제3행정부 2023. 11. 2. 선고 <일반> □ 사안 개요 원고는 초등온라인학습 서비스(‘이 사건 서비스’)를 운영하면서 서비스 이용자 42만여 건의 정보를 수집ㆍ보관하였음. 위 서비스 이용자의 개인정보 23만여 건이 유출되자 피고(개인정보보호위원회)는 원고가 개인정보처리시스템에 대한 접근통제, 시스템 접속기록 보관 및 점검을 소홀히 하였다는 이유로 과징금을 부과함 □ 쟁점 - 원고가 개인정보처리시스템에 대한 접근통제를 소홀히 하였는지(적극) - 「개인정보 보호법」 위반에 따른 과징금을 부과하기 위하여 접속기록 보관, 점검 소홀 등 같은 법 제29조의 안전조치의무 위반과 개인정보 유출 사이에 인과관계가 있어야 하는지(소극) 및 과징금 부과처분에 기준금액 산출, 필수적 가중 등 재량권을 일탈ㆍ남용한 위법이 있는지(소극) □ 판단 - 원고는 A법인과 최상단 1차 방화벽 내에서 함께 서비스를 운영하고 DB 접근제어솔루션을 공동 사용하면서, A법인의 서비스 접근 권한을 가진 IP가 이 사건 서비스 DB에 접속할 수 있게 허용함. 그러나 이 사건 서비스의 DB서버 입장에서는 A법인의 네트워크가 실질적으로 외부망에 해당하므로, 여기서 들어오는 트래픽을 필터링하여 개인정보처리시스템에 대한 인가받지 않은 접근을 차단하여야 함에도 원고는 이를 차단하지 않아 개인정보처리시스템에 대한 접근통제를 소홀히 한 것으로 평가할 수 있음 - 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」의 2014. 5. 28. 개정이유, 「개인정보 보호법」의 규정 형식과 내용을 고려하면, 「개인정보 보호법」상 과징금 부과규정은 그 요건으로 서비스제공자의 같은 법 제29조에 따른 안전조치의무 위반행위와 개인정보 유출 사이에 인과관계를 명시적으로 요구하지 않음. 안전조치 의무 위반과 개인정보 유출 사이에 ‘관련성’이 있어야 한다고 보더라도 이 사건에서 관련성이 충분히 인정됨 - ① 개인정보 유출사고와 관련하여 적어도 원고에게 중과실이 있는 점, ② 구 「개인정보보호 법규 위반에 대한 과징금 부과기준」(2022. 10. 20. 개인정보보호위원회 고시 제2022-3호로 개정되기 전의 것) 제5조 제3항 제2호의 ‘정보통신서비스 제공자 등이 보유하고 있는 개인정보’는 서비스제공자 등이 보유한 모든 개인정보가 아니라 위반행위와 관련된 개인정보로 해석해야 하고, 이 사건 서비스와 중ㆍ고등온라인학습 서비스는 별개이므로 피해규모가 원고가 보유한 개인정보의 5% 이내에 불과하다고 할 수 없는 점, ③ 원고의 위반행위는 해커가 A법인의 웹 서버에 웹 셸을 업로드한 때 개시되어 위반기간이 2년을 초과하는 장기인 점, ④ 피해규모가 작지 않고, ⑤ 위반행위와 관련된 서비스의 직전 3개 사업연도의 연평균 매출액이 과징금 액수 결정에 상당한 영향을 미치므로 매출액에 차이가 있는 다른 사안과 단순 비교하기 어려운 점 등을 고려하면, 과징금 부과처분이 재량권을 일탈ㆍ남용하여 위법하다고 볼 수 없음 [항소기각(원고패)]

[제8-2행정부 2023. 9. 1. 선고] <일반> □ 사안 개요 - 오픈마켓을 운영하는 원고(통신판매중개자)는 오픈마켓 회원들(판매자와 구매자)에게 온라인공간에서 상품을 거래할 수 있는 플랫폼을 제공함 - 구매자는 회원가입, 주문·결제 시 판매자에게 계정(ID), 성명, 전화번호, 배송지 주소 등을 제공하는 것에 대해 동의할 수 있고, 원고는 위 ‘개인정보 제3자 제공’동의에 근거하여 구매자의 개인정보를 판매자에게 제공하며, 판매자는 구매자의 개인정보를 이용하여 상품을 배송함 - 피고(개인정보보호위원회)는 원고가 '개인정보 보호법'상 ‘개인정보처리자’에 해당하고, 판매자는 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 ‘개인정보취급자’에 해당한다는 전제 하에, 원고에게 판매자에 대한 안전한 인증수단 적용 및 정기적인 교육 실시 등의 시정조치를 할 것을 명함. 