사용한 컴퓨터에 생성·저장된 로그파일에 기록되도록 함으로써 위와 같은 주의의무를 위반하였다고 보았다. 다만 셋째, ‘누출’이라 함은 개인정보가 정보통신서비스 제공자 및 이용자의 개인정보 관리·통제권의 범위를 벗어나 당해 개인정보를 모르는 제3자가 그 내용을 알 수 있는 상태를 이르는 것을 의미한다고 봄이 상당하고, 나아가 침해, 누설, 도용의 경우처럼 당해 개인정보를 모르는 제3자가 현실적으로 그 내용을 알게 되었다거나 적어도 이와 동일시 할 수 있는 정도의 구체적이고 현실적인 고도의 위험이 발생할 것 또는 당해 개인정보를 모르는 제3자에게 그 내용을 알릴 것 또는 이를 도용할 것까지 요구하는 것은 아니라고 볼 것인데, 접속 당시 피시방 컴퓨터를 이용한 원고들의 경우에는 피시방 컴퓨터에 위 원고들의 아이디 및 비밀번호가 담긴 로그파일이 저장됨으로써 컴퓨터에 관한 일정 수준의 지식이 있는 제3자라면 누구라도 로그파일에 접근하여 위 원고들의 아이디 및 비밀번호를 알 수 있는 상태에 이르렀으므로, 위 원고들의 개인정보는 누출되었다고 봄이 상당하지만, 접속 당시 집에 있는 개인용 컴퓨터를 이용한 원고들의 경우에는 위 원고들의 아이디 및 비밀번호가 담긴 로그파일은 위 원고들이 집에서 사용하는 개인용 컴퓨터에 저장되었을 뿐이므로, 위 원고들의 개인정보 관리·통제권의 범위를 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르렀다고 보기 어려우므로, 위 원고들의 개인정보는 누출되지 않았다고 봄이 상당하다고 판시하였다(피시방 컴퓨터를 이용한 원고들에 한하여 위자료 10만원 인정). 이 판결은 개인정보에 관한 안정성 확보에 필요한 기술적·관리적 조치에 대한 구체적 판단에 나아간 판결로서, 서버의 정기점검·업데이트 과정에서 발생할 수 있는 개인정보의 유출에 대하여 회사의 과실을 인정하였고, 나아가 유출로 인한 정신적 피해도 인정한 판결이다. 특히 유출의 개념을 구체화하여 설시한 판결로서, 어느 정도에 이르면 유출을 인정할 수 있을지에 대하여 의미있는 판시를 하고 있다. 3. [2006. 3.] 국민은행 개인정보유출 사건 국민은행은 국민은행과의 사이에 복권서비스 이용계약을 체결한 가입 회원 중 최근 3개월간 위 서비스를 이용하지 아니한 32,277명의 회원들에게 서비스에 관한 안내 이메일을 발송하는 과정에서, 피해자인 원고들을 포함한 위 32,277명의 회원들의 성명, 주민등록번호, 이메일 주소, 최근 접속일자가 수록된 텍스트 파일을 이메일 첨부파일란에 첨부하여 발송하고 말았다. 이후 국민은행은 위 이메일을 전송받은 3,723명의 회원들의 이메일 계정을 관리하는 포털사이트 운영자에게 위 이메일을 회수하여 줄 것을 요청하여, 이미 이메일을 열람한 641명의 회원들을 제외한 나머지 회원들에게 전송된 이메일을 회수하였다. 이 사건에서의 주요 쟁점은, 이메일 주소가 개인정보에 해당하는지 여부, 개인정보 보호에 관한 주의의무를 위반하였는지 여부, 피해자들에게 정신적 손해가 발생하였는지 여부 등이었다. 이에 대해 법원은, 첫째, 이메일 주소는 당해 정보만으로는 특정 개인을 알아볼 수 없을지라도 다른 정보와 용이하게 결합할 경우 당해 개인을 알아볼 수 있는 정보라 할 것이므로 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조 제1항 제6호에서 정한 ‘개인정보’에 해당한다고 판시하였다. 둘째, 국민은행은, 위 이메일에 대한 발송승인을 할 때 메일 서버 시스템의 속도가 과부하로 인하여 순간적으로 느려져 이 사건 파일이 첨부파일란에 업로드되었다는 표시가 나타나지 않았고, 그와 같은 문제로 인하여 위 발송담당자는 이 사건 파일이 이메일에 첨부되었다는 사실을 확인할 수 없는 상태에서 위 이메일을 발송하게 된 것이므로 이 사건 사고는 메일 서버 자체의 기술상의 하자에 기인한 것이어서 과실이 없다는 취지로 다투었으나, 법원은 이메일 발송담당자가 위 이메일을 발송할 때 피고의 메일 서버 시스템이 과부하로 인하여 그 속도가 순간적으로 느려졌다는 점을 인정할 증거가 부족하고, 설사 사실이 그와 같다 하더라도 이 사건 사고가 메일 서버 자체의 기술상의 하자에 기인한 것이라거나 피고에게 과실이 없다고 할 수 없다는 이유로 국민은행의 위 주장을 받아들이지 않았다. 셋째, 법원은 국민은행이 원고들의 성명, 주민등록번호, 이메일 주소 등을 누출함에 따라 원고들은 자신들의 위와 같은 개인정보를 제3자가 알게 되거나 이를 도용 또는 악용할지도 모를 위험에 노출되었다 할 것이므로, 원고들이 이 사건 사고로 받은 정신적 고통은 통상손해이고, 비록 국민은행이 신속하게 사후조치를 취하여 결과적으로 원고들의 성명, 주민등록번호 및 이메일 주소가 악용 또는 도용되었다는 사실이 없는 것으로 판명되고, 이메일 시스템상의 스팸메일 제한장치의 작동으로 스팸메일의 유해성으로부터 어느 정도 보호받을 수 있는 등의 사정들이 있다 하더라도, 이러한 사정들은 위자료 액수의 산정 과정에서 참작할 요소에 불과할 뿐, 이를 이유로 위와 같이 인격권을 침해받은 원고들에게 정신적 손해가 발생하지 않는다고 볼 수는 없다고 판시하였다(성명, 주민등록번호, 이메일주소가 누출된 원고들의 위자료는 20만원, 성명, 이메일주소가 누출된 원고들의 위자료는 10만원). 이 사건에서 이메일 주소가 개인정보에 해당하는 점, 국민은행의 법위반 사실 또는 과실이 인정된 점 외에 관심을 가져야 할 것은, 개인정보가 유출된 경우 겪을 피해자들의 정신적 고통은 통상손해인바, 개인정보가 유출되어 TM, 스팸, 보이스 피싱 등의 2차적 피해가 발생했는지 여부는 정신적 손해 인정에 고려되지 않는다는 점, 유출된 개인정보의 양에 따라 정신적 손해배상의 액수가 달라질 수 있다는 점이다. 4. [2006. 9.] 엘지전자 개인정보 유출 사건 원고들은 엘지전자의 온라인 입사지원사이트에 입사지원의 목적으로 개인정보를 제공하였는데, 불합격통지를 받은 갑이 URL정보를 분석하여 링크파일을 만들고 이를 통하여 일반인들도 쉽게 채용사이트에 접속하여 원고들의 사진, 기본인적사항(성명, 주민등록번호, 전화번호, 주소, 병역사항, 희망근무지ㆍ직무), 상세인적사항(학력사항, 대학교 및 대학원의 경우 학점 포함, 어학성적), 자기소개(자신이 가진 열정에 대하여, 본인이 이룬 가장 큰 성취에 대하여, 본인의 가장 큰 실패 경험에 대하여, 본인의 역량에 관하여, 본인의 성격에 관하여, 본인의 10년 후 계획에 대하여), 경력/인턴(경력회사, 경력상세기술서, 최종연봉·희망연봉, 인턴경험), 연구실적(석사학위 이상만 기재, 수행프로젝트, 세부전공, 입사후 희망 연구분야)을 열람하게 되는 사고가 발생하자, 원고들은 엘지전자를 상대로 손해배상을 청구하기에 이르렀다. 이 사건에서의 주요 쟁점은, 개인정보의 범위, 엘지전자가 불법행위책임자로서 원고들의 정신적 고통을 위자할 의무가 있는지 여부, 정신적 손해 발생 여부, 손해배상의 범위 등이었다. 이에 대하여 법원은, 첫째, 엘지전자는 정보를 취득한 자가 당해 개인을 알지 못하는 한 “화상” 정보인 사진만으로는 개인의 식별이 불가능하다는 취지의 주장을 하나, “개인을 식별할 수 있는 정보”는 당해 정보에 의하여 개인을 식별할 가능성만 있으면 되는 것이고 정보를 취득한 자가 당해 개인이 누구인지 구체적으로 특정할 것은 요하지 않으며, 이 점은 성명이나 주민등록번호의 경우도 마찬가지라고 판시하였다. 그리고 법원은, 둘째, 입사지원사이트의 URL이 Ctrl키와 N키를 함께 누르는 간단한 조작(새창열기 기능의 실행)으로 노출되고, 입사지원자의 지원서 내용을 열람할 수 있는 URL 중 특정 변수의 인자값을 변경하여 입력하면 위 사이트에 침입하여 타인의 입사지원서를 열람할 수 있는 보안취약점을 간과하였고 입사지원사이트의 웹서버에 웹방화벽을 적용하지 않고 있었던 점, 갑은 2006. 9. 21.부터 2006. 9. 26. 이 사건 게시물을 올리기 전까지 인터넷 웹브라우저 프로그램의 주소 입력창에 엘지전자의 입사지원사이트의 주소를 입력하고 Process ID에 임의의 값을 입력하는 방법으로 44회에 걸쳐 엘지전자의 입사지원사이트를 방문하여 다른 사람의 입사지원정보를 열람하였다. 그러나 엘지전자의 전산시스템은 이와 같은 침입에 대한 탐지장치가 구비되어 있지 않았던 점, 갑이 만든 간단한 자바스크립트 링크파일을 실행하기만 하면 로그인 등 아무런 인증절차 없이 엘지전자의 DB서버에 저장된 입사지원자 50명의 사진(화상정보)이 한꺼번에 보여지고 사진을 클릭하면 당해 개인의 학력, 자기소개서 등의 정보가 노출되었던 점, 갑은 같은 방법으로 다른 대기업의 입사지원사이트에도 침입을 시도하였으나, 엘지전자 등 4개 회사를 제외하고는 보안장치에 막혀 그 뜻을 이루지 못한 점 등에 비추어 보면, 엘지전자는 당시의 기술수준에 비추어 보더라도 엘지전자가 그 신입사원의 채용을 위한 목적으로 보관중인 개인정보의 분실·도난·누출 등 방지에 필요한 보안조치를 강구하여야 할 주의의무를 위반하였다고 할 것이다. 이로 말미암아 갑이 위 URL정보를 분석하여 위 링크파일을 만들고 이를 통하여 일반인들도 쉽게 이 사건 채용사이트에 접속하여 위 원고들의 입사지원정보를 열람하게 되는 결과가 발생하였으니, 엘지전자의 위와 같은 과실과 이 사건 사고 사이에는 상당인과관계가 있다고 판시하였다. 또한 셋째로, 위 원고들이 이 사건 사고로 인하여 자신들이 입사지원의 목적으로 제공한 개인정보가 불특정 다수인들에 의하여 열람당함으로써 정신적 고통을 받았을 것임은 경험칙상 쉽게 인정할 수 있으므로, 엘지전자는 불법행위책임으로서 위 원고들의 정신적 고통을 금전으로나마 위자할 의무가 있다고 하였다(위자료 30만원 인정). * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 7. 29.) 기고.

