해킹 사건 이모저모

해커 출신 변호사가 해부한 해킹판결
전승재 지음 / 삼일인포마인 / 2020년 2월

가끔 기업들의 보안망이 뚫리면서 고객들의 개인 정보가 유출되는 사례가 있다.

옥션, kt, 싸이월드 등등 뉴스에서 본 기억이 있는 사건들...

피해를 입은 고객들이 민사 소송을 걸어서 보상금을 받아내는 경우도 있고 패소하는 경우도 있다.

어떤 경우에 법원에서 회사의 손을 들어 주는지, 소송의 쟁점은 무엇인지 고찰해볼 수 있었던 책

먼저 해킹 사건이 발생하면 회사가 받을 수 있는 불이익으로 '공적 제재'와 '사적 집행'으로 나눌 수 있다.

'공적 제재'의 영역에서는 죄형법정주의 원칙이 적용된다.

제재 대상이 되는 행위의 구성요건을 정한 법률조항이 명확해야 한다.

그러다보니 추상적, 포괄적인 규정이 입법되어 있다면 구체적인 사안에서 어느 정도로 보호 조치를 해야만 위 규정을 준수한 것인지 혹은 처벌 대상이 되는지 구분이 애매해진다.

그래서 제재 근거규정으로서 적절하지 않을 수 있다.

한편 '민사상 과실' 판단기준으로는 '주의 의무'를 고려한다.

주의 의무의 내용은 고시에 빠짐없이 망라되어 있지는 않다.

따라서 개별 사안에서 업계 평균적인 주의의무 수준을 심리하여 해킹을 당한 사업자의 정보보호 수준을 이것과 비교하는 방식으로 과실 여부를 판단한다.

그러다보니 '공법상의 위법'보다 '사법상의 위법'은 기준이 높다.

개인정보 유출이 되었을 때 우리 법은 재산적 손해가 없더라도 정신적 손해가 인정되면 배상을 명할 수 있도록 되어 있다. (위자료)

대법원은 '유출 자체로 인한 신뢰침해'는 법적 손해로 보지 않고 '열람, 도용 우려' 부분에 대해서만 정신적 손해를 인정하고 있다.

따라서 개인정보가 제3자에게 유출되기 전에 전량 압수되면 위자료 청구가 기각 된다.

역으로 개인정보 유출 범인이 검거되지 않은 사례에서는 피해자의 정신적 손해가 인정되고 있다.

원고당 대략 10~20만 원의 위자료가 실무상 산정되고 있다.

개인적으로는 지금보다 '사적집행'이 강화되어야 한다고 생각한다.

소송에 참여하는 피해자의 수에 따라 사업자가 배상해야 할 금액이 좌우된다.

하지만 개인정보 유출 사건에서 피해자들의 소송 참여율이 높지 않다보니 회사에서 패소하더라도 손해배상해야 할 액수가 크지 않고, 사업자 입장에서 보안을 좀 더 철저히 해야겠다는 동기 부여가 충분하지 않을 것 같다.

소송에 참여하지 않았더라도 피해자 전원에게 판결의 효력이 미치는 방향으로 나아 갔으면 좋겠다.