원고는 위 처분의 취소를 구함 □ 쟁점 - '개인정보 보호법'상 ‘개인정보취급자’에 해당하기 위한 요건 - ‘개인정보취급자’의 지위와 '개인정보 보호법' 제17조 제1항에 따라 개인정보를 제공받는 ‘제3자’의 지위가 양립가능한지(소극) □ 판단 - '개인정보 보호법'상 ‘개인정보취급자’는 ① 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 ② 임직원, 파견근로자, 시간제근로자 등을 의미하고(①, ② 요건을 모두 충족해야 함), 반드시 개인정보처리자와 고용계약을 체결한 자로 한정되지는 않지만 적어도 법령 또는 계약상 개인정보처리자의 의사에 따라 그 지휘·감독 아래 업무를 집행하는 자를 의미함 - '개인정보 보호법' 제17조 제1항은 개인정보처리자가 제3자에게 개인정보를 제공하는 경우 정보주체의 동의를 요구하는 반면, 개인정보취급자의 경우에는 개인정보 처리가 당연한 업무범위 내라는 전제에서 정보주체의 별도 동의를 요구하지 않고 있는 점에 비추어, ‘제3자’와 ‘개인정보취급자’는 서로 양립할 수 없는 별개의 지위라고 봄이 타당함 - 판매자는 이 사건 약관 등 약정에 따라 원고로부터 개인정보처리시스템에 대한 접근권한을 부여받음으로써 구매자의 개인정보를 제공받아, 판매자 자신의 업무를 위하여 스스로의 의사에 따라 개인정보를 처리 및 이용하는 ‘제3자’일 뿐 원고의 개인정보취급자에 해당하지 않음[항소기각(원고승)]

◇ 개인정보 유출 관련 과징금 산정의 기초가 되는 매출액 산정 시 ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스’의 범위 ◇ ◇ 개인정보 보호조치 의무 위반에 대한 과징금 부과처분의 재량권 일탈·남용 여부 판단 기준 ◇ 1. 과징금 산정의 기초가 되는 매출액에 관한 규정의 내용 구 정보통신망법 제64조의3 제1항 제6호는 이용자의 개인정보를 유출한 경우로서 개인정보의 보호조치를 하지 아니한 경우 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있도록 규정하면서, 제4항에서 과징금의 구체적 산정기준과 산정절차는 대통령령으로 정하도록 하고 있다. 그 위임에 따른 구 '정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령'(2020. 8. 4. 대통령령 제30894호로 개정되기 전의 것, 이하 ‘구 정보통신망법 시행령’이라고 한다) 제69조의2 제1항 본문은 ‘위반행위와 관련한 매출액’을 “해당 정보통신서비스 제공자 등의 위반행위와 관련된 정보통신서비스의 직전 3개 사업연도의 연평균 매출액”이라고 정의하면서, 같은 조 제4항 [별표 8]의 “3. 세부기준”에서 방송통신위원회로 하여금 위반행위와 관련한 매출액의 산정에 관한 세부 기준을 정하여 고시하도록 하였다. 구 과징금 부과기준 제4조 제1항은 관련 매출액을 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 직전 3개 사업연도의 연평균 매출액”으로 정하였고, 같은 조 제2항은 관련 매출액 산정 시 서비스의 범위는 서비스 제공방식, 서비스 가입방법, 이용약관에서 규정한 서비스 범위, 개인정보 데이터베이스 관리 조직·인력 및 시스템 운영 방식 등을 고려하여 판단한다고 정하고 있다. 2. 과징금은 위반행위에 대한 제재의 성격과 함께 위반행위에 따르는 불법적인 경제적 이익을 박탈하기 위한 부당이득 환수로서의 성격도 가지고, 이는 구 정보통신망법 제64조의3 제1항 각 호에서 정한 행위에 대하여 부과하는 과징금의 경우도 마찬가지이다(헌법재판소 2022. 5. 26. 선고 2020헌바259 결정 참조). 그런데 이 사건과 같이 이용자의 개인정보가 유출된 경우 정보통신서비스 제공자가 개인정보 보호조치를 취하지 않음으로 인해 매출액이 증대되는 경우를 상정하기 어렵다. 구 과징금 부과기준 제4조 제2항 또한 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 범위를 판단할 때 서비스 가입방법, 개인정보 데이터베이스 관리 조직·인력 및 시스템 운영 방식 등을 고려하도록 하고 있는바, 위 요소들은 위반행위로 인하여 취득한 이익의 규모와 직접적인 관련이 없다. 