스타트업기업은 대부분 자본금이 소액이고 따라서 상법상 소규모회사로 분류된다. 상법상 소규모회사로 분류되는 경우 규제가 완화되고, 특히 주주총회, 이사회ㆍ대표이사, 감사 운영에 있어 일반회사와 다른 법 적용이 존재하는바 이 점에 대하여 자세히 살펴보고자 한다. 상법상 주식회사는 그 규모에 따라 2가지 형태로 분류되며, 그 중 하나는 자본금 총액이 10억원 미만의 회사 즉 ‘소규모회사’이고, 다른 하나는 자본금 총액이 10억원 이상인 ‘일반회사’이다. 여기서 자본금이란 ‘발행주식 × 액면총액’에 해당한다(상법 제451조 제1항). 다만 무액면주식이 발행된 경우에는 상법이 별도로 규정하고 있는데, 회사가 무액면주식을 발행하는 경우 회사의 자본금은 주식 발행가액의 2분의 1 이상의 금액으로서 이사회에서 자본금으로 계상하기로 한 금액의 총액이 자본금에 계상된다(제451조 제2항). 소규모회사가 아닌 일반회사의 경우 상법의 규정이 그대로 적용되지만, 자본금 총액이 10억원 미만인 소규모회사인 경우에는 일반회사와 구분되는 몇 가지 규제완화 특례가 존재한다. 1) 주주총회의 특례, 2) 이사회와 대표이사의 특례, 3) 감사의 특례, 4) 발기설립시 정관의 효력발생 특례가 그것이다. <주주총회의 특례> 우선 소규모회사에 대하여는 주주총회의 특례가 적용된다. 일반회사의 경우 주주총회를 소집할 때에는 주주총회일의 ‘2주’ 전에 각 주주에게 서면으로 통지를 발송하거나 각 주주의 동의를 받아 전자문서로 통지를 발송하여야 하지만(제363조 제1항), 소규모회사의 경우는 주주총회일의 ‘10일’ 전에 각 주주에게 서면으로 통지를 발송하거나 각 주주의 동의를 받아 전자문서로 통지를 발송할 수 있다(같은 조 제3항). 즉 통지기간을 단축할 수 있다. 위 통지기간 단축(제363조 제3항)보다 실무적으로 중요한 특례는 1) 주주 전원의 동의가 있을 경우에는 주주총회 소집절차 없이도 주주총회를 개최할 수 있고, 2) 서면에 의한 결의로써 주주총회의 결의를 갈음할 수 있다(같은 조 제4항)는 것이다. 즉 소규모회사의 경우 주주 전원의 동의를 얻어 통지절차 등의 소집절차를 생략하고서 곧바로 편하게 주주총회를 개최할 수 있고, 나아가 더 중요한 것은 심지어 주주총회를 개최하지 않는 서면결의 방식도 가능하다는 점이다. 서면결의는 서면투표와 구별해야 하는데, 주주총회의 참여 없이도 서면으로 의결권을 행사하는 것이 서면투표인바 1999년 상법 개정으로 도입되었으며 이는 소액주주의 의결권 행사의 편의성 제고 차원에서 도입된 것이다(상법 제368조의3). 여기서 중요한 것은 주주가 서면투표를 하더라도 주주총회 개최를 생략할 수 없다는 점이고 주주의 서면투표를 허용하려면 미리 정관에 정함이 있어야 한다는 점이다. 반면 서면결의란 소규모회사의 주주총회 소집이나 운영으로 인한 부담을 덜어주기 위하여 도입된 것으로서, 서면결의는 서면투표와 달리 서면결의로써 주주총회를 갈음하므로 별도로 주주총회를 개최하지 않아도 된다. 따라서 서면에 의한 결의는 주주총회의 결의와 같은 효력이 있는 것이고(제363조 제6항), 나아가 결의의 목적사항에 대하여 주주 전원이 서면으로 동의를 한 때에는 서면에 의한 결의가 있는 것으로 본다(제363조 제4항). <이사회와 대표이사의 특례> 일반회사의 경우 이사는 3명 이상이어야 하나 소규모회사의 경우는 1인 또는 2인으로도 정할 수 있다(제383조 제1항). 여기서 주의할 점은 소규모회사라도 정관으로 이사를 3명 이상 둘 수 있도록 한 경우에는 이사회를 설치해야 하는 등 일반회사와 동일한 법 적용을 받고, 소규모회사 중에서 1인 또는 2인의 이사를 둘 수 있도록 정관으로 정한 경우에만 아래 소규모회사의 특례가 적용된다는 것이다. 즉 실제 이사를 2명 두었다고 하더라도 정관상 3명 이상 이사를 둘 수 있도록 한 경우에는 아래의 소규모 특례가 적용되지 않는다는 점이다. 결국 정관상 1인 또는 2인으로 이사를 둘 수 있도록 정한 경우에만 아래 이사회와 대표이사의 특례가 적용된다. 많은 스타트업기업들이 다른 회사의 정관을, 특히 대규모 회사의 정관이 잘 되어 있을 것이라 생각하여 맹목적으로 참조하는 경우가 빈번한데, 그냥 그대로 참조하면 안 되고 반드시 이사 수를 2인 이하로 정할 수 있도록 정관 조항을 수정해야만 비로소 소규모회사의 특례가 적용됨을 유의해야 할 것이다. 소규모회사 중 정관으로써 2인 이하로 이사를 둘 수 있도록 정한 회사는, 1) 상법상 이사회가 존재하지 않으며(2인 이하로 구성된 이사회는 상법상 이사회로 보지 않음), 2) 이사회가 존재하지 않으므로 이사회의 결의사항은 이사회 대신에 존재하는 업무집행기관인 주주총회의 결의에 의하여야 하고, 3) 이 경우 주주총회의 결의는 이사회와 달리 사람 수가 아닌 지분 수에 따라 결의하며, 4) 주주총회의 의결 방법은 보통결의의 방법에 따른다. (제383조 제4항 참조) 5) 나아가 이사회가 존재하지 않으므로 이사회에 관한 제반 규정이 배제되며, 6) 대표이사에 대하여 정관으로 정함이 있는 경우에는 그 대표이사가 회사를 대표하지만 그렇지 않은 경우에는 각 이사가 회사를 대표한다. (제383조 제5항, 제6항 참조) 한편 정관상 이사가 3인인데 실제로는 이사가 2인인 경우, 소규모회사라도 이사회는 반드시 설치해야 한다. 이 경우 이사회 결의를 위해서는 상법 제368조 제2항에 따라 일시 이사를 두어야 하며, 일시 이사를 두지 않고 이사 2인인 상태에서 이사회 결의를 하는 경우에는 부적법하다고 본다. <감사의 특례> 소규모회사는 감사를 선임하지 않을 수 있다(상법 제409조 제4항). 여기서 주의할 점은 이사회와 달리 정관에 3인 이상으로 이사를 둘 수 있도록 한 경우에도 감사는 선임하지 않아도 된다는 것이다. 상법 제409조 제4항은 감사를 ‘선임하지 않을 수 있다’라고 규정하고 있는바, 따라서 회사가 감사를 선임하는 선택을 하여도 무방하다. 소규모회사가 감사를 두지 않은 경우, 이사와 회사 간의 분쟁에서 회사를 대표할 자가 없으므로 이사 등은 법원에 회사를 대표할 자를 선임하여 줄 것을 신청하여야 한다(제409조 제5항). 즉 일반회사의 경우 이사와 회사 간의 분쟁에서 감사가 회사를 대표하는데, 감사를 두지 않은 소규모회사의 경우는 감사가 존재하지 않으므로 법원이 회사를 대표할 자를 이사 등의 신청에 의하여 정하는 것이다. 나아가 감사를 두지 않은 소규모회사의 경우는 주주총회가 감사의 업무를 수행한다. 주주총회가 감사의 업무를 수행하므로, 일반회사에서 감사가 행하는 이사의 직무집행 감사ㆍ조사, 이사의 보고, 자회사의 조사 등은 업무는, 소규모회사에서는 주주총회가 수행하여야 한다. <발기설립시 정관의 효력발생 특례> 그 밖에 일반회사의 경우 정관은 공증인의 인증을 받음으로써 효력이 발생하지만, 발기설립하는 소규모회사의 경우는 각 발기인이 정관에 기명날인 또는 서명함으로써 정관의 효력이 발생하며(상법 제29조), 이 또한 소규모회사의 특례라 할 수 있다. 이상 소규모회사의 특례 조항을 살펴보았는바, 우리 상법은 소규모회사의 사정이나 재정 등을 고려하여 여러 규제를 완화해 주고 있다. 이러한 특례 조항은 1998년 상법에 도입되었다가 2009년 그 기준을 자본총액 5억원에서 10억원으로 상향조정함으로써 그 적용범위를 확대해 가고 있는 추세이다. ‘규제차등제’의 정신이 녹아있는 것이다. 이미 소개한 대로 스타트업기업의 경우 대부분 소규모회사의 특례를 적용받을 수 있음에도 무분별한 정관 베끼기 등으로 특례 적용에서 자신도 모르게 벗어나는 경우가 발생하고 있는바, 스타트업기업은 소규모회사의 적용요건을 바르게 익혀 규제 완화의 법령상 혜택을 누리고, 남은 리소스를 연구개발이나 회사 성장에 유용하게 사용함이 적절할 것이다. * 법무법인 민후 김경환 변호사, 디지털데일리(2016. 3. 9.), 리걸인사이트(2016. 3. 9.) 기고.

