회사 다면평가 열람용 인터넷 주소 일부 숫자를 바꿔 입력하는 방법을 반복해 다른 직원의 평가 결과를 열람하고 이를 캡처해 타인에게 전송했더라도 정보통신망법 위반으로 볼 수 없다는 취지의 대법원 판결이 나왔다. 다면평가 결과가 게시된 인터넷 페이지에 별도의 개인인증 절차 없이 주소만 입력해 접속할 수 있었다면, 페이지 접근권한을 임직원 본인으로 제한했다고 보기 어렵다는 판단이다. 대법원 형사1부(주심 오경미 대법관)는 지난달 26일 정보통신망이용촉진및정보보호법률 위반 혐의로 기소된 A 씨에게 징역형의 집행유예를 선고한 원심을 파기하고 사건을 수원지법으로 돌려보냈다(2023도1086). A 씨는 경기도의 B 아트센터에 근무하는 직원이다. B 센터는 직원 인사관리를 위해 매년 직원 간 다면평가를 실시했는데 직원들은 개인별로 부여된 인터넷 주소에 접속해 본인의 평가 결과를 열람할 수 있었다. A 씨는 자신의 다면평가 열람 페이지 주소 마지막 숫자 2자리를 다르게 입력하는 방법을 반복해 B 센터 임직원 51명의 평가 결과를 일일이 열어 보고 그 화면을 캡처한 뒤, 캡처 사진을 B 센터 본부장에게 전송한 혐의를 받았다. 1심은 "A 씨가 정당한 접근권한 없이 정보통신망에 침입해 타인의 비밀을 침해하고 누설했다"며 A 씨에게 징역 8개월에 집행유예 2년을 선고했다. B 센터와 용역계약을 맺고 다면평가 온라인 링크 개발과 조사를 진행하고 직원들에게 평가 결과 주소를 전송한 C 업체와 대표이사 D 씨에게는 "B 센터 임직원의 개인정보 유출을 방지하기 위한 조치를 취하지 않아 개인정보보호법을 위반했다"며 각각 벌금 500만 원을 부과했다. 2심도 A 씨의 항소를 기각하고 1심 판결을 유지했다. 하지만 대법원 판단은 달랐다. 대법원은 "정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 것을 금지한 정보통신망법 제48조 제1항은 정보통신망 자체의 안정성과 정보의 신뢰성을 보호하기 위한 것이므로 접근권한을 부여하거나 허용되는 범위를 설정하는 주체는 서비스제공자"라며 "서비스제공자로부터 권한을 부여받은 이용자가 아닌 제3자가 정보통신망에 접속한 경우 그에게 접근권한이 있는지 여부는 서비스제공자가 부여한 접근권한을 기준으로 판단해야 하며, 서비스제공자가 접근권한을 제한하는지 여부는 보호조치나 이용약관 등 객관적으로 드러난 여러 사정을 종합적으로 고려해 신중하게 판단해야 한다"고 전제했다. 이어 "평가결과 열람 인터넷 페이지는 별도의 로그인이나 개인인증 절차 없이 접속이 가능했으며 △주소 마지막이 숫자 2자리로 단순하게 구성돼 있었으며 주소가 암호화돼 있지 않은 점 △C 업체가 임직원들에게 평가 결과 주소를 전송한 이메일과 문자메시지에서 다른 임직원의 열람을 제한하는 것으로 볼 만한 내용을 포함시키지 않은 점에 따라 C 업체와 D 씨는 안정성 확보에 필요한 조치를 취하지 않았다는 이유로 유죄 판결을 확정 받았다"고 밝혔다. 그러면서 "C 업체가 B 센터 임직원들에게 본인의 다면평가 결과가 게시된 인터넷 페이지의 주소만을 개별적으로 전달했다 하더라도, 아무런 보호조치 없이 다면평가 결과가 게시된 인터넷 주소를 입력하는 방법만으로도 다면평가 결과를 열람할 수 있도록 한 이상, 인터넷 페이지 접근권한을 임직원 본인으로 제한했다고 보기 어렵다"며 "A 씨가 인터넷 주소의 일부 숫자를 바꿔 넣는 방법으로 다른 사람의 평가 결과가 게시된 페이지에 접속했다 하더라도 정보통신망법 제48조 제1항이 금지하는 정보통신망 침입 행위에 해당한다고 할 수 없다"고 판단했다. A 씨가 다른 임직원의 평가열람 페이지에 접속해 타인에게 비밀을 누설했다는 혐의에 대해서도 대법원은 "A 씨가 인터넷 주소 일부를 변경해 입력한 것 외에 별도로 부정한 수단 또는 방법으로 볼 만한 행위를 하지 않았으므로 다면평가 결과를 부정한 수단 또는 방법으로 취득하거나 누설했다고 할 수 없다"고 판시했다.