구 정보통신망법 제64조의3 제1항 제6호에서 정한 자에 대하여 과징금을 부과함으로써 박탈하고자 하는 이득은, 문제된 위반행위로 인해 증가한 매출액에 따른 이득이 아니라, 오히려 정보통신서비스 제공자가 적절한 보호조치를 취하지 않은 개인정보를 자신의 영업을 위해 보유함으로써 얻은 이득이라 보아야 한다. 이에 따라 위 과징금 부과를 위한 관련 매출액을 산정함에 있어 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스”의 범위는, 유출사고가 발생한 개인정보를 보유·관리하고 있는 서비스의 범위를 기준으로 판단하여야 한다. 3. 구 정보통신망법 제64조의3 제1항에 따른 과징금은 법 위반행위에 따르는 불법적인 경제적 이익을 박탈하기 위한 부당이득 환수의 성격과 함께 위법행위에 대한 제재로서의 성격을 가지고, 같은 조 제3항은 과징금을 부과할 때 위반행위의 내용과 정도, 기간과 횟수 외에 위반행위로 인하여 취득한 이익의 규모 등도 고려하도록 규정하고 있다. 개인정보 보호조치 의무 위반에 대해 부과되는 과징금의 액수는 보호조치 위반행위의 원인과 유형, 위반행위로 인해 유출된 개인정보의 규모, 위반행위 방지를 위한 조치의무의 이행 정도, 유사 사례에서의 과징금 액수 등을 종합적으로 고려하여 정하여야 한다. 그리고 과징금의 액수가 위반행위의 내용에 비해 과중하여 사회통념상 현저하게 타당성을 잃은 경우라면 그러한 과징금 처분은 재량권을 일탈·남용하여 위법하다고 보아야 한다. ☞ 원고는 쇼핑몰을 운영하는 회사로, 이벤트를 진행하면서 모바일용 이벤트 페이지에 캐시 정책을 잘못 설정하여 쇼핑몰 이용자 20명의 개인정보가 다른 이용자 29명에게 노출되는 사고가 발생하였음 ☞ 피고 개인정보보호위원회(2020. 8. 5. '개인정보 보호법' 개정에 따라 방송통신위원회 소관사무 중 개인정보보호 해당 사항에 관한 행정처분은 피고의 행위로 봄)는 원고가 구 정보통신망법 제28조 제1항 제2호 등을 위반하여 쇼핑몰 이용자들의 개인정보를 유출했다는 이유로 원고가 운영하는 쇼핑몰의 전체 매출액을 구 과징금 부과기준 제4조 제1항에서 정한 ‘관련 매출액’으로 보아, 이를 기준으로 원고에 대하여 시정명령, 과태료 및 과징금 18억 5,200만 원 부과처분 등을 하였음 ☞ 원심은, ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스’의 매출액은 ‘쇼핑몰 전체의 연매출액’이 아닌 ‘이벤트로 인한 매출액’으로 한정되어야 하고, 이 사건 과징금의 액수는 다른 정보통신서비스 제공자의 위반행위에 대해 부과된 과징금 액수와 비교하여 균형을 잃은 것으로 보인다고 판단하여 과징금 부과처분을 취소하였음 ☞ 대법원은, 위 법리에 따라 원고가 운영하는 쇼핑몰 전체 매출액이 ‘관련 매출액’에 해당한다고 보아야 하나, 이 사건 과징금액은 제재적 성격이 지나치게 강조되어 위반행위의 위법성의 정도에 비해 과중하게 산정되었다고 볼 수 있다고 판단하여, 원심의 결론을 수긍하면서 상고를 기각함

[피고와 이동통신서비스 이용계약을 체결한 원고가 구 정보통신망법 또는 위 이용계약을 근거로 원고의 발신통화내역상 접속된 기지국의 위치(지번주소 또는 허가번호)의 공개를 구하는 사건] ◇ 피고가 서비스 이용약관 또는 개인정보 처리방침에 따라 원고에게 위와 같은 기지국의 지번주소 또는 허가번호를 제공할 의무가 있는지 여부(소극) ◇ ☞ 피고와 이동통신서비스 이용계약을 체결한 원고는 피고를 상대로 구 정보통신망법 또는 위 이용계약을 근거로 원고의 발신통화내역상 접속된 기지국의 위치(지번주소 또는 허가번호)의 공개를 구함 ☞ 원심은, 원고의 휴대전화 단말기가 발신하였을 때 접속한 기지국의 위치에 관한 정보(‘이 사건 정보’)는 원고의 위치가 아닌 기지국의 위치에 관한 것으로서 발신 기지국의 위치만으로는 휴대전화 단말기가 어느 위치에서 발신한 것인지를 알아내는 데 한계가 있으므로 이 사건 정보는 구 위치정보법상 위치정보나 개인위치정보 또는 구 정보통신망법상 개인정보에 해당한다고 보기 어렵고, 위 이용계약에 피고가 원고에게 원고의 휴대전화가 발신하였을 때 접속한 기지국 위치에 관한 주소를 제공할 의무가 있다는 내용이 포함되었다고 보기도 어렵다는 이유로 원고의 청구를 받아들이지 않았음 ☞ 대법원은 위와 같은 원심의 판단을 수긍하여 상고를 기각함