개인정보처리자는 개인정보의 익명처리가 가능한 경우에는 익명에 의하여 처리될 수 있도록 하여야 한다(개인정보보호법 제3조 제7항). 익명화(Anonymisation)에 의한 개인정보처리는 개인정보보호법에서도 중요한 개인정보보호 원칙으로서 제시되고 있다. 이러한 익명화가 개인정보 분석과 처리가 활성화되는 빅데이터 시대에 프라이버시 보호 대책으로서 각광을 받고 있다. 장래 더더욱 중요성을 가지게 될 익명화에 의한 개인정보처리에 대하여, 영국 ICO(Information Commissioner’s Office)의 익명데이터 실무지침(Anonymisation : managing data protection risk code of practice)의 내용을 참조하여 살펴보고자 한다. 익명화란? 익명화 처리란, 정보주체를 식별하거나 식별할 수 있는 개인정보를 처리하여, 식별하지 못하거나 식별할 수 없는 형태로 만드는 조치를 의미한다. 대표적으로 CCTV로 수집되는 영상에서 얼굴을 마스킹하는 것이 그러한 예이다. 익명화 기술로는, 데이터에서 이름과 같은 식별자를 없애는 데이터마스킹(Data Masking), 개인을 식별할 수 있는 식별자 대신에 새로운 인식기호를 붙이는 슈도니미제이션(Pseudonymization), 총체적으로 데이터를 표시하여 정보주체를 식별하지 못하게 하는 어그리게이션(Aggregation), 정확한 원래정보는 보여주지 않고 특징값이나 파생값을 표시하는 데이터파생(Derived Data) 등이 있다. 예컨대, [이순진, 26세, 여성, 학생, 대전 거주]이라는 데이터세트에서 이순진을 없애면 데이터마스킹이라 하고, 이순진을 없애고 NFJ001이라는 인식기호를 붙이면 슈도니미제이션, 26세ㆍ대전 거주라는 정보를 25세 이상 35세 미만ㆍ충청권 거주로 표현하면 어그리게이션이라 할 수 있다. 익명화를 하면 개인정보보호법이 적용되지 않는가? 익명화의 목적은 프라이버시 보호이다. 즉 식별성을 없애 누구의 정보인지 모르게 함으로써, 누구의 정보가 처리되는지 구분할 수 없도록 하는 것이다. 프라이버시 보호 목적과는 별개로, 익명화된 정보에 대하여 개인정보보호법이 적용되는가? 원칙적으로 익명화된 정보에 대하여는 개인정보보호법이 적용되지 않는다. 더 이상 식별성이 없어 개인정보가 아니기 때문이다. 하지만 원래부터 식별성 및 식별가능성이 없어 개인정보가 아닌 정보와, 일단 개인정보였다가 익명화 처리를 통하여 식별성 및 식별가능성이 없어진 정보를 동일하게 취급하는 것이 타당한가 하는 의문이 생긴다. 익명화된 정보에 대하여 개인정보보호법이 적용되지 않더라도, 완전히 개인정보보호법의 적용을 배제하는 것은 타당하지 않다. 왜냐하면 익명화된 정보는 재식별화(re-identification) 과정을 거쳐 언제든지 식별정보가 될 수 있는 위험이 있고, 그래서 정보주체의 참여권을 완전히 배제하는 것은 부당하기 때문이다. 따라서 익명화된 정보에 대하여 어느 정도 규율은 필요하다. 하지만 아직 우리 법제도는 이러한 점까지는 다루지 못하고 있다. 익명화된 정보처리 기술은 프라이버시 보호에 도움이 된다는 것이지, 완벽하게 프라이버시 보호를 해 줄 수 있는 것은 아니기에 이러한 점에 대하여는 법적 보완이 있어야 한다. 재식별화의 위험 이 세상에 완벽한 익명화는 존재하지 않는다. 언제든지 익명화된 정보는 다시 식별정보로 바뀔 수 있는 위험이 있다. 따라서 익명화된 정보에 대하여 원칙적인 개인정보보호법 적용배제를 시켜주는 대신, 반드시 점검해야 할 것이 바로 익명화 처리의 신뢰성이다. 재식별화란 두 가지 과정으로 발생하는데, 첫째는 기존에 소지하고 있는 식별정보와 결합하여 익명화 정보를 식별화시키는 것, 둘째는 비식별적인 익명화 정보를 분석ㆍ결합하여 식별화시키는 것인데, 후자가 더 큰 걱정거리이다. 재식별화는 시간의 흐름이나 기술의 발전에 따라 점차 용이해질 수 있기 때문에, 이러한 점에 대하여도 기술적ㆍ법적 고려가 있어야 한다. 정보주체의 참여권 익명화에 의한 정보처리의 경우, 특히 익명화된 정보를 공개하는 경우에도 어느 정도 정보주체의 참여권은 보장되어야 한다. 다만 식별정보 처리의 경우처럼 엄격한 참여권 보장은 필요하지 않다. 우선 식별정보를 익명화하는 과정에서 정보주체의 사전 동의를 받아야 하는가? 법적으로 보면, 정보주체의 동의는 불필요하다고 본다. 그러나 민감한 정보처리 등 일정한 경우는 고지 정도는 해 주어야 하지 않을까. 한편 식별정보를 수집하는 과정에서 정보주체가 익명화에 의한 정보처리에 대하여 반대한 경우 또는 식별정보를 수집하는 과정에서 고지한 수집ㆍ처리목적을 벗어난 경우에도 익명화된 정보를 처리하는 것이 허용되는가의 문제도 발생하고 있다. 악용의 문제 익명화 정보처리는 의료정보 등의 정보처리 과제에서 특히 중요하게 다루어지고 있다. 앞으로 유용한 처리수단으로 정착되어야 하겠지만, 일부에서는 개인정보 파기 대신에 식별자를 떼어내는 등의 익명화 처리를 하여 무기한 보관하는 경우도 있다. 식별성에만 의존하고 있는 현행 개인정보보호법을 형식적으로 적용하면 이러한 행태에 문제가 없어 보이긴 하지만, 이러한 관행을 그대로 두게 되면 장차 개인정보의 파기 절차는 사실상 무의미하게 될 것으로 보인다. 예컨대 입사지원자 중 탈락자의 개인정보를 파기하지 않고 일부 식별자를 제거한 다음 보관하는 식으로 블랙리스트를 만들어 이를 활용해도 법적으로 제재할 방법이 없게 되는 것이다. 익명화에 의한 개인정보처리. 빅데이터 시대를 맞이한 우리에게 반드시 필요한 것이다. 하지만 법적으로 보면 위험요소나 고려해야 할 것이 산적해 있는 상태이다. 법이 정비가 되지 않으면 익명화에 의한 개인정보처리도 활성화되지 않을 수 있다. IT법이 기술 발전 속도에 어깨를 나란히 해야 하는 이유이다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2013. 9. 8.), 리걸인사이트(2016. 2. 25.) 기고.

1. 정의규정 여객의 운송과 관련한 다른 사람의 수요에 응하여 모바일, 홈페이지 등에서 사용되는 응용프로그램을 제공하는 사업 2. 종류 가. 여객자동차 플랫폼운송사업 : 자동차를 확보하여 여객을 운송서비스를 제공하는 사업 (이하 '플랫폼운송사업') ex. 타다 나. 여객자동차 플랫폼운송가맹사업 : 택시를 가맹점으로 모집하여 운송서비스를 제공하는 사업 (이하 '플랫폼운송가맹사업') ex. 카카오T블루, 마카롱택시, 타다 LITE 다. 여객자동차 플랫폼운송중개사업 : 운송플랫폼을 통하여 자동차를 사용한 여객운송을 중개하는 사업 (이하 '플랫폼운송중개사업') ex. 카카오T, T맵 택시​ 제49조의2(여객자동차운송플랫폼사업의 종류) 여객자동차운송플랫폼사업의 종류는 다음 각 호와 같다. 1. 여객자동차플랫폼운송사업: 운송플랫폼과 자동차를 확보(자동차대여사업자의 대여사업용 자동차를 임차한 경우를 포함하며, 이 경우 제34조제1항은 적용하지 아니한다)하여 다른 사람의 수요에 응하여 유상으로 여객을 운송(운송플랫폼을 통해 여객과 운송계약을 체결하는 경우에 한정한다)하거나 운송에 부가되는 서비스를 제공하는 사업 2. 여객자동차플랫폼운송가맹사업: 운송플랫폼을 확보하여 다른 사람의 수요에 응하여 제49조의11에 따른 소속 여객자동차플랫폼운송가맹점에 의뢰하여 여객을 운송하게 하거나 운송에 부가되는 서비스를 제공하는 사업 3. 여객자동차플랫폼운송중개사업: 다른 사람의 수요에 응하여 운송플랫폼을 통하여 자동차를 사용한 여객운송을 중개하는 사업 3. 플랫폼운송사업의 허가 - 국토부장관의 허가 필요 - 허가기준 : 사업계획의 적합성이나 기준을 고려함 제49조의3(여객자동차플랫폼운송사업의 허가 등) ① 여객자동차플랫폼운송사업(이하 "플랫폼운송사업"이라 한다)을 경영하려는 자는 사업계획을 작성하여 국토교통부령으로 정하는 바에 따라 국토교통부장관의 허가를 받아야 한다. ② 국토교통부장관은 제1항에 따라 플랫폼운송사업을 허가하는 경우 30년의 범위에서 대통령령으로 정하는 기간을 한정하여 허가하거나, 플랫폼운송사업의 질서를 확립하기 위하여 필요한 조건을 붙일 수 있다. ③ 제1항에 따른 플랫폼운송사업의 허가기준은 다음 각 호와 같다. 1. 사업계획이 수송 수요와 택시 총량 등을 고려한 수송력 공급에 적합할 것 2. 사업계획이 새로운 운송수요를 창출할 수 있고, 대통령령으로 정하는 여객자동차운송사업과 차별화된 서비스를 제공할 수 있는 내용을 포함하고 있을 것 3. 최저 허가기준 대수, 차고지 등 운송시설, 보험가입, 그 밖에 국토교통부령으로 정하는 기준에 적합할 것 ④ 국토교통부장관은 제1항에 따라 플랫폼운송사업을 허가하려는 경우 제49조의4에 따른 플랫폼운송사업심의위원회의 심의를 거쳐야 한다. ⑤ 국토교통부장관은 여객 수요, 「택시운송사업의 발전에 관한 법률」에 따른 택시 감차(減車)의 실적 추이, 국민 편익 등을 고려하여 플랫폼운송사업의 총 허가대수를 관리할 수 있으며, 필요한 경우 허가대수를 배분하는 방식으로 허가할 수 있다. ⑥ 제1항에 따라 플랫폼운송사업의 허가를 받은 자(이하 "플랫폼운송사업자"라 한다)가 사업계획을 변경하고자 하는 때에는 국토교통부령으로 정하는 바에 따라 국토교통부장관의 인가를 받아야 한다. 