비밀번호나 화면보호기 등 보안장치가 설정돼 있지 않은 컴퓨터에 해킹프로그램을 몰래 설치해 타인의 카카오톡 등 계정 아이디와 비밀번호를 알아낸 것은 전자기록 등 내용 탐지죄에 해당하지 않는다는 대법원 판결이 나왔다. 대법원 형사2부(주심 민유숙 대법관)는 최근 전자기록 등 내용 탐지 등의 혐의로 기소된 A씨에게 카카오톡 등의 아이디와 비밀번호를 알아낸 행위에 대해서는 무죄로 판단하고, 나머지 혐의에 대해 유죄로 판단해 징역 10개월에 집행유예 2년을 선고한 원심을 확정했다(2021도8900). A씨는 2018년 8월부터 한달간 경기도에 있는 한 회사 사무실에서 직장 동료인 B(여)씨의 노트북에 해킹 프로그램을 몰래 설치해 B씨의 네이트온, 카카오톡, 구글 아이디와 비밀번호를 알아냈다. A씨는 이를 이용, B씨의 계정에 접속해 B씨가 다른 사람들과 나눈 대화 내용, 메시지, 사진을 다운받는 등 총 40회에 걸쳐 정당한 접근권한 없이 정보통신망에 침입하고 정보통신망에 의해 처리·보관 또는 전송되는 피해자의 비밀을 침해한 혐의 등으로 기소됐다. 검찰은 A씨가 해킹프로그램을 이용해 B씨의 아이디와 비밀번호를 알아낸 것에 대해서는 전자기록 등 내용 탐지 혐의로, 이 같은 수법을 통해 알아낸 아이디와 비밀번호로 B씨 계정에 접속한 행위와 대화 내용 등을 다운로드 받은 행위에 대해서는 정보통신망 침해죄 및 전자기록 등 내용 탐지 혐의로 기소했다. 1심은 A씨의 혐의를 모두 유죄로 판단해 징역 2년을 선고했다. 하지만 2심은 A씨가 해킹프로그램을 이용해 B씨의 아이디와 비밀번호를 알아낸 혐의에 대해서는 무죄로 판단하고 나머지 혐의는 유죄로 인정해 징역 10개월에 집행유예 2년을 선고했다. 2심은 "형법 제316조 2항의 전자기록 등 내용 탐지죄는 봉함 기타 비밀장치한 사람의 편지, 문서, 도화 또는 전자기록등 특수매체기록을 기술적 수단을 이용해 그 내용을 알아내는 행위를 처벌하는 죄"라며 "'전자기록 등 특수매체기록'이 되기 위해서는 특정인의 의사가 표시돼야 하는데, 이 사건 아이디와 비밀번호 자체는 특정인의 의사를 표시한 것으로 보기 어려운 만큼 특수매체기록으로 볼 수 없으므로 A씨가 B씨의 아이디와 비밀번호를 알아낸 것은 특수매체기록을 탐지한 것에 해당하지 않는다"고 설명했다. 대법원은 원심 결론은 유지하면서도 세부 판단은 달리했다. 아이디와 비밀번호도 '전자기록 등 특수매체기록'에는 해당하지만, 보안장치가 설정되지 않은 노트북은 '봉함 기타 비밀장치한' 것으로 볼 수 없어 구성요건 해당성이 없다고 본 것이다. 형법 제316조 2항은 '봉함 기타 비밀장치한 사람의 편지, 문서, 도화 또는 전자기록등 특수매체기록을 기술적 수단을 이용하여 그 내용을 알아낸 자는 3년 이하의 징역이나 금고 또는 500만원 이하의 벌금에 처한다'고 규정하고 있다. 재판부는 우선 "개정 형법이 전자기록 등 특수매체기록을 범죄의 행위 객체로 신설·추가한 입법취지, 전자기록 등 내용 탐지죄의 보호법익과 그 침해행위의 태양 및 가벌성 등에 비춰 볼 때, 피해자의 아이디와 비밀번호는 전자방식에 의해 피해자의 노트북 컴퓨터에 저장된 기록으로서 형법 제316조 2항의 '전자기록 등 특수매체기록'에 해당한다"고 밝혔다. 