2022나2020137 퇴직금 청구의 소 [제15민사부 2023. 2. 10. 선고] <노동> □ 사안의 개요 피고는 신용정보의 이용 및 보호에 관한 법률(‘신용정보법’)에 따라 금융위원회의 허가를 얻어 채권추심업 및 신용조사업 등을 영위하는 회사임. 원고들은 통신채권, 민·상사채권, 공사채권(국민행복기금채권), 금융채권 등에 관하여 피고가 채권자로부터 위임받은 채권관리 및 추심업무를 수행하던 위임직 채권추심원임. 원고들이 피고의 근로자라고 주장하면서, 퇴직금의 지급을 구한 사건 □ 쟁점 - 원고들이 피고의 근로자에 해당하는지 □ 판단 - 다음과 같은 이유로 근로자성을 인정할 수 없음 ① 원고들은 자신이 배분받은 채권 중 어느 채권을 먼저 추심할 것인지 여부나 통화, 실사, 최고장 발송 등 구체적인 추심방법을 스스로 결정하여 추심업무를 수행하였음 ② 관련 법령에서 채권추심회사가 위임직 채권추심인을 통한 추심업무를 허용하고 있으며, 피고로서는 추심실적에 관하여 이해관계를 가지고 있으므로, 추심실적을 높이기 위하여 실적에 따라 수수료 지급률을 달리하고, 회수실적이 우수한 채권추심원에 대하여 포상 등 인센티브를 제공하거나 실적인 부진한 채권추심원에 대하여 페널티를 부여할 유인이 있고, 이와 같은 조치는 위임관계에서도 취해질 수 있음 ③ 피고가 근무태도에 따라 등급을 매겨 추심할 채권을 차등배분하거나 일방적으로 채권을 재배정함으로써 불이익을 주었다고 볼 만한 자료가 없음 ④ 관련 법령에서 정한 준수사항을 안내하고 이에 대한 위반 사례가 발생하지 않도록 독려하기 위하여 개인정보 자가진단표, 공정추심 자가진단표 등을 통하여 관리하는 것이 근로계약 관계에서만 가능한 것은 아님 ⑤ 위임계약에서 채권추심원들로 하여금 채권추심업종을 제외한 다른 업종에 겸직할 수 있도록 허용하고 있고, 실제로 피고의 위임직 채권추심원 중 겸직을 한 사례가 다수 발견됨 - 따라서 원고들이 실질적으로 임금을 목적으로 종속적인 관계에서 피고에게 근로를 제공한 근로자라고 인정할 수 없으므로, 원고들의 피고에 대한 퇴직금 등 청구를 인정할 수 없음 [항소기각(원고패)]

◇ 강제집행절차의 지장을 이유로 판결서에 주민등록번호를 추가하여 달라는 판결경정 신청에 대한 처리방안 ◇ 판결경정은 판결에 잘못된 계산이나 기재 그 밖에 이와 비슷한 잘못이 있음이 분명한 경우에 허용된다(민사소송법 제211조 제1항). 한편 개인정보 보호법의 제정을 계기로 하여, 등록의 의사표시를 명하는 판결서를 제외한 민사·행정·특허·도산사건의 판결서에 당사자의 성명·주소만 기재할 뿐 주민등록번호를 기재하지 않도록 정하였다(재판서 양식에 관한 예규 제9조). 다만, 집행 과정에서의 정확성과 편의성을 확보하기 위하여, ① 집행문 부여 신청을 하는 경우에는 채무자의 주민등록번호를 소명하는 자료를 제출함으로써 집행문에 이를 기재하게 할 수 있고(민사집행규칙 제19조, 제20조), ② 당사자가 법원사무관 등에게 서면으로 소송관계인의 특정을 위한 개인정보에 대한 정정신청 및 그 소명자료를 제출함으로써 재판사무시스템에 개인정보를 추가로 입력하거나 이미 입력된 개인정보를 수정하게 할 수 있다(민사소송규칙 제76조의2, 재판사무시스템을 이용한 개인정보 관리사무 처리지침 제4조, 제5조). ☞ 특별항고인이 본안소송 과정에서 알게 된 피신청인의 주민등록번호를 추가하여 달라는 판결경정 신청을 한 사안에서, 판결서에 피신청인의 주민등록번호가 기재되지 않은 것은 관련 법령에 따른 적법한 것이어서 판결에 잘못된 계산이나 그 밖에 이와 비슷한 잘못이 있다고 볼 수 없고, 강제집행절차 상 어려움은 민사소송규칙·민사집행규칙·대법원 예규 등에서 정한 바에 따라 해결할 수 있다는 이유로, 특별항고인의 판결경정 신청을 기각한 원심결정을 유지한 사례.