다만, 국토교통부령으로 정하는 경미한 사항을 변경하는 경우에는 국토교통부령으로 정하는 바에 따라 국토교통부장관에게 신고하여야 한다 ⑦ 국토교통부장관은 제6항 단서에 따른 변경신고를 받은 날부터 5일 이내에 신고수리 여부를 신고인에게 통지하여야 한다. ⑧ 국토교통부장관이 제7항에서 정한 기간 내에 신고수리 여부 또는 민원 처리 관련 법령에 따른 처리기간의 연장 여부를 신고인에게 통지하지 아니하면 그 기간이 끝난 날의 다음 날에 신고를 수리한 것으로 본다. ⑨ 제2항에 따른 허가기간이 만료된 후 계속하여 플랫폼운송사업을 경영하고자 하는 자는 국토교통부령으로 정하는 바에 따라 허가를 갱신하여야 한다. 4. 플랫폼운송사업의 기여금 - 플랫폼운송사업자는 기여금을 국토부장관에 납부하여야 함 (*매출액의 5%, 운행횟수당 800원, 허가대수당 월 40만원 중 택일할 것으로 예상됨) 제49조의5(기여금의 납부 등) ① 플랫폼운송사업자는 허가대수 또는 운행횟수 등을 고려하여 대통령령으로 정하는 여객자동차운송시장안정기여금(이하 "기여금"이라 한다)을 국토교통부장관에게 납부하여야 한다. ② 국토교통부장관은 기여금을 「택시운송사업의 발전에 관한 법률」에 따른 택시 감차, 택시운수종사자의 근로여건 개선 등의 목적으로 사용할 수 있다. ③ 플랫폼운송사업자는 기여금을 납부기한까지 납부하지 아니한 경우에는 대통령령으로 정하는 비율로 계산한 연체료를 납부하여야 한다. ④ 국토교통부장관은 기여금 및 연체료 수납 업무, 기여금의 집행 업무를 국토교통부령으로 정하는 기관에 위탁할 수 있다. ⑤ 국토교통부장관은 플랫폼운송사업자가 대통령령으로 정하는 기간 동안 기여금(연체료를 포함한다)을 납부하지 아니한 경우 대통령령으로 정하는 바에 따라 허가를 취소하거나 6개월 이내의 기간을 정하여 사업의 전부 또는 일부를 정지하도록 명할 수 있다. ⑥ 기여금의 납부 주기, 납부 방법 및 그 밖에 기여금의 납부에 필요한 사항은 대통령령으로 정한다. 5. 플랫폼운송사업의 신고 사항 - 운임, 요구 등을 국토부장관에게 신고하여야 함 제49조의6(플랫폼운송사업 운임ㆍ요금의 신고 등) ① 플랫폼운송사업자는 운임이나 요금을 정하려는 때에는 국토교통부령으로 정하는 바에 따라 국토교통부장관에게 신고하여야 한다. 운임이나 요금을 변경하려는 때에도 또한 같다. ② 국토교통부장관은 제1항에 따른 신고 또는 변경신고를 받은 날부터 국토교통부령으로 정하는 기간 내에 신고수리 여부를 신고인에게 통지하여야 한다. ③ 국토교통부장관이 제2항에서 정한 기간 내에 신고수리 여부 또는 민원 처리 관련 법령에 따른 처리기간의 연장 여부를 신고인에게 통지하지 아니하면 그 기간이 끝난 날의 다음 날에 신고를 수리한 것으로 본다. ④ 플랫폼운송사업자는 운송플랫폼을 통해 여객과 운송계약을 체결할 때 제1항에 따라 신고된 운임이나 요금의 범위 내에서 여객에게 받을 운임이나 요금을 고지하여야 한다. 6. 플랫폼운송중개사업의 등록 - 국토부장관에게 등록을 하여야 함 제49조의18(여객자동차플랫폼운송중개사업의 등록) ① 여객자동차플랫폼운송중개사업(이하 "플랫폼중개사업"이라 한다)을 경영하려는 자는 국토교통부령으로 정하는 바에 따라 국토교통부장관에게 등록할 수 있다. ② 제1항에 따라 등록한 자가 그 등록한 사항을 변경하거나 말소하고자 할 경우 국토교통부장관에게 신고하여야 한다. ③ 국토교통부장관은 제2항에 따른 신고를 받은 날부터 국토교통부령으로 정하는 기간 내에 신고수리 여부를 신고인에게 통지하여야 한다. ④ 국토교통부장관이 제3항에서 정한 기간 내에 신고수리 여부 또는 민원 처리 관련 법령에 따른 처리기간의 연장 여부를 신고인에게 통지하지 아니하면 그 기간이 끝난 날의 다음 날에 신고를 수리한 것으로 본다. ⑤ 제1항 및 제2항에 따른 등록 및 신고의 기준과 절차 등에 관하여 필요한 사항은 국토교통부령으로 정한다. ⑥ 제1항에 따른 플랫폼중개사업 등록의 결격사유에 관하여는 제6조를 준용한다. 7. 플랫폼운송중개사업의 신고 사항 - 플랫폼 이용요금을 국토부장관에게 신고하여야 함 제49조의19(플랫폼운송중개요금) ① 제49조의18제1항에 따라 플랫폼중개사업의 등록을 한 자(이하 "플랫폼중개사업자"라 한다)는 운송플랫폼 이용자에게 운송플랫폼 이용에 따른 요금을 받을 수 있다. ② 플랫폼중개사업자가 제1항에 따른 요금을 정하려는 때에는 국토교통부장관에게 신고하여야 한다. ​ * 법무법인 민후 김경환 변호사 작성, 블로그(2020. 11. 4.) 기고.

1.크롤링은 무엇인가 크롤링(crawling, 또는 스크래이핑, scraping)이란 웹페이지의 내용을 그대로 가져와서 필요한 데이터를 추출해 내는 행위를 말하고, 크롤링이 웹페이지에 대하여 이루어지면 웹크롤링이라 부른다. 크롤링하는 소프트웨어 봇을 통상 크롤러라고 부른다. 즉 크롤링은 데이터를 대량 수집하는 기법으로서, 통상 구글 등의 검색엔진이 크롤링을 통하여 모은 다음 이를 색인한 검색결과를 대중에게 보여주곤 한다. 2. 크롤링은 위법한가 모든 크롤링 행위가 위법이라고 단정하기는 곤란하며, 합법적인 크롤링과 불법적인 크롤링으로 구별하는 것이 바람직하다. 합법적인 크롤링은 사이트 운영자의 의사에 반하지 않은 크롤링을 의미하고, 반대로 불법적인 크롤링은 사이트 운영자의 의사에 반하거나 또는 실정법을 어긴 크롤링을 의미한다. 대표적으로 웹사이트 운영자가 웹서버의 홈디렉토리에 위치한 robots.txt 파일에 포괄적인 크롤링 금지 또는 특정 검색엔진의 크롤링 금지, 특정 디렉토리에 대한 크롤링 금지 등을 표시하였음에도 불구하고, 그 표시를 무시하고 크롤링을 하였다면 이는 사이트 운영자의 의사에 반한 크롤링에 해당하는 것이다. 웹사이트 운영자는 robots.txt 외에 메인페이지의 하단, 약관 등에 크롤링 금지를 표시할 수도 있다. 그럼에도 이를 무시하고 크롤링이 이루어졌다면 이 역시 사이트 운영자의 의사에 반한 크롤링에 해당하는 것이다. 3. 불법적인 크롤링에 대한 법적 대응방안은 불법적인 크롤링은 저작권 침해에 해당할 수 있다. 크롤링은 웹페이지 내용을 그대로 긁어가는 것이기에, 그 가운데에 웹페이지 소스도 당연히 포함되어 가는 것이고, 웹페이지 소스 중 웹프로그래밍 요소는 저작물로 인정될 수 있으며 저작물로 인정되는 웹프로그래밍 요소에 대한 불법 복제 행위는 저작권 침해에 해당하기 때문이다. 다만 웹페이지 소스 중 웹프로그래밍 요소가 아닌 단순 태그는 저작물에 해당하지 않을 가능성이 크기 때문에 저작권 침해를 주장하기는 어려워 보인다. 저작권 침해에 해당한다면, 피해를 입은 사이트 운영자는 형사고소, 민사 크롤링 금지청구, 민사 손해배상 청구 등의 조치를 취할 수 있다. 불법적인 크롤링은 데이터베이스(DB)권 침해에도 해당할 수 있다. 데이터베이스권은 저작권법에 명시되어 있지만, 태생적으로 저작권과 약간 다른 위치에 있는 권리이다. 어쨌든 우리 저작권법은 데이터베이스제작자의 권리를 인정하고 있는바, 불법적인 크롤링은 데이터베이스 내용의 무단 복제가 포함되어 있는 경우가 일반적이므로, 피해를 입은 사이트 운영자는 데이터베이스권의 침해를 이유로 형사고소, 민사 크롤링 금지청구, 민사 손해배상 청구 등의 조치를 취할 수 있다. 불법적인 크롤링은 부정경쟁행위에도 해당할 수 있다. 부정경쟁행위는 타인의 상당한 투자나 노력으로 만들어진 성과 등을 공정한 상거래 관행이나 경쟁질서에 반하는 방법으로 자신의 영업을 위하여 무단으로 사용함으로써 타인의 경제적 이익을 침해하는 행위를 말하는데, 쉽게 표현하면 무임승차를 의미한다. 경쟁업체의 성과에 대하여 무임승차하는 것은 위법한데, 크롤링을 통하여 무임승차하는 경우가 빈번하게 발견되곤 한다. 이러한 불법적인 크롤링은 부정경쟁금지법 위반에 해당하여, 피해를 입은 사이트 운영자는 민사 크롤링 금지청구 또는 민사 손해배상청구 등의 조치를 취할 수 있다. 4. 크롤링에 대한 예방방안은 정보가 기업의 핵심가치라는 점을 고려하면 원하지 않은 크롤링에 대하여는 강력하게 대처하는 게 바람직하고 사후적인 대처보다는 사전적인 예방이 더 바람직하다는 것은 두말할 필요가 없다. 기술적으로는 IP 차단, 수동 입력창 설치 등의 안티크롤링 기술을 도입하는 게 필요하다. 하지만 기술적인 조치는 언제든지 회피가능하기에, 창과 방패의 경쟁 구도처럼 진행될 수 있다는 점에 주의하여야 한다. 법적 예방조치로는 우선적으로 robots.txt를 잘 구현하는 방법이 있고, 그 외에 홈페이지 하단 또는 약관 등에 명확하게 크롤링이 금지됨을 밝혀주는 게 바람직하다. 이러한 조치를 하였음에도 불구하고 계속적으로 크롤링을 한다면 가처분 등의 조치를 통하여 신속하게 대처하는 것도 바람직하다. 5. 마치면서 불법적인 크롤링의 피해자가 적지 않고, 특히 경쟁업체 사이에 크롤링이 많이 발생하곤 한다. 심지어 크롤링을 통한 고객 빼오기 등의 피해사례도 자주 발생하고 있다. 결론적으로, 불법적인 크롤링은 금지되어야 한다. 크롤링에 대하여 불법이 아니라고 생각하는 사람들이 많으나, ‘리그베다위키(구 엔하위키)-엔하위키 미러 판결’ 또는 ‘잡코리아-사람인 판결’에서 우리나라 법원은 엔하위키 미러의 또는 사람인의 무단 크롤링 행위에 대하여 명확하게 불법이라고 판단하였다는 점을 명심하여야 할 것이다. * 법무법인 민후 김경환 변호사 작성, 디지털데일리(2017. 1. 18.), 리걸인사이트(2017. 1. 19.) 기고.

