제3행정부 2023. 11. 2. 선고 <일반> □ 사안 개요 원고는 초등온라인학습 서비스(‘이 사건 서비스’)를 운영하면서 서비스 이용자 42만여 건의 정보를 수집ㆍ보관하였음. 위 서비스 이용자의 개인정보 23만여 건이 유출되자 피고(개인정보보호위원회)는 원고가 개인정보처리시스템에 대한 접근통제, 시스템 접속기록 보관 및 점검을 소홀히 하였다는 이유로 과징금을 부과함 □ 쟁점 - 원고가 개인정보처리시스템에 대한 접근통제를 소홀히 하였는지(적극) - 「개인정보 보호법」 위반에 따른 과징금을 부과하기 위하여 접속기록 보관, 점검 소홀 등 같은 법 제29조의 안전조치의무 위반과 개인정보 유출 사이에 인과관계가 있어야 하는지(소극) 및 과징금 부과처분에 기준금액 산출, 필수적 가중 등 재량권을 일탈ㆍ남용한 위법이 있는지(소극) □ 판단 - 원고는 A법인과 최상단 1차 방화벽 내에서 함께 서비스를 운영하고 DB 접근제어솔루션을 공동 사용하면서, A법인의 서비스 접근 권한을 가진 IP가 이 사건 서비스 DB에 접속할 수 있게 허용함. 그러나 이 사건 서비스의 DB서버 입장에서는 A법인의 네트워크가 실질적으로 외부망에 해당하므로, 여기서 들어오는 트래픽을 필터링하여 개인정보처리시스템에 대한 인가받지 않은 접근을 차단하여야 함에도 원고는 이를 차단하지 않아 개인정보처리시스템에 대한 접근통제를 소홀히 한 것으로 평가할 수 있음 - 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」의 2014. 5. 28. 개정이유, 「개인정보 보호법」의 규정 형식과 내용을 고려하면, 「개인정보 보호법」상 과징금 부과규정은 그 요건으로 서비스제공자의 같은 법 제29조에 따른 안전조치의무 위반행위와 개인정보 유출 사이에 인과관계를 명시적으로 요구하지 않음. 안전조치 의무 위반과 개인정보 유출 사이에 ‘관련성’이 있어야 한다고 보더라도 이 사건에서 관련성이 충분히 인정됨 - ① 개인정보 유출사고와 관련하여 적어도 원고에게 중과실이 있는 점, ② 구 「개인정보보호 법규 위반에 대한 과징금 부과기준」(2022. 10. 20. 개인정보보호위원회 고시 제2022-3호로 개정되기 전의 것) 제5조 제3항 제2호의 ‘정보통신서비스 제공자 등이 보유하고 있는 개인정보’는 서비스제공자 등이 보유한 모든 개인정보가 아니라 위반행위와 관련된 개인정보로 해석해야 하고, 이 사건 서비스와 중ㆍ고등온라인학습 서비스는 별개이므로 피해규모가 원고가 보유한 개인정보의 5% 이내에 불과하다고 할 수 없는 점, ③ 원고의 위반행위는 해커가 A법인의 웹 서버에 웹 셸을 업로드한 때 개시되어 위반기간이 2년을 초과하는 장기인 점, ④ 피해규모가 작지 않고, ⑤ 위반행위와 관련된 서비스의 직전 3개 사업연도의 연평균 매출액이 과징금 액수 결정에 상당한 영향을 미치므로 매출액에 차이가 있는 다른 사안과 단순 비교하기 어려운 점 등을 고려하면, 과징금 부과처분이 재량권을 일탈ㆍ남용하여 위법하다고 볼 수 없음 [항소기각(원고패)]