◇ 구 영유아보육법(2020. 12. 29. 법률 제17785호로 개정되기 전의 것) 제54조 제3항에 규정된 ‘영상정보를 훼손당한 자’의 의미 ◇ 구 영유아보육법(2020. 12. 29. 법률 제17785호로 개정되기 전의 것, 이하 ‘구 영유아보육법’이라고 한다) 제15조의4 제1항은 “어린이집을 설치·운영하는 자는 아동학대 방지 등 영유아의 안전과 어린이집의 보안을 위하여 개인정보 보호법 및 관련 법령에 따른 폐쇄회로 텔레비전을 설치·관리하여야 한다.”라고 정하고, 구 영유아보육법 제15조의5 제3항은 “어린이집을 설치·운영하는 자는 제15조의4 제1항의 영상정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부 관리계획의 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다.”라고 정한다. 그리고 구 영유아보육법 제54조 제3항은 “제15조의5 제3항에 따른 안전성 확보에 필요한 조치를 하지 아니하여 영상정보를 분실·도난·유출·변조 또는 훼손당한 자는 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처한다.”라고 정한다. 여기서 처벌의 대상이 되는 자 중 ‘영상정보를 훼손당한 자’란 어린이집을 설치·운영하는 자로서 구 영유아보육법 제15조의5 제3항에서 정한 폐쇄회로 영상정보에 대한 안전성 확보에 필요한 조치를 하지 않았고 그로 인해 영상정보를 훼손당한 자를 뜻한다. 영상정보를 삭제·은닉 등의 방법으로 직접 훼손하는 행위를 한 자는 위 규정의 처벌대상이 아니고 행위자가 어린이집을 설치·운영하는 자라고 해도 마찬가지이다. ☞ 어린이집을 설치·운영하는 피고인이 영상정보가 기록되어 있는 저장장치를 은닉하여 녹화영상정보가 전부 삭제되도록 하였다는 이유로 구 영유아보육법 제54조 제3항( “제15조의5 제3항에 따른 안전성 확보에 필요한 조치를 하지 아니하여 영상정보를 분실·도난·유출·변조 또는 훼손당한 자는 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처한다.”)으로 기소된 사건에서, ‘영상정보를 훼손당한 자’란 어린이집을 설치·운영하는 자로서 구 영유아보육법 제15조의5 제3항이 규정한 폐쇄회로 영상정보에 대한 안전성 확보에 필요한 조치를 하지 않았고 그로 인해 위 영상정보를 훼손당한 자를 뜻할 뿐 영상정보를 삭제·은닉 등의 방법으로 직접 훼손하는 행위를 한 자는 처벌대상이 아니라고 보아 파기환송한 사안임.