주주총회 시즌이 다가오고 있다. 그런데 주주총회의 소집절차를 보면 소규모 회사(자본금 10억 미만)의 입장에서는 여간 까다로운 것이 아니다. 주주총회를 개최하기 위해서는, 가장 기본적인 사항들만 정리해보더라도 이사회 결의를 통하여 안건, 주주총회 소집일자, 의결권행사 기준일 및 주주명부 폐쇄기간을 설정해야함은 물론, 주주총회 개최일 2주전까지 소집통지를 해야 한다. 주주총회를 개최하고 난 이후에도 주주총회 의사록을 작성해야 하고, 의사록 작성 후에도 등기할 사항이 있는 경우 공증을 받아 관할 등기소에 등기 신청을 해야 한다. 그런데 주주의 수가 많지 않아 주주들 사이 소통이 원활한 회사에까지 이러한 절차를 무조건적으로 요구하는 것은 기업의 영리성 및 기업조직의 유지를 지원하기 위한 목적에서 제정된 상법의 취지와는 부합하지 않는다. 서면결의 관련 실무상 논란 여기서 문제는 서면결의의 경우에도, 의사록(회의록)을 작성할 의무가 존재하는지 여부이다. 의사록은 주주총회를 개최한 후 주주총회 의사의 경과요령과 그 결과를 기재하기 위하여 작성하는 것이기 때문에(상법 제373조), 주주총회를 개최하지 않고 회의를 한 사실이 없는 서면결의의 경우에도 의사록을 작성해야하는가에 대한 의문이 발생할 수밖에 없기 때문이다. 상법은 서면에 의한 결의에 대하여는 주주총회에 관한 규정을 준용한다고만 정해 추상적으로 규율하고 있기 때문에 서면 결의 이후의 후속 절차에 대해서는 어디까지 주주총회에 관한 규정을 준용할 것인지 해석에 의존할 수밖에 없어, 계속적으로 논란이 되고 있다. 이와 관련해 법무부는 서면에 의한 결의로써 주주총회의 결의를 갈음하는 경우 의사록이 작성돼야 한다고 해석한 바가 있기는 하나, 법률상으로 명확한 것이 없다. 이에따라 상업등기와 관련해 등기신청서에 주주전원의 동의서와 서면결의서를 첨부하면, 별도의 의사록 없이도 등기사무가 처리되는 경우가 많은 것이 현실이다. 서면결의 의사록 작성과 입법의 필요성 주주총회 의사록은 회사의 중요한 의사결정 사항에 대한 일종의 보고문서 형태의 성격을 갖고, 회사는 위 의사록을 본점과 지점에 비치해야할 의무가 있다. 반대로 주주와 회사채권자는 영업시간 내에 언제든지 회사에 비치된 주주총회의사록에 대해 열람 또는 등사를 청구할 수 있는 권리가 있으며(상법 제396조 2항), 만일 회사가 이러한 의무를 해태한 경우 과태료에 처해질 수도 있다. 즉 의사록은 단순히 내부적 보고문서로서의 성격만을 갖는 것이 아니라, 회사 주주 및 회사채권자에게 회사 운영상황에 대한 중요정보를 제공하는 기능을 보유하고 있다. 따라서 소규모 회사에 대해 주주총회 결의사항을 서면결의로서 갈음할 수 있도록 한 이상, 해당 결의사항에 대한 정보를 주주 및 회사채권자가 언제든지 열람하고 파악할 수 있도록 보장하는 것은 거래 안전 측면에 있어서 중요하다. 따라서 서면결의에 따른 의사의 요령 및 진행경과를 파악할 수 있는 의사록 작성 의무를 법령을 통해 부과할 필요성이 있고, 등기 신청시에도 이를 확인할 수 있는 의사록을 첨부하도록 규정할 필요성이 있다. 최근엔 스타트업과 같이 소규모회사가 많이 등장했고 소규모 회사라 할지라도 주주나 채권자의 구성이 과거에 비하여 점점 복잡 다변화되고 있는 추세다. 기업의 영리성 및 기업조직의 유지를 효율적으로 지원하면서도 거래 안전을 도모할 수 있는 효과적인 방안들이 등장할 수 있기를 기대한다. * 법무법인 민후 이연구 변호사 작성, 이데일리(2021. 3. 14.) 기고.

지식재산권 실무를 하면서 가장 많이 받는 질문 중의 하나가 “특허, 상표, 저작권, 디자인권, 영업비밀이 있다는데, 다 그 말이 그 말 같은데 도대체 그 차이가 뭔지 잘 모르겠어요”는 것이다. 사실 지식재산권의 이해가 어려운 것도 그 개념상의 차이를 알지 못하는 데 기인한 점이 크다. 이에 본고에서는 각 지식재산권의 개념과 차이점, 구별방법 등을 이번 남아공 월드컵의 공식구인 ‘자블라니(jabulani, 남아공 줄루어로서 축하한다는 의미를 가짐)’를 중심으로 검토하고자 한다. 만일 우연이라도 사랑하는 자녀로부터 위 질문을 받는다면 이제 아버지로서 자신 있게 대답할 수 있을 것이다. 1. 지식재산권과 특허제도 재산권이란 재산적 가치 있는 이익의 향수를 목적으로 하는 권리로서, 여기서 이익의 향수는 그 특징적 요소로서 권리가 보유자에게 귀속되어 그의 사적인 활동 및 이익의 기초로서 효용을 발휘할 수 있거나(사적유용성), 그 권리의 객체를 변경ㆍ양도ㆍ포기할 수 있음(처분권능)을 들 수 있다. 이러한 권리는 객체가 자전거, 부동산 등과 같은 유체물인가 아니면 기술적 사상 등과 같은 무체물인가에 따라 유체재산권과 무체재산권으로 나눌 수 있는데, 흔히 후자를 지식재산권이라 한다. 즉 인간의 정신활동의 결과로 생긴 정신적ㆍ지능적 창작물 또는 영업상 신용과 같은 무체물을 독점적으로 이용할 수 있는 권리가 지식재산권인 것이다. 지식재산권은 특허권(실용신안권), 상표권, 디자인권, 저작권, 영업비밀로 나누는 것이 일반적인데, 사용에 따라 그 가치가 감소하지 않고, 한 사람의 독점적 이용이 가능하지도 않으며, 따라서 모방 또는 표절이 쉽고 무한복제가 가능하다는 특징이 있다. 국가의 개입이 적었던 근대 자유방임 경제체제에서는 지식재산권의 보호도 당연히 개인이 사적으로 직접 할 수밖에 없었는데, 위와 같은 지식재산권의 특징 때문에 지적재산의 절취가 성행하였음에도 개인의 한정된 힘으로는 이를 막을 방도가 없었다. 따라서 애써 창작해 놓은 결과물이 하루아침에 절도나 공중의 손에 들어가는 것을 자주 목격하였던 발명자나 창작자로서는 그 발명이나 창작에 대한 끓는 의욕이 생길 리 만무하였고, 그 결과는 사회발전이나 문화발전의 지체를 가져오게 되었다. 이에 국가의 개입이 불가피하게 되었고, 그렇게 해서 나온 제도가 바로 특허제도인 것이다. 특허제도란 인간의 정신적 창작의 결과물을 보호하기 위하여 그 발명자나 창작자에게 일정기간 특허권이란 독점권을 주는 제도를 말하는데, 발명자나 창작자는 대가로서 기술적 사상이나 아이디어를 공개하여야 하며 일정한 독점기간이 지나면 다시 공중의 손으로 그 기술이나 아이디어를 반환하여야만 하게 되었다. 그러나 특허제도가 이렇게 발명이나 창작을 격려해 주는 면도 있지만 한편으로는 독점을 방치하고 그 결과 발명이나 창작물에 대한 공중의 사용을 저해함으로써 기술발전이나 문화발전을 저해하는 면이 있다. 또는 지식재산권의 성격에 따라 특허제도가 불합리하거나 불가능한 경우도 있을 것이다. 때문에 모든 지식재산권에 대하여 특허제도를 운영하는 것은 아니다. 현재 우리법이나 세계의 입법례는 특허권, 상표권, 디자인권에 대하여만 국가의 개입이 있는 절대적 독점제로로서 특허제도를 운영하고 있고, 저작권이나 영업비밀(비밀이라는 개념상 특허가 나올 수 없지만)의 경우에는 국가의 개입이 없는 독점제도를 운영하고 있다. 2. 특허권과 영업비밀 특허권이란 특허를 받은 발명에 대하여 법률에 의하여 부여된 독점적 권리를 말하는바, 여기서 발명이란 기술적으로 표시된 인간의 정신적 창작으로서 자연을 억제하고 자연력을 이용하여 일정한 효과를 낳는 것(Kohler) 또는 자연법칙을 이용한 기술적 사상의 창작으로서 고도한 것(특허법 제2조 제1호)을 말한다. 따라서 특허권이 성립하려면 자연법칙을 이용한 기술적 사상으로서 고도의 창작성을 갖춘 발명이 전제되어야 한다. 특허권은 우리법의 경우 일정한 출원절차를 거쳐 특허청으로부터 등록결정을 받게 됨으로써 발생하며, 특허권을 취득한 발명자는 독점적으로 특허발명을 실시할 수 있는 권리(전용권)와 타인에게 자신의 특허발명을 사용하지 못하게끔 강제할 수 있는 권리(금지권)를 가지게 된다. 이러한 특허권은 원칙적으로 등록결정을 전제로 소급하여 출원일로부터 20년간 존속하게 되며, 속지주의 원칙에 따라 우리나라 영토 내에서만 그 권리를 행사할 수 있고, 만일 외국국가에서도 독점권을 누리고 싶다면 원하는 외국국가에서 별도로 출원절차를 거친 다음 등록결정을 받아야 한다. 반면 영업비밀이란 부정경쟁방지 및 영업비밀보호에 관한 법률 제2조 제2호에 의하면 ‘공연히 알려져 있지 아니하고 독립된 경제적 가치를 가지는 것으로서, 상당한 노력에 의하여 비밀로 유지된 생산방법ㆍ판매방법 기타 영업활동에 유용한 기술상 또는 경영상의 정보’로 정의된다. 즉 영업비밀로 인정되려면 비공지성, 비밀유지성, 유용성, 기술상 또는 경영상의 정보라는 4가지 요건을 갖추어야 한다. 영업비밀의 인정에 있어 특허제도는 운영되지 않으므로 행정기관이나 사법기관의 등록결정을 통하여 영업비밀이 인정되는 것은 아니다. 개념적으로 영업비밀은 비공지나 비밀유지를 특징으로 하고 있으므로, 공지를 전제로 하는 특허권과는 양립할 수 없다. 기술적 사상을 포태하고 있는 발명자는 이를 공지함으로써 20년간 독점권을 누리고 그 이후 공중에 돌려주는 특허권을 취득할 것인지, 아니면 이를 비밀로 유지한 후 그 기간의 제한 없이 기술적 사상의 효력이 유지되는 동안 평생 동안 이를 사적으로 이용할 것인지 선택하게 되는데, 통상 역분석이 쉽지 않고, 모방이 어려운 경우에는 영업비밀의 길을 가게 되고, 그렇지 않는 경우에는 특허제도를 이용하는 편이 좋다. 예컨대 앉아서 페달을 밟을 수 있는 자전거를 착안한 사람은 이 기술적 사상에 대하여 특허권을 받는 편이 낫지, 이를 영업비밀로 운영해서는 아니 될 것이다. 왜냐하면 누구나 금방 따라서 모방할 수 있기 때문이다. 