[제8-2행정부 2023. 9. 1. 선고] <일반> □ 사안 개요 - 오픈마켓을 운영하는 원고(통신판매중개자)는 오픈마켓 회원들(판매자와 구매자)에게 온라인공간에서 상품을 거래할 수 있는 플랫폼을 제공함 - 구매자는 회원가입, 주문·결제 시 판매자에게 계정(ID), 성명, 전화번호, 배송지 주소 등을 제공하는 것에 대해 동의할 수 있고, 원고는 위 ‘개인정보 제3자 제공’동의에 근거하여 구매자의 개인정보를 판매자에게 제공하며, 판매자는 구매자의 개인정보를 이용하여 상품을 배송함 - 피고(개인정보보호위원회)는 원고가 '개인정보 보호법'상 ‘개인정보처리자’에 해당하고, 판매자는 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 ‘개인정보취급자’에 해당한다는 전제 하에, 원고에게 판매자에 대한 안전한 인증수단 적용 및 정기적인 교육 실시 등의 시정조치를 할 것을 명함. 원고는 위 처분의 취소를 구함 □ 쟁점 - '개인정보 보호법'상 ‘개인정보취급자’에 해당하기 위한 요건 - ‘개인정보취급자’의 지위와 '개인정보 보호법' 제17조 제1항에 따라 개인정보를 제공받는 ‘제3자’의 지위가 양립가능한지(소극) □ 판단 - '개인정보 보호법'상 ‘개인정보취급자’는 ① 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 ② 임직원, 파견근로자, 시간제근로자 등을 의미하고(①, ② 요건을 모두 충족해야 함), 반드시 개인정보처리자와 고용계약을 체결한 자로 한정되지는 않지만 적어도 법령 또는 계약상 개인정보처리자의 의사에 따라 그 지휘·감독 아래 업무를 집행하는 자를 의미함 - '개인정보 보호법' 제17조 제1항은 개인정보처리자가 제3자에게 개인정보를 제공하는 경우 정보주체의 동의를 요구하는 반면, 개인정보취급자의 경우에는 개인정보 처리가 당연한 업무범위 내라는 전제에서 정보주체의 별도 동의를 요구하지 않고 있는 점에 비추어, ‘제3자’와 ‘개인정보취급자’는 서로 양립할 수 없는 별개의 지위라고 봄이 타당함 - 판매자는 이 사건 약관 등 약정에 따라 원고로부터 개인정보처리시스템에 대한 접근권한을 부여받음으로써 구매자의 개인정보를 제공받아, 판매자 자신의 업무를 위하여 스스로의 의사에 따라 개인정보를 처리 및 이용하는 ‘제3자’일 뿐 원고의 개인정보취급자에 해당하지 않음[항소기각(원고승)]

◇ 개인정보 유출 관련 과징금 산정의 기초가 되는 매출액 산정 시 ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스’의 범위 ◇ ◇ 개인정보 보호조치 의무 위반에 대한 과징금 부과처분의 재량권 일탈·남용 여부 판단 기준 ◇ 1. 과징금 산정의 기초가 되는 매출액에 관한 규정의 내용 구 정보통신망법 제64조의3 제1항 제6호는 이용자의 개인정보를 유출한 경우로서 개인정보의 보호조치를 하지 아니한 경우 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있도록 규정하면서, 제4항에서 과징금의 구체적 산정기준과 산정절차는 대통령령으로 정하도록 하고 있다. 그 위임에 따른 구 '정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령'(2020. 8. 4. 대통령령 제30894호로 개정되기 전의 것, 이하 ‘구 정보통신망법 시행령’이라고 한다) 제69조의2 제1항 본문은 ‘위반행위와 관련한 매출액’을 “해당 정보통신서비스 제공자 등의 위반행위와 관련된 정보통신서비스의 직전 3개 사업연도의 연평균 매출액”이라고 정의하면서, 같은 조 제4항 [별표 8]의 “3. 세부기준”에서 방송통신위원회로 하여금 위반행위와 관련한 매출액의 산정에 관한 세부 기준을 정하여 고시하도록 하였다. 구 과징금 부과기준 제4조 제1항은 관련 매출액을 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 직전 3개 사업연도의 연평균 매출액”으로 정하였고, 같은 조 제2항은 관련 매출액 산정 시 서비스의 범위는 서비스 제공방식, 서비스 가입방법, 이용약관에서 규정한 서비스 범위, 개인정보 데이터베이스 관리 조직·인력 및 시스템 운영 방식 등을 고려하여 판단한다고 정하고 있다. 2. 과징금은 위반행위에 대한 제재의 성격과 함께 위반행위에 따르는 불법적인 경제적 이익을 박탈하기 위한 부당이득 환수로서의 성격도 가지고, 이는 구 정보통신망법 제64조의3 제1항 각 호에서 정한 행위에 대하여 부과하는 과징금의 경우도 마찬가지이다(헌법재판소 2022. 5. 26. 