◇ 미국 하와이주 판결이 인정한 성문법상 3배의 배상 부분을 승인하는 것이 대한민국의 법률이나 사회질서 또는 대한민국이 체결한 국제조약의 기본질서에 현저히 반하는 결과를 초래하는지 여부(소극) ◇ 가. 외국법원의 확정재판 등에 대한 집행판결을 허가하기 위해서는 이를 승인할 수 있는 요건을 갖추어야 한다. 민사소송법 제217조 제1항 제3호는 외국법원의 확정재판 등의 승인이 대한민국의 선량한 풍속이나 그 밖의 사회질서에 어긋나지 아니할 것을 외국재판 승인요건의 하나로 규정하고 있다. 여기서 그 확정재판 등을 승인한 결과가 대한민국의 선량한 풍속이나 그 밖의 사회질서에 어긋나는지 여부는 그 승인 여부를 판단하는 시점에서 그 확정재판 등의 승인이 우리나라의 국내법 질서가 보호하려는 기본적인 도덕적 신념과 사회질서에 미치는 영향을 그 확정재판 등이 다룬 사안과 우리나라와의 관련성의 정도에 비추어 판단하여야 한다(대법원 2012. 5. 24. 선고 2009다22549 판결 참조). 민사소송법 제217조의2 제1항은 “법원은 손해배상에 관한 확정재판 등이 대한민국의 법률 또는 대한민국이 체결한 국제조약의 기본질서에 현저히 반하는 결과를 초래할 경우에는 해당 확정재판 등의 전부 또는 일부를 승인할 수 없다.”라고 규정하고 있다. 이는 민사소송법 제217조 제1항 제3호와 관련하여 손해전보의 범위를 초과하는 손해배상을 명한 외국재판의 내용이 대한민국의 법률 또는 대한민국이 체결한 국제조약에서 인정되는 손해배상제도의 근본원칙이나 이념, 체계 등에 비추어 도저히 허용할 수 없는 정도에 이른 경우 그 외국재판의 승인을 적정범위로 제한하기 위하여 마련된 규정이다. 또한 이러한 승인요건을 판단할 때에는 국내적인 사정뿐만 아니라 국제적 거래질서의 안정이나 예측가능성의 측면도 함께 고려하여야 하고, 우리나라 법제에 외국재판에서 적용된 법령과 동일한 내용을 규정하는 법령이 없다는 이유만으로 바로 그 외국재판의 승인을 거부할 것은 아니다. 나. 1) 우리나라 손해배상제도의 근본이념은 피해자 등이 실제 입은 손해를 전보함으로써 손해가 발생하기 전 상태로 회복시키는 것이었다(대법원 2003. 9. 5. 선고 2001다58528 판결 등 참조). 그러다가 2011년 처음으로「하도급거래 공정화에 관한 법률」에서 원사업자의 부당한 행위로 발생한 손해의 배상과 관련하여 실제 손해의 3배를 한도로 하여 손해전보의 범위를 초과하는 손해배상을 도입하였다(제35조). 이어서「독점규제 및 공정거래에 관한 법률」(이하 ‘공정거래법’이라 한다)에서도 사업자의 부당한 공동행위 등에 대하여 실제 손해의 3배를 한도로 하여 손해전보의 범위를 초과하는 손해배상 규정을 도입하였고, 계속해서 개인정보, 근로관계, 지적재산권, 소비자보호 등의 분야에서 개별 법률의 개정을 통해 일정한 행위 유형에 대하여 3배 내지 5배를 한도로 하여 손해전보의 범위를 초과하는 손해배상을 허용하는 규정을 도입하였다. 이처럼 개별 법률에서 손해전보의 범위를 초과하는 손해배상을 허용하는 것은 그러한 배상을 통해 불법행위의 발생을 억제하고 피해자가 입은 손해를 실질적으로 배상하려는 것이다. 2) 이와 같이 우리나라 손해배상제도가 손해전보를 원칙으로 하면서도 개별 법률을 통해 특정 영역에서 그에 해당하는 특수한 사정에 맞게 손해전보의 범위를 초과하는 손해배상을 허용하고 있는 점에 비추어 보면, 손해전보의 범위를 초과하는 손해배상을 명하는 외국재판이 손해배상의 원인으로 삼은 행위가 적어도 우리나라에서 손해전보의 범위를 초과하는 손해배상을 허용하는 개별 법률의 규율 영역에 속하는 경우에는 그 외국재판을 승인하는 것이 손해배상 관련 법률의 기본질서에 현저히 위배되어 허용될 수 없는 정도라고 보기 어렵다. 이때 외국재판에 적용된 외국 법률이 실제 손해액의 일정 배수를 자동적으로 최종 손해배상액으로 정하는 내용이라고 하더라도 그것만으로 그 외국재판의 승인을 거부할 수는 없고, 우리나라의 관련 법률에서 정한 손해배상액의 상한 등을 고려하여 외국재판의 승인 여부를 결정할 수 있다. 요컨대, 손해전보의 범위를 초과하는 손해배상을 명한 외국재판의 전부 또는 일부를 승인할 것인지는, 우리나라 손해배상제도의 근본원칙이나 이념, 체계를 전제로 하여 해당 외국재판과 그와 관련된 우리나라 법률과의 관계, 그 외국재판이 손해배상의 원인으로 삼은 행위가 우리나라에서 손해전보의 범위를 초과하는 손해배상을 허용하는 개별 법률의 영역에 속하는 것인지, 만일 속한다면 그 외국재판에서 인정된 손해배상이 그 법률에서 규정하는 내용, 특히 손해배상액의 상한 등과 비교하여 어느 정도 차이가 있는지 등을 종합적으로 고려하여 개별적으로 판단하여야 한다. ☞ 피고가 원고들의 독점적 식료품 수입·판매계약을 방해하고 불공정한 경쟁방법을 사용하였다는 이유로 미국 하와이주 법에 따라 원고들이 입은 손해의 3배의 배상을 명하는 하와이주 판결(‘이 사건 하와이주 판결’)에 대해 원고가 승인·집행판결을 구하는 사건임. ☞ 대법원은, 이 사건 하와이주 판결에서 손해배상의 대상으로 삼은 행위는 우리나라 공정거래법의 규율 대상에 해당할 수 있는데, 공정거래법에서도 실제 손해액의 3배 내에서 손해배상을 허용하는 법조항을 두고 있으므로, 위와 같은 법리에 비추어 실제 손해액의 3배에 해당하는 손해배상을 명한 이 사건 하와이주 판결을 승인하는 것이 우리나라 손해배상제도의 원칙이나 이념, 체계 등에 비추어 도저히 허용할 수 없는 정도라고 할 수 없다고 보아, 이와 반대되는 결론의 원심판결을 파기하였음.