가. 원고가 하도급업체와의 약정에 의하여 안전조치의무를 면하는지에 관한 판다 1) 원고의 주장 원고는 하도급업체와의 약정에 의하여, 리프트 조작을 함에 있어서 사용자인 원고의 수급인 소속 근로자들에 대한 안전조치 의무를 면제받았다고 주장한다. 2) 판단 살피건대, 건설용 리프트 임대차계약서(갑 제2호증)의 제9조에 따르면, 원고와 하도급업체 간에 모든 사고의 책임은 하도급업체가 지는 것으로 약정을 한 사실을 인정할 수 있다. 하지만, 산업안전보건법의 제29조 제3항(별 지 관계 법령 참조)에 의하여 사업주가 그의 수급인이 사용하는 근로자에게 부담하는 산업재해예방을 위한 조치를 할 의무와 위 조항의 위임에 의하여 구체화된 산업안전보건기준에 관한 규칙이 사업주에게 부과하는 의무 는 작업현장에서 재해를 방지하고 쾌적한 작업환경을 구현하여 근로자의 안전과 보건을 유지 증진시키기 위한 것으로서, 당사자간의 약정에 의하여 면제할 수 있는 것이 아니며, 위 규정들은 모두 강행규정들이다. 따라서, 원 고의 이 부분 주장은 이유 없다. 나. 인과관계 부존재에 관한 판단 1) 원고의 주장 원고는, 이 사건 사고는 고정되지 않은 마스트와 운반구가 포물선을 그리면서 추락하여 발생한 사고로 비상정지장치의 설치 여부와는 상관이 없는 점, 이 사건사고는 피해자인 하도급업체 소속 근로자들의 전적인 부주의로 발생한 것인 점, 하도급업체는 리프트 작업을 전문으로 하는 업체인 점 등에 비추어 보면, 비록 원고가 비상정지장치를 설치하고 작업지휘자를 배치하는 등 조치를 하였더라도 이 사건 사고를 미연에 방지할 수는 없었으므로, 원고의 안전조치의무 위반과 이 사건 사고 사이에는 인과관계가 없고, 따라서 이 사건 처분은 처분사유가 부존재하는 것으로서 위법하다고 주장한다. (한편, 피고는 비상정지장치를 설치하지 않은 점은 이 사건 처분의 사유가 아니라고 주장하나 갑 제1, 7호증의 각 기재에 의하면 피고 스스로 고용노동부장관의 2016년 8월 8일자 행정처분 요청을 원용하고 있고, 위 요청은 비상정지장치 미설치도 처분사유로 들고 있는 사실을 인정할 수 있으며, 여기에 이 사건 처분의 직접적 근거인 건설산업기본법 제82조 제1항 제7호는 영업정지 사유로 고용노동부장관의 요청을 들고 있는 점을 종합하여 보면, 이 사건 처분 사유에는 비상정지장치를 설치하지 않은 점도 포함된다.) 2) 판단 행정소송에서 형사재판에서인정된 사실에 구속을 받는 것은 아니더라도 이미 확정된 관련 형사판결에서 인정된 사실은 이를 채용할 수 없는 특별한 사정이 나타나 있지 아니하는 한 유력한 자료가 되어서 이를 함부로 배척 할 수 없다(대법원 2015. 6.24. 선고 2015두39316 판결 등 참조). 살피건대, 원고가 비상정지장치를 설치하지 않고 작업 지휘자를 배치하지 않아 산업안전보건법상의 안전조치의무를 이행하지 아니하였다는 범죄사실로 유죄의 선고를 받고 그 판결이 확정된 사실은 앞서 본 바와 같고, 원고가 위와 같이 확정된 형사판결에 반대되는 사실을 인정할 수 있는 새로운 증거들을 제출하지 못하고 있고 달리 관련 형사판결의 사실 판단을 채용하기 어렵다고 인정되는 특별한 사정이 없다. 그러므로, 원고가 자신의 안전조치의무와 이 사건 사고 사이의 인과관계를 다투는 것은 확정된 형사 판결의 내용을 부인하는 것에 불과하여, 원고의 이 부분 주장은 이유 없다.