하지만 특이한 맛을 내는 코카콜라의 성분의 경우에는 이를 공개하여 20년 동안만 독점을 누리는 것보다는 오히려 비밀을 유지하면서 거의 100년에 가깝게 독점적 지위를 누리고 있다. 이제 월드컵 공식구인 자블라니의 예를 들어보자. 예컨대 자블라니의 탄력성을 향상시키고 오랫동안 유지시키는 방법으로 특수한 화학물질을 공 안쪽에 주입하거나 바르는 방법과 바람흡입구의 각도를 수직으로부터 4.5˚ 유지하는 방법이 있다고 가정하자. 전자의 경우에는 화학물질의 역분석이 용이하다면 자블라니를 만든 아디다스사는 특허권을 취득하는 것이 바람직하고, 반대라면 영업비밀로서 오랫동안 사용하는 편이 유리할 것이다. 하지만 누구나 모방이 용이한 후자의 경우는 당연히 특허권을 취득하는 편이 유리하다. 3. 특허권과 실용신안권 특허권과 실용신안권은 기술적 사상을 대상으로 하고 있으며 국가의 개입에 의한 특허제도에 의하여 그 권리가 발생하고 있다는 점에 공통점이 있다. 다만 전자는 고도의 기술적 사상을 대상으로 하고 있는 반면, 후자는 그에 미치지 못하는 기술적 사상을 대상으로 하고 있음이 차이점이다(특허법 제2조 제1호 및 실용신안법 제2조 제1호 참조). 입법례에 따라서는 실용신안권을 인정하고 않고 특허권으로 통합하여 운영하는 경우도 있으나 우리나라의 경우 양자를 구분하여 운영하고 있다. 절차적으로 봐서 특허권보다는 실용신안권 취득이 절차가 간소화되어 운영되고 있다고 볼 수 있다. 4. 특허권과 상표권 상표권이란 상표 또는 서비스표에 대하여 독점적으로 사용할 수 있는 권리를 말하며, 여기서 상표(또는 서비스표)란 상품의 공급 또는 서비스의 제공 등을 업으로 영위하는 자가 자기의 업무에 관련된 상품이나 서비스를 타인의 상품이나 서비스와 식별되도록 하기 위하여 사용하는 표장(상표법 제2조 제1항 제1호)을 의미한다. 한 마디로 상품을 공급하는 자나 서비스를 제공하는 자가 다른 사람이 제공하는 상품이나 서비스와 다름을 인식시킬 수 있는 수단으로서 사용되고 있는 기호, 문자, 도형 등을 가리킨다. 이러한 표장에 대한 독점권은 사용으로서 발생하는 것이 아니고, 반드시 특허청의 상표등록결정이 있어야 한다. 상표권을 취득한 자는 등록상표의 지정상품이나 지정서비스업에 관하여만, 국내에서, 독점적으로 사용할 수 있고(전용권) 또는 타인이 동일ㆍ유사한 상표를 사용하는 것을 금지시킬 수 있다(금지권). 상표권은 등록일로부터 10년 동안 존속하나, 특허권이나 실용신안권과 달리 갱신이 가능하므로 사실상 영구적으로 사용할 수 있다. 자블라니의 예를 들어보자. 예컨대 자블라니의 탄력성을 증대시키기 위한 화학물질이 있다면 이는 기술적 사상에 해당하므로 특허권이나 실용신안권의 대상이 되겠지만, ‘자블라니’의 명칭은 다른 공과는 차별되는 식별성을 보여준다는 점에서 상표권의 대상이 되는 것이다. 다만 ‘자블라니’의 제조사인 아디다스사는 상호로서 상품이나 서비스를 전제로 하는 상표와 구별하여야 한다. 예컨대 ‘현대 소나타’의 경우 현재는 상호이고, 소나타는 상표인 것이다. 5. 상표권과 디자인권 디자인권이란 디자인에 대하여 독점적으로 사용할 수 있는 권리를 말한다. 여기서 디자인이란 물품의 형상ㆍ모양ㆍ색채 또는 이들을 결합한 것으로서 시각을 통하여 미감을 일으키게 하는 것(디자인보호법 제2조 제1호)을 말한다. 한마디로 디자인권이란 물품의 외관 또는 형상에 대한 권리를 말하는 것이다. 디자인권은 특허제도에 의하여 보호되는 방법이 있고, 그렇지 않는 경우가 있는데 우리법은 전자의 태도를 취하고 있다. 따라서 디자인권은 디자인보호법에 따른 절차를 마친 다음 특허청의 설정등록을 통하여 발생한다. 이 점은 특허제도를 운영하는 특허권, 실용신안권, 상표권의 경우와 같다. 디자인권의 효력은 등록된 디자인과 동일 또는 유사한 디자인을 독점으로 사용할 권리(전용권) 및 제3자의 권한 없는 등록디자인의 사용을 배제할 수 있는 권리(금지권)에 미친다. 등록된 디자인권은 설정등록일로부터 15년 동안 존속하며, 속지주의상 등록된 국가에서만 그 효력이 미친다. 디자인권은 물품을 전제로 한다는 점에서 물품을 전제로 하지 않고 기술적 사상을 보호대상으로 삼는 특허권과 구별된다. 반면 상표권은 특허권과 달리 상품이나 서비스를 전제로 한다는 점에서 오히려 디자인권과 상당히 유사성이 있다. 그러나 디자인권은 물품의 외관이나 형상을 보호하는 권리라면, 상표권은 물품을 지칭하는 기호나 문자, 도형 등을 보호하는 권리이다. 쉽게 설명하면 물품을 구성하는 데 있어 구성요소가 되는 형상은 디자인권의 보호대상이고, 구성요소가 되지 않는다면 상표권의 보호대상이 된다. 자블라니의 예를 들어보자. 자블라니의 공이 오각형 가죽의 조합으로 만들어지고 그 위에 자블라니라는 표장이 부착되었다면, 전자인 오각형 가죽의 조합은 물품의 구성요소이자 물품의 외관 또는 형상으로서 디자인권의 보호대상이 되는 것이고, 이렇게 만들어진 공이 다른 공과 다름을 알리는 표지로서 자블라니는 문자나 기호는 상표권의 보호대상이 되는 것이다. 6. 저작권과 특허권ㆍ상표권ㆍ디자인권 저작권이란 저작물에 대하여 독점적으로 사용할 수 있는 권리를 말하는바, 여기서 저작물이란 인간의 사상 또는 감정을 표현한 창작물(저작권법 제2조 제1호)을 말한다. 저작물로 인정받기 위하여는 일정 수준 이상의 창작성을 갖추어야 하는데, 창작성(originality)이란 그 저작물이 기존의 다른 저작물을 베끼지 않았다는 것 또는 저작물의 작성이 개인적인 정신활동의 소산이라는 것을 의미한다. 그러나 이러한 창작성은 특허법ㆍ디자인보호법 등의 보호를 받기 위한 신규성(novelty)처럼 기존의 것과 다른 새로운 것이라는 의미는 아니다. 저작권에서는 특허제도가 존재하지 않으므로, 창작시에 권리가 발생하게 되는 것이지 특허권과 같이 설정등록으로 권리가 발생하게 되는 것은 아니다. 저작권은 창작시에 창작자에게 귀속되며, 저작권의 내용 중 저작재산권의 보호기간은 창작자가 생존하는 동안과 사망 후 50년간이다. 따라서 창작자가 사망한 이후 50년이 경과한 이후에는 저작재산권이 소멸하게 되고, 그 때부터 그 창작물은 대중이 자유롭게 이용할 수 있다(public domain). 특허권이 기술적 사상 즉 아이디어(idea) 그 자체를 보호하는 제도라면, 저작권은 아이디어를 보호하는 권리가 아니며 오직 그 아이디어에 대한 표현(expression)만을 보호하는 점에서 구별할 수 있다. 자블라니의 예를 돌아가서, 공 내부에 화학물질을 첨부하면 탄력성이 좋아진다는 아이디어 자체를 보호하는 것이 특허권이라면, 그 아이디어를 표현한 서면 등을 보호하는 것이 바로 저작권인 것이다. 하나의 아이디에 대하여 그 표현은 여러 가지가 나올 수 있는바, 특허권이 하나라도 저작권은 여러 개가 성립할 수 있는 것이다. 그러나 표현과 아이디어의 실제 구별은 용이하지 않으며, 실무적으로는 저작권의 보호를 해 줌으로써 창작의욕을 고취할 것으로 보이는 부분은 표현으로, 반면 만인공유의 영역에 두어 누구라도 그것을 자유롭게 사용할 수 있게 하여야 한다는 부분은 아이디어로 정하고 있다. 상표권의 보호대상으로서 상표를 구성하는 기호ㆍ문자 등은 대체로 고도의 창작성이 인정되지 않아 저작권의 보호대상이 되지 않는다. 그러한 이유로 상표권의 보호대상을 저작권의 보호가 되지 않는 기호 또는 문자 등으로 이해해도 좋지만, 엄밀하게 말하면 상표권이 보호하는 것은 그 기호나 문자 등이 아니라 그 기호나 문자 등이 갖는 출처표시기능, 품질보증기능, 광고선전기능인 것임에 유의할 필요는 있다. 자블리니의 경우, 자블리니의 문자나 기호는 상표권의 보호대상이지만, 누군가 공의 표면에 아름다운 그림을 붙여 놓았다면 그 그림은 저작권의 보호대상이 될 수 있다. 디자인권과 저작권과의 구별이 가장 용이하지 않다. 디자인권이 보호하는 것은 물품의 구성요소로서 형상이라고 하였고, 저작권의 보호대상은 아이디어 그 자체가 아니라 표현이라고 하였다. 말 그대로 중첩되는 면이 없지 않다. 특히 응용미술품에 있어 특히 문제되는데 양자의 구별 기준에 대하여, 학설과 판례는 대체로 응용미술은 일응 저작권으로 보호되나, 통상 응용미술의 범위에 속하는 산업디자인이 응용미술로서 저작권의 보호를 받기 위해서는 본래적으로 실용적인 기능을 가지는 어떤 물건의 예술적 특징이 하나의 미술저작물로서 물리적 또는 개념적으로 분리하여 식별될 수 있는 '물리적 또는 관념적 분리가능성(physical or conceptual separability)'이 있어야 하며, 이러한 분리가능성이 없는 경우에는 오직 디자인보호법에 의해서만 보호를 받을 수 있을 뿐이라고 한다. 오각형 가죽의 조합으로 이루어진 자블리니의 경우, 그 오각형 조합에 실용적인 기능 외에 미적인 요소가 들어 있다고 판단되면 저작권적 보호와 디자인보호법상의 보호를 모두 받을 수 있지만, 미적인 요소가 없다면 오직 디자인보호법상의 보호만이 가능할 뿐이다. 7. 결론 이상 각종 지식재산권에 대하여 이번 남아공 공식구인 자블리니의 예를 들어 살펴보았다. 지식재산권의 무체성 때문에 그 개념 이해가 쉽지 않은 것은 사실이지만, 21세기가 지식재산권의 시대라는 점을 감안하고, 이 보이지 않는 것이 무한복제을 통하여 무한의 사회적 부를 창출할 수 있다는 점을 고려한다면, 이번 기회에 월드컵의 열광과 후유증을 지식재산권 공부로 승화시켜 보는 것도 좋을 것 같다. * 법무법인 민후 김경환 변호사 작성, 기계기술(2010년 7월호), 블로그(2012. 3. 1.) 기고.