다만 "전자기록 등 내용 탐지죄는 봉함 기타 비밀장치한 전자기록 등 특수매체기록을 기술적 수단을 이용해 그 내용을 알아낸 자를 처벌하는 규정이기에 전자기록 등 특수매체기록에 해당하더라도 봉함 기타 비밀장치가 되어 있지 않은 것은 이를 기술적 수단을 동원해서 알아냈더라도 전자기록 등 내용 탐지죄가 성립하지 않는다"고 설명했다. 그러면서 "A씨가 B씨의 노트북에 해킹 프로그램을 몰래 설치했고 해당 프로그램이 컴퓨터의 사용자가 키보드로 입력하는 내용이나 방문한 웹사이트 등을 탐지해 이를 텍스트 파일 형식으로 저장한 후 이메일 등의 방법으로 프로그램 설치자에게 전송해 주는 속칭 '키로그' 프로그램인데다, A씨가 프로그램을 통해 B씨가 각 계정에 접속하는 과정에서 컴퓨터 키보드에 입력한 아이디 등을 알아낸 사실을 알 수 있지만 그렇다고 하더라도 아이디 등이 기록된 텍스트 파일에 봉함 기타 비밀장치가 되어 있는 것으로 볼 수 없고 오히려 B씨의 노트북 컴퓨터 그 자체에는 비밀번호나 화면보호기 등 별도의 보안장치가 설정되어 있지 않았다"며 "아이디 등이 형법 제316조 2항에 규정된 전자기록 등 특수매체기록에는 해당하더라도 별도의 보안장치가 설정되어 있지 않은 등 비밀장치가 된 것으로 볼 수 없는 이상 전자기록 등 내용 탐지죄가 성립하지 않는다"고 판시했다. 한편 A씨가 해킹으로 알아낸 정보를 바탕으로 B씨의 계정에 접속하고 B씨의 대화 내용 등을 다운로드 받은 행위에 대해 유죄로 판시한 원심 부분은 A씨와 검사가 상고하지 않아 항소심에서 그대로 확정됐었다.

경쟁사의 고객 전화번호를 불법으로 수집하려다 적발된 한국통신(KT)에 대해 벌금 1000만원이 확정됐다. 대법원 형사3부(주심 박보영 대법관)는 지난달 24일 정당한 권한 없이 SK브로드밴드의 정보통신망에 접속한 혐의(정보통신망 이용촉진 및 정보보호 등에 관한 법률 위반)로 기소된 ㈜KT에 대한 상고심(2012도7558)에서 벌금 1000만원을 선고한 원심을 확정했다. 재판부는 판결문에서 "정보통신망 침입죄는 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하면 성립한다"며 "원심이 공소사실을 유죄로 인정한 것은 정당하고, 정보통신망법상 침입의 개념을 오해한 위법이 없다"고 밝혔다. KT 직원인 백모씨 등 13명은 2010년 3월 대구시에 있는 한 아파트 통신장비실에 들어가 입주자들 중 SK브로드밴드에 가입한 사람들의 전화번호를 알아낼 목적으로 시험용 전화기를 사용해 SK가 관리하는 전기통신설비에 임의로 접속했다가 SK직원들에게 적발돼 경찰에 넘겨졌다. 검찰은 형법상 양벌규정을 근거로 KT를 기소했고, 1심은 벌금 1000만원을 선고했다. KT는 "정보통신망 침입죄는 시스템의 정상적인 운영을 저해해야 성립한다"며 항소했으나, 2심은 "정상적인 운영을 저해했는지와 상관없이 정당한 권한없이 정보통신망에 침입했다면 죄가 성립한다"며 항소를 기각했다. 실제 범행을 한 KT 직원 2명에게도 벌금형이 선고됐다.