고객들의 개인정보 수천 건을 경쟁업체에 넘겨준 휴대전화 판매점 직원과 넘겨받은 고객정보를 영업에 활용하려 한 경쟁업체 직원들에게 각각 징역 8년에 집행유예 2년, 징역 4개월에 집행유예 1년을 선고한 사례 1. 범죄사실 (1) 피고인 A 피고인은 2019년 5월 1일경부터 2019년 5월 15일경까지 울산 ◎구 C에 있는 피해자 D이 운영하는 'LG유플러스 ◇◇플래니티 E점'에서 근무하며 휴대전화 판매 업무를 담당하였다. 가. 업무상 배임 피고인은 위 대리점에서 근무하며 직원 자격으로 LG유플러스 서버 'U Cube' 접속 권한을 얻어 위 지점과 관련된 고객들의 정보를 관리하는 업무를 취급하게 되자, 경쟁 대리점에서 근무하는 B의 요구에 따라 고객정보를 유출하고 그 대가로 불상 액수의 금전과 추후 이직 대비 등 불상의 재산상 이익을 취하기로 마음먹었다. 'U Cube'는 LG유플러스 본사가 관리하는 서버로서, 해당 지점 직원 권한으로 'U Cube'에 접속하면 원하는 기간에 해당 지점에서 가입한 고객의 리스트(고객 성명, 상품번호, 가입번호, 가입일, 개통휴대전화 모델명, 판매 직원명, 개통 직원명)를 검색, 출력, 전송할 수 있고, 가입번호를 'U Cube'에서 조회하면 1단계 정보인 고객 연락처, 생년월일, 가입 내역, 변경 내역이 제공되며 고객에게 사전·사후 통지되지도 않는다. 한편 피고인은 'U Cube'로 접속할 경우 피해 지점의 고객정보 리스트가 현출되고, 그 정보 내용은 고객의 인적사항, 신규·재계약 사항, 판매한 휴대전화 모델명, 가입 요금제, 판매 직원명 등 그 실적 자료가 포함되어 있으므로, 위와 같은 정보가 업무상 중요한 정보에 해당한다는 사실을 알고 있었다. 또한 'U Cube' 서버에 접속하더라도 해당 지점 직원으로 등록된 사람이 아니면 해당 지점의 고객리스트에 접근할 수 없고, 출력물에는 "보안문서로 무단 복사 및 외부 유출을 금한다"라는 취지의 문구가 있으므로, 피해자와 고용관계에 있는 피고인으로서는 이러한 중요정보를 경쟁업체에 함부로 유출하지 말아야 할 업무상 임무도 있었다. 그럼에도 피고인은 2019년 5월 10일경 위 대리점 사무실에서 위 B의 요구에 따라, 2017년 11월경부터 2018년 11월경까지 약 1년간 위 대리점을 통하여 LG유플러스에 가입한 별지 범죄일람표 기재와 같은 고객들의 개인정보 3329개가 첨부된 리스트 파일을 위 B에게 이메일로 발송하여 이를 유출하였다. 이로써 피고인은 타인의 사무를 처리하는 자로서 그 임무에 위배하여 피해자의 중요한 영업자산인 '가입일로부터 약 1년이 경과한 고객 리스트'를 경쟁업체에 넘겨줌으로써 불상의 재산상 이익을 취득하고, 피해자에게 불상의 재산상 손해를 가하였다. 나. 개인정보보호법위반 피고인은 전항 기재 일시 및 장소에서 전항과 같이 업무를 위하여 관리하고 있던 고객들의 개인정보 3329개가 첨부된 리스트 파일을 위 B에게 이메일로 발송하였다. 이로써 피고인은 업무상 알게 된 개인정보를 권한 없이 다른 사람이 이용하도록 제공하였다. (2) 피고인 B 피고인은 2019년 5월 10일경 울산 이하 불상지에서, 피고인의 영업상 이익을 위해 경쟁업체인 'LG유플러스 ◇◇플래니티 E점'에서 근무하는 A이 관리하는 위 대리점 고객들의 개인정보 3329개가 첨부된 리스트 파일을 위 '(1)'의 '가.'항 기재와 같이 이메일로 전송받았다. 이로써 피고인은 위 A이 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한다는 사정을 알면서도, 영리 또는 부정한 목적으로 이를 제공받았다. 2. 양형의 이유 이 사건 범행 경위, 피해 정도, 그 밖에 피고인들의 연령, 성행, 지능과 환경, 피해자에 대한 관계, 범행의 동기, 수단과 결과, 범행 후의 정황 등 제반 양형조건을 참작하여 주문과 같이 형을 정한다.