업무상 낯선 사람을 만날 때 처음 하는 행동이 명함(name card, business card)을 건네는 것이다. 명함에는 이름, 전화번호, 이메일 등의 기본적인 개인정보가 포함되어 있고, 명함을 받는 순간 타인의 개인정보를 알게 되는 것이다. 이러한 명함 교환에도 개인정보보호법이 적용되는지에 대해 질문을 받곤 한다. 이러한 의문점을 같이 풀어보기로 한다. 명함에 관한 구체적인 법규정은 존재하지 않는다. 다만 안전행정부에서 나온 개인정보 표준지침 제6조 제3항은 명함에 관하여 “개인정보처리자가 정보주체로부터 직접 명함 또는 그와 유사한 매체를 제공받음으로써 개인정보를 수집하는 경우, 정보주체가 동의의사를 명확히 표시하거나 그렇지 않은 경우 명함 등을 제공하는 정황에 비추어 사회통념상 동의 의사가 있었다고 인정되는 범위 내에서만 이용할 수 있다”고 기술하고 있다. 명함에 관하여는 위 지침이 일응의 기준이 된다고 볼 수 있다. 개인정보보호법의 적용 여부 명함을 받아 관리하는 사람이 있다면, 이 사람은 ‘개인정보처리자’에 해당하여 개인정보보호법이 적용되는가? 개인정보보호처리자란 ‘업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인’로 정의되어 있는바(개인정보보호법 제2조 제5호), 개인이라도 업무를 목적으로 명함을 수집한 다음 이를 관리하면 개인정보처리자에 해당한다고 볼 수 있다. 정리하면, 업무를 목적으로 개인정보가 적힌 명함을 수집한 다음 이를 관리하면 개인정보처리자에 해당하여 개인정보보호법의 적용을 받는다. 다만 명함이라는 특수성 때문에 개인정보보호법의 몇몇 규정이 적용되지 않는 특수한 지위의 개인정보처리자라 할 수 있다. 명함 수집 시 개인정보 수집에 관한 동의 개인정보보호법은 동의에 의한 개인정보 수집을 원칙으로 하고 있다. 그렇다면 명함을 건네받으면서 개인정보를 수집하는 경우에도 정보주체로부터 개인정보 수집에 관한 동의를 받아야 하는가? 수집에 관한 동의는 명시적 동의를 원칙으로 하지만, 반드시 명시적 동의만을 의미하지는 않는다. 동의란, 명시적 동의, 묵시적 동의, 동의에 갈음하는 경우를 포함하고 있으며, 어떤 경우에 명시적 동의를 얻는지, 어떤 경우는 명시적 동의 대신에 동의에 갈음하는지는 그 나라의 개인정보보호 정책에 따라 달라질 수밖에 없다. 명함은 상호의 양해 하에 주고받는 바, 명함 안에 포함된 개인정보에 대하여는 그 수집이나 이용에 대하여 묵시적으로 동의하고 있다고 볼 수 있다. 즉 명함을 건네는 행위 안에 묵시적 동의가 있다고 보는 것이다. 정리하면, 명함을 주고 받는 경우 명함 안에 포함된 개인정보의 수집이나 이용에 관하여는 정보주체의 묵시적 동의가 있다고 보는 게 일반적이다. 다만 명함을 주고받는 과정에서 특별한 조건이나 교부 목적을 내세웠다면 그 조건이나 목적을 벗어난 한도 내에서는 동의가 없다고 보아야 한다. 더불어 명함 교부에 의한 개인정보 수집의 경우는 명시적 동의를 받지 않고 묵시적 동의로 개인정보를 수집하는 경우이므로, 수집 시 고지사항(제15조 제2항)인 ‘개인정보의 수집·이용 목적, 수집하려는 개인정보의 항목, 개인정보의 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용’에 대한 고지의무에 관하여는 그 의무가 면제된다고 볼 수 있다. 수집한 명함의 이용 범위 수집한 명함을 통해 얻은 개인정보를 정보주체의 별도의 동의 없이 이용할 수 있는 범위는 어디까지인가? 즉 동의 없이 이용할 수 있는 목적 내의 범위와 별도의 동의를 얻어야 하는 목적 외의 범위는 어떻게 판단하는가? 명함에 포함된 개인정보에 대한 수집·이용 목적 내의 범위란, 양 당사자의 추정적 의사, 명함의 기재 내용, 명함 교부의 객관적 상황, 사회통념 등을 고려해 판단할 수밖에 없다. 예컨대 책 배송 목적으로 명함을 교부했다면, 책 배송 목적이 바로 목적 내의 범위가 되는 것이기에 그 목적 수행을 위해서는 명함에 적힌 개인정보를 이용할 수 있으나, 추가적인 판촉이나 마케팅, 이벤트 활동은 목적 범위를 벗어난 경우이므로 별도의 동의가 있어야 가능하다. 개인정보 처리 정지 명함을 교부한 정보주체가 명함 및 그 안에 포함된 개인정보의 이용 정지를 요청할 수 있는가? 당연히 그렇게 할 수 있다. 나아가 명함을 교부한 정보주체가 더 이상의 명함 이용을 금지시킨다면, 더 이상 명함을 이용한 개인정보 처리를 해서는 아니 되고, 원칙적으로 즉시 명함 및 명함 안에 포함된 개인정보를 파기해야 한다. * 법무법인 민후 김경환 대표변호사 작성, 보안뉴스(2014. 3. 3.), 블로그(2014. 3. 5.) 기고.

하도급관계란 발주자로부터 공사 등을 위탁받은 원사업자가 수급사업자에게 이를 다시 위탁한 경우를 뜻한다. 하청, 재하청의 구조상 수급사업자는 발주자나 원사업자에 비해 계약상 약자의 지위를 갖게 되는 경우가 많고 대금을 제대로 지급받지 못하거나, 상대적으로 불공정한 대금을 받고 공사를 수행하여야 하는 경우가 많다. 이에 하도급거래 공정화에 관한 법률(이하 “하도급법”)에서는 이러한 수급사업자를 보호하기 위한 다양한 규정을 두고 있다. 예를들어 목적물의 설계가 변경되거나 납품 시기가 변경되는 등의 사유로 원사업자가 발주자로부터 계약대금을 증액받았다면 원사업자와 수급사업자 간의 계약대금에도 조정이 필요할 것이다. 하지만 원사업자의 이른바 ‘갑질’로 인해 대금이 제때 증액되기 어렵기 때문에 하도급법에서는 이 때 수급사업자의 지위와 권리를 보호하기 위해 하도급대금의 증액을 신청할 수 있도록 정해뒀다. 그런데 건설산업기본법의 경우 일괄하도급이나 재하도급을 금지 또는 제한하는 것으로 규정하고 있어 이러한 불법하도급의 경우에도 수급사업자는 하도급법의 적용을 받을 수 있을까? 건설산업기본법과 하도급법은 제정목적부터 다르므로 건설산업기본법상 일괄하도급 등이 금지 또는 제한된다 하더라도 이러한 일괄하도급이나 재하도급이 건설업면허를 보유한 건설업자간의 하도급거래이고, 하도급법에 따른 요건을 충족한다면 해당 수급사업자는 하도급법에 의해 보호를 받을 수 있다. 하도급법 제2조 제1항에서는 하도급법의 적용을 받는 하도급거래로, 원사업자가 수급사업자에게 △제조위탁 △수리위탁 △건설위탁 △용역위탁을 함에 따른 거래관계 등 총 4가지 종류로 규정해두고 있다. 그리고 동조 제9항에서는 위 ‘건설위탁’에 해당하기 위해서는 원사업자가 건설산업기본법, 전기공사업법, 정보통신공사업법, 소방시설공사업법 등에 따라 등록을 한 사업자(이하 공사업자)일 것을 요구하고 있다(하도급법 제2조 제9항). 이에 더해공정거래위원회 예규인 하도급거래공정화 지침에서는 하도급법이 적용되기 위한 요건으로 수급사업자 또한 건설산업기본법 등에 따라 등록을 한 사업자여야 한다. 따라서 하도급법이 적용되기 위해서는 일단 원사업자와 수급사업자 모두 적법한 등록을 마친 공사업자여야 하는 것이다. 다만 건설산업기본법, 전기공사업법, 정보통신공사업법 및 해당 시행령에서는 경미한 공사 등의 경우에는 공사업자가 아닌 경우에도 도급받거나 시공할 수 있도록 하는 예외규정을 정하고 있다. 따라서 하도급되는 공사의 내용이 단순히 경미한 공사에 해당하는 경우에는 관련 법령에 따라 등록을 하지 않은 수급사업자라 하더라도 하도급법에 따른 보호를 받을 수 있는 것이다. 결론적으로 공사업자 사이에 하도급거래가 이뤄진 이후, 원사업자가 발주자로부터 설계변경 등을 원인으로 계약금액을 증액받거나, 목적물의 공급단가 변동으로 대금조정이 불가피한 경우라면 수급사업자는 하도급법에 따라 원사업자에게 하도급대금의 조정을 신청할 수 있다. 또한 수급사업자가 공사업자에 해당하지 않더라도 경미한 사업에 해당하는 등의 예외적인 사유에 해당할 경우라면 하도급법의 보호를 받아 대금조정을 신청할 수 있다. 다만 위와 같이 하도급법에 따라 보호를 받는다 하더라도, 건설산업기본법 등 위반사항에 대하여는 관계법령에 따른 처벌이나 제재를 받는 것은 별개의 문제이므로, 하도급거래 시에는 각별한 주의를 요한다. * 법무법인 민후 구민정 변호사 작성, 이데일리(2020. 7. 12.) 기고.

