대법 “네이트·싸이월드 개인정보 유출..SK컴즈 배상책임 없다"

하급심 첫 승소사건 패소취지 파기환송

네이트·싸이월드 개인정보 유출 사태로 SK커뮤니케이션즈(SK컴즈)를 상대로 제기된 다수의 손해배상 소송에서 첫 승소 판결을 끌어내 주목을 받았던 사건이 대법원에서 뒤집히며 사실상 패소로 끝났다. 대법원은 해커 침입으로 개인정보가 유출되기 전까지 회사가 법령에서 정한 기술적인 보호 조치를 다했다면 배상책임을 물을 수 없다고 판단했다.

대법원 1부(주심 박정화 대법관)는 변호사 유모씨가 SK컴즈를 상대로 낸 손해배상(위자료 300만원) 청구소송의 상고심에서 원고 일부 승소 판결한 원심을 깨고 원고 패소 취지로 사건을 대구지법 민사항소부로 돌려보냈다고 12일 밝혔다.

사건은 2011년 7월 중국 해커가 SK컴즈 사내망 컴퓨터에 악성코드를 설치, 좀비 PC들을 이용해 네이트.싸이월드 데이터베이스에 접속한 뒤 3500만명에 달하는 회원들의 개인신상정보를 빼낸 것에서 비롯됐다. 이후 해킹 피해자들은 전국 법원에 잇따라 소송을 냈고 유 변호사도 가세했다.

2012년 4월 1심 재판부는 “정보통신망법에 의하면 정보통신서비스 제공자가 고의 또는 과실이 없음을 입증하지 못하면 책임을 면할 수 없다고 규정돼 있는데 과실 없음을 입증할 증거를 제출하지 못하고 있다”며 유 변호사에게 100만원을 지급하라고 판결했다. 국내에서 발생한 여러 건의 인터넷 해킹사고 가운데 사업자의 배상 책임을 인정한 첫 판결이었다. 2심 역시 “SK컴즈는 비밀번호 등 개인정보를 안전한 방법으로 저장할 의무를 위반했다”며 1심을 유지했다.

그러나 대법원의 판단은 달랐다. 대법원은 우선 “‘개방성’을 특징으로 하는 인터넷 시스템은 불가피하게 내재적 취약점을 내포하고 있어 완벽한 보안을 갖춘다는 것을 기대하기 쉽지 않고, 보안기술은 해커의 새로운 공격방법에 대해 사후적으로 대응·보완하는 방식으로 이뤄지는 것이 일반적“이라며 ”개인정보의 안전성 확보에 필요한 보호조치를 취해야 할 의무를 위반했는지를 판단하려면 사고 당시 사회통념상 합리적으로 기대 가능한 정도의 보호조치를 다했는지를 따져봐야 한다“고 전제했다.

대법원은 “해킹사고 당시 피고는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 관련 법령에 따라 침입차단시스템과 침입탐지시스템을 설치·운영하고 있었다”며 “당시 보편적인 정보보안 수준과 피고가 취하고 있던 전체적인 보안조치 내용 등에 비춰 피고가 개인정보의 안전성 확보에 필요한 보호조치를 취해야 할 법률·계약상 의무를 위반했다고 보기는 어렵다”며 SK컴즈 측의 손을 들어줬다.

한편 대법원은 해킹피해자 583명이 제기한 유사소송에서도 “SK컴즈가 개인정보의 안전성 확보에 필요한 기술적, 관리적 조치를 다했다”며 지난 1월 원고 패소 판결한 원심을 확정한 바 있다.

[email protected] 조상희 기자