◇ 구 '개인정보 보호법'(2020. 2. 4. 법률 제16930호로 개정되기 전의 것) 양벌규정상의 ‘법인’에 공공기관이 포함되는지 여부(소극) ◇ 구 '개인정보 보호법'(2020. 2. 4. 법률 제16930호로 개정되기 전의 것, 이하 구 '개인정보 보호법'이라고 한다) 제71조 제2호는 같은 법 제18조 제1항을 위반하여 이용범위를 초과하여 개인정보를 이용한 개인정보처리자를 처벌하도록 규정하고 있고, 같은 법 제74조 제2항에서는 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 같은 법 제71조에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인에게도 해당 조문의 벌금형을 과하도록 하는 양벌규정을 두고 있다. 위 법 제71조 제2호, 제18조 제1항에서 벌칙규정의 적용대상자를 개인정보처리자로 한정하고 있기는 하나, 위 양벌규정은 벌칙규정의 적용대상인 개인정보처리자가 아니면서 그러한 업무를 실제로 처리하는 자가 있을 때 벌칙규정의 실효성을 확보하기 위하여 적용대상자를 해당 업무를 실제로 처리하는 행위자까지 확장하여 그 행위자나 개인정보처리자인 법인 또는 개인을 모두 처벌하려는 데 그 취지가 있으므로, 위 양벌규정에 의하여 개인정보처리자 아닌 행위자도 위 벌칙규정의 적용대상이 된다(대법원 1999. 7. 15. 선고 95도2870 전원합의체 판결, 대법원 2017. 12. 5. 선고 2017도11564 판결 등 참조). 그러나, 구 '개인정보 보호법'은 제2조 제5호, 제6호에서 공공기관 중 법인격이 없는 ‘중앙행정기관 및 그 소속 기관’ 등을 개인정보처리자 중 하나로 규정하고 있으면서도, 양벌규정에 의하여 처벌되는 개인정보처리자로는 같은 법 제74조 제2항에서 ‘법인 또는 개인’만을 규정하고 있을 뿐이고, 법인격 없는 공공기관에 대하여도 위 양벌규정을 적용할 것인지 여부에 대하여는 명문의 규정을 두고 있지 않으므로, 죄형법정주의의 원칙상 ‘법인격 없는 공공기관’을 위 양벌규정에 의하여 처벌할 수 없고, 그 경우 행위자 역시 위 양벌규정으로 처벌할 수 없다고 봄이 타당하다. ☞ 경찰공무원인 피고인이 사무실에서 형사사법정보시스템(KICS)에 접속하여 자신의 채무자 지명수배 여부 등을 조회하는 등 이용 범위를 초과하여 개인정보를 이용하였다는 공소사실로 기소된 사안에서, 피고인이 이용한 개인정보의 개인정보처리자는 경찰청으로서 법인격 없는 ‘중앙행정기관 또는 그 소속기관’에 해당한다고 할 것이므로, 피고인이 소속된 위 공공기관은 양벌규정에 의하여 처벌되는 개인정보처리자에 포함된다고 볼 수 없고, 따라서 피고인 역시 위 양벌규정에 의하여 처벌할 수 있는 행위자에 해당하지 않는다고 판단한 사례.