2014. 12. 30. 개정된 행정자치부의 ‘개인정보 안전성확보조치 기준 고시(이하 ‘행정자치부 고시’)’가 2016. 9. 1.자로 또 다시 개정되었고, 이번에는 상당한 규모의 개정이 있었다. 통산 2번째 개정으로서, 개인정보처리자의 규모 등에 따른 유형화, 관리용 단말기 보안 강화 등의 기존에 볼 수 없는 내용들이 대거 포함되었다. 이에 2016. 9. 1. 시행된 행정자치부 고시에 대하여 그 변경 내용을 자세히 살펴보고, 그에 따른 기업이나 공공기관의 대응방안에 대하여 알아보기로 한다. 1. 안전성확보조치 기준 등급화 (제3조) 개정 행정자치부 고시는 개인정보처리자가 준수하여야 할 안전성확보조치 기준을 두 가지 기준에 따라 유형화 또는 등급화하였다. 유형화 또는 등급화의 기준은 개인정보처리자 유형 및 개인정보 보유량이었고, 이 기준에 따라 3가지로 유형화 또는 3단계로 등급화하였다. 아래 표는 개정 행정자치부 고시로서 3가지 유형화의 내용이 담겨 있다. 유형3(강화 유형)은 개정 행정자치부 고시의 제4조부터 제13조까지의 모든 조항을 준수할 의무가 있다. 유형3(강화 유형)에 속하는 개인정보처리자는 1) 10만명 이상을 보유한 대기업, 2) 10만명 이상을 보유한 중견기업, 3) 10만명 이상을 보유한 공공기관, 그리고 4) 100만명 이상을 보유한 중소기업, 5) 100만명 이상을 보유한 단체이다. 유형1(완화 유형)은 개정 행정자치부 고시에서 최소한의 규정이 적용되는 유형으로서, 1) 1만명 미만의 소상공인, 2) 1만명 미만의 단체, 3) 1만명 미만의 개인에 여기에 속한다. 유형2(표준 유형)는 유형1과 유형3을 제외한 유형으로서, 표준적인 안전성확보조치 기준이 적용되는 유형이고, 유형1과 유형3의 개인정보처리자를 제외한 모든 개인정보처리자가 여기에 해당한다. 안전성확보조치 기준을 개인정보처리자에 따라 차등적으로 적용하는 이유는, 그간 개인정보처리자의 규모나 보유 개인정보 양에 상관없이 획일적으로 안전성확보조치 의무를 부과한 것에 대한 반성적 고려에서 나온 것이다. 즉 개인정보처리자의 규모나 보유 개인정보 양에 따른 차등적 기준을 적용함으로써, 전체적인 개인정보 안전성확보조치 수준을 올리고 구체적 타당성 있는 규율을 할 수 있는 근거를 마련한 것이다. 2. 최소한의 기준 명시 (제1조) 행정자치부 고시가 개인정보처리자가 준수하여야 할 최소한의 기준이라는 것에 대하여는 해석상 큰 의문이 없었다. 하지만 이러한 해석의 근거에 대하여는 명확하지 않았는바, 개정 행정자치부 고시 제1조(목적)에서는, 행정자치부 고시가 최소한의 기준이라는 점을 포함시킴으로써, 이러한 해석의 근거를 명문화하였다. 문제는 행정자치부 고시를 최소한의 기준으로 보더라도, 법적으로 어떤 영향을 미치는지 회의적이라는 것이다. 행정자치부 고시가 최소한의 기준이라는 것이, 행정자치부 고시가 열거하여 규정한 사항 이외에도 준수할 의무가 있는 것인지를 의미하는지에 대하여 우리나라 법원은 부정적으로 보고 있기 때문이다. 3. 개인정보처리시스템의 정의규정 변경 (제2조 제10호) 개정 행정자치부 고시에서는 개인정보처리시스템의 정의규정을 변경하였다. 이전 행정자치부 고시에서는 ‘개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템’으로 정의되어 있었으나, 개정 행정자치부 고시에서는 ‘데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템’으로 정의되었다. 그 결과 개인정보처리시스템의 범위가 확장된 것으로 보인다. 4. 내부관리계획의 수립ㆍ시행 사항의 확대 및 점검ㆍ관리 의무 부과 (제4조) 내부관리계획은 개인정보처리자가 내부적으로 정한 개인정보의 분실·도난·유출·위조·변조 또는 훼손 방지 조치를 의미하는데, 기존에는 수립ㆍ시행 사항을 개인정보 보호책임자의 지정에 관한 사항, 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항, 개인정보의 안전성 확보에 필요한 조치에 관한 사항, 개인정보취급자에 대한 교육에 관한 사항, 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항, 그 밖에 개인정보 보호를 위하여 필요한 사항에 한정했으나, 개정 행정자치부 고시는 이를 확대하여 개인정보 보호조직에 관한 구성 및 운영에 관한 사항, 개인정보 유출사고 대응 계획 수립·시행에 관한 사항, 위험도 분석 및 대응방안 마련에 관한 사항 등이 추가되었다(제4조 제1항). 나아가 기존에는 존재하지 않았던 조항이 신설되었는바 제4조 제4항이 그것으로, 이로 인하여 개인정보 보호책임자는 연 1회 이상 내부관리계획의 이행 실태를 점검·관리하여야 할 의무가 생겼다. 내부관리계획이 강화된 것이 이번 개정 행정자치부 고시의 특징인바, 그간의 개인정보 유출 사고 중 상당수가 관리 부실로 발생한 것에 대한 반성적 조치로 볼 수 있다. 5. 접근권한 관리의 강화 (제5조 제6항) 개정 행정자치부 고시에서는 접근권한 관리가 강화되었는바, 제5조 제6항의 신설로 ‘개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 한다.’ 즉 예컨대 계정정보나 비밀번호에 대하여 오류 횟수에 대한 상한을 정해 두고 이를 어긴 접근에 대하여는 관리를 할 수 있도록 조치하여야 한다. 기본적인 보안조치인데, 고시에 열거된 것만 준수할 의무가 있는 법원 판례 때문에 불가피하게 이러한 기본적인 조치가 자꾸 고시에 포함되는 현상이 발생하고 있는 것이다. 6. 접근통제의 강화 (제6조 제5항) 개정 행정자치부 고시에는 오랜 시간 동안 시스템 또는 접속 상태, 로그인 상태를 켜 두는 습관이 보안사고의 원인이 되고 있다는 점을 고려하여, 개인정보처리자는 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하여야 하는 의무를 추가하였다(제6조 제5항). 이것 역시 기본적인 보안조치인데, 고시에 열거된 것만 준수할 의무가 있는 법원 판례 때문에 불가피하게 고시에 포함된 것이다. 그간 네이트ㆍ싸이월드 해킹 사고나 인터파크 해킹 사고 등이 시스템 관리자의 로그아웃 해태 등을 이용하여 발생하였는데, 이러한 점을 반면교사로 삼아 도입된 것이다. 그리고 개정 행정자치부 고시에서는 기존에 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하여야 하는 의무를 개정하여, 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다고 변경하였다(제6조 제2항). 기존에는 안전한 접속수단만이 의무 사항이었으나, 이제는 안전한 접속수단이나 안전한 인증수단 중에서 택일할 수 있도록 조치하였다. 안전한 인증수단이라는 공인인증서, IP 인증, OTP(one time password) 등을 의미한다. 접속수단과 인증수단은 기능적으로 구분되는 것인데, 이제는 택일적으로 선택하여 장착하면 그 의무를 다한 것이다. 그간 공인인증서를 사용하여 로그인하도록 시스템을 설계하여 운영하였는데, 공인인증서가 안전한 접속수단이 아니라는 이유로 과태료 등의 처분을 받을 뻔한 사례가 존재하였는바, 이제는 이러한 사례는 발견되지 않을 것으로 보인다. 7. 암호키 관리의 강화 (제7조 제6항) 기존 행정자치부 고시는 데이터 등의 암호화 조치는 명시하고 있었으나 암호키의 관리에 대하여는 침묵하고 있었다. 하지만 암호키 관리 없는 암호화 조치는 무의미하다는 점을 고려하여 개정 행정자치부 고시에서는 암호키 관리 의무를 추가하였다. 즉 개정 행정자치부 고시 제7조 제6항은 ‘개인정보처리자는 암호화된 개인정보를 안전하게 보관하기 위하여 안전한 암호 키 생성, 이용, 보관, 배포 및 파기 등에 관한 절차를 수립·시행하여야 한다.’는 규정을 신설하였는바, 앞으로는 암호키 관리 의무를 준수하여야 한다. 다만 이러한 조치는 유형3(강화 유형)의 개인정보처리자에게만 적용된다. 8. 악성프로그램 등의 삭제의무 (제8조 제3호) 기존 행정자치부 고시에서는 백신 소프트웨어 등의 설치나 업데이트에 대하여만 규정하였으나, 개정 행정자치부 고시는 이러한 의무를 확대하여 악성프로그램 등의 삭제의무를 부과하였다. 다만 모든 악성 프로그램에 대한 삭제 의무는 아니고 발견된 악성 프로그램에 한정하고 있는바, 악성 프로그램을 발견하고도 삭제 등의 대응조치를 취하지 않으면 개정 행정자치부 고시 위반이 된다. 9. 관리용 단말기의 안전조치 추가 (제10조) 관리용 단말기란 개인정보처리시스템의 관리, 운영, 개발, 보안 등의 목적으로 개인정보처리시스템에 직접 접속하는 단말기를 말한다(제2조 제20호). 따라서 DB 관리자의 PC 등은 관리용 단말기에 해당한다. 기존 행정자치부 고시는 관리용 단말기에 대한 안전조치에 대하여 침묵하였으나, 개정 행정자치부 고시는 관리용 단말기에 대한 보호조치 의무를 신설하여 부과하였다(제10조). 그간 네이트ㆍ싸이월드 해킹 사고나 인터파크 해킹 사고 등이 관리용 단말기에 대한 보호조치 부실로 발생하였다는 점을 감안하여 제10조를 신설한 것이다. 관리용 단말기에 취해야 할 조치는 3가지인바, 인가 받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치, 본래 목적 외로 사용되지 않도록 조치, 악성프로그램 감염 방지 등을 위한 보안조치 적용이 그것이다. 따라서 비인가자의 관리용 단말기 접근을 허용허가나 오락 목적으로 관리용 단말기를 활용하거나 백신 프로그램 등을 설치하지 않은 경우 개정 행정자치부 고시 위반에 해당한다. 10. 재해ㆍ재난 대비 안전조치의 신설 (제12조) 개정 행정자치부 고시는 화재, 홍수, 단전 등의 재해·재난 발생에 대비한 안전조치 의무를 신설하였는바, 구체적으로 개인정보처리자는 화재, 홍수, 단전 등의 재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검하여야 하고(제12조 제1항), 개인정보처리자는 재해·재난 발생 시 개인정보처리시스템 백업 및 복구를 위한 계획을 마련하여야 한다(제12조 제2항). 신설된 제12조는 ‘가용성’에 대한 규제에 해당하고, 최초의 가용성 규제라는 점에서 의의가 있다. 그간 행정자치부 고시나 동종의 방송통신위원회의 기술적ㆍ관리적 보호조치는 기본적으로 ‘기밀성’이나 ‘무결성’ 규제를 원칙으로 하고 있었는데, 여기에 ‘가용성’ 규제가 처음으로 추가된 것이다. 지금까지 개정 행정자치부 고시의 개정 내용을 살펴보았다. 가장 획기적인 내용은 보호조치의 유형화ㆍ등급화인바, 획일적인 규율에서 벗어나 개인정보처리자의 개별적 상황에 맞춘 보호조치를 지향하고 있다는 점에서 매우 진일보한 조치에 해당한다. 그 밖에 많은 강화된 조치들이 포함됨으로써 개인정보처리자가 취하여야 할 안전성확보조치 수준을 향상시켰다. 다만 열거되지 않으면 조치의무가 없다는 법원 판례 때문에 불가피하게 추가되고 있는 기본적 보안조치는 여전히 행정 고시의 한계를 느끼게 하고 있다. 반드시 열거되어야 준수 의무가 생긴다는 한계는 결국 고시가 그 본래 목적인 보안 수준 향상이 아니라 반대로 면죄부 역할밖에 못하고 있다는 규범적 상황을 실감하게 한다는 점에서, 기존 고시보다는 진일보한 개정 행정자치부 고시에도 여전히 개선의 여지가 있다고 판단된다. * 법무법인 민후 김경환 대표변호사 작성, 디지털데일리(2016. 9. 22.), 리걸인사이트(2016. 10. 26.) 기고.