선고 2020헌바259 결정 참조). 그런데 이 사건과 같이 이용자의 개인정보가 유출된 경우 정보통신서비스 제공자가 개인정보 보호조치를 취하지 않음으로 인해 매출액이 증대되는 경우를 상정하기 어렵다. 구 과징금 부과기준 제4조 제2항 또한 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 범위를 판단할 때 서비스 가입방법, 개인정보 데이터베이스 관리 조직·인력 및 시스템 운영 방식 등을 고려하도록 하고 있는바, 위 요소들은 위반행위로 인하여 취득한 이익의 규모와 직접적인 관련이 없다. 구 정보통신망법 제64조의3 제1항 제6호에서 정한 자에 대하여 과징금을 부과함으로써 박탈하고자 하는 이득은, 문제된 위반행위로 인해 증가한 매출액에 따른 이득이 아니라, 오히려 정보통신서비스 제공자가 적절한 보호조치를 취하지 않은 개인정보를 자신의 영업을 위해 보유함으로써 얻은 이득이라 보아야 한다. 이에 따라 위 과징금 부과를 위한 관련 매출액을 산정함에 있어 “위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스”의 범위는, 유출사고가 발생한 개인정보를 보유·관리하고 있는 서비스의 범위를 기준으로 판단하여야 한다. 3. 구 정보통신망법 제64조의3 제1항에 따른 과징금은 법 위반행위에 따르는 불법적인 경제적 이익을 박탈하기 위한 부당이득 환수의 성격과 함께 위법행위에 대한 제재로서의 성격을 가지고, 같은 조 제3항은 과징금을 부과할 때 위반행위의 내용과 정도, 기간과 횟수 외에 위반행위로 인하여 취득한 이익의 규모 등도 고려하도록 규정하고 있다. 개인정보 보호조치 의무 위반에 대해 부과되는 과징금의 액수는 보호조치 위반행위의 원인과 유형, 위반행위로 인해 유출된 개인정보의 규모, 위반행위 방지를 위한 조치의무의 이행 정도, 유사 사례에서의 과징금 액수 등을 종합적으로 고려하여 정하여야 한다. 그리고 과징금의 액수가 위반행위의 내용에 비해 과중하여 사회통념상 현저하게 타당성을 잃은 경우라면 그러한 과징금 처분은 재량권을 일탈·남용하여 위법하다고 보아야 한다. ☞ 원고는 쇼핑몰을 운영하는 회사로, 이벤트를 진행하면서 모바일용 이벤트 페이지에 캐시 정책을 잘못 설정하여 쇼핑몰 이용자 20명의 개인정보가 다른 이용자 29명에게 노출되는 사고가 발생하였음 ☞ 피고 개인정보보호위원회(2020. 8. 5. '개인정보 보호법' 개정에 따라 방송통신위원회 소관사무 중 개인정보보호 해당 사항에 관한 행정처분은 피고의 행위로 봄)는 원고가 구 정보통신망법 제28조 제1항 제2호 등을 위반하여 쇼핑몰 이용자들의 개인정보를 유출했다는 이유로 원고가 운영하는 쇼핑몰의 전체 매출액을 구 과징금 부과기준 제4조 제1항에서 정한 ‘관련 매출액’으로 보아, 이를 기준으로 원고에 대하여 시정명령, 과태료 및 과징금 18억 5,200만 원 부과처분 등을 하였음 ☞ 원심은, ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스’의 매출액은 ‘쇼핑몰 전체의 연매출액’이 아닌 ‘이벤트로 인한 매출액’으로 한정되어야 하고, 이 사건 과징금의 액수는 다른 정보통신서비스 제공자의 위반행위에 대해 부과된 과징금 액수와 비교하여 균형을 잃은 것으로 보인다고 판단하여 과징금 부과처분을 취소하였음 ☞ 대법원은, 위 법리에 따라 원고가 운영하는 쇼핑몰 전체 매출액이 ‘관련 매출액’에 해당한다고 보아야 하나, 이 사건 과징금액은 제재적 성격이 지나치게 강조되어 위반행위의 위법성의 정도에 비해 과중하게 산정되었다고 볼 수 있다고 판단하여, 원심의 결론을 수긍하면서 상고를 기각함

[피고와 이동통신서비스 이용계약을 체결한 원고가 구 정보통신망법 또는 위 이용계약을 근거로 원고의 발신통화내역상 접속된 기지국의 위치(지번주소 또는 허가번호)의 공개를 구하는 사건] ◇ 피고가 서비스 이용약관 또는 개인정보 처리방침에 따라 원고에게 위와 같은 기지국의 지번주소 또는 허가번호를 제공할 의무가 있는지 여부(소극) ◇ ☞ 피고와 이동통신서비스 이용계약을 체결한 원고는 피고를 상대로 구 정보통신망법 또는 위 이용계약을 근거로 원고의 발신통화내역상 접속된 기지국의 위치(지번주소 또는 허가번호)의 공개를 구함 ☞ 원심은, 원고의 휴대전화 단말기가 발신하였을 때 접속한 기지국의 위치에 관한 정보(‘이 사건 정보’)는 원고의 위치가 아닌 기지국의 위치에 관한 것으로서 발신 기지국의 위치만으로는 휴대전화 단말기가 어느 위치에서 발신한 것인지를 알아내는 데 한계가 있으므로 이 사건 정보는 구 위치정보법상 위치정보나 개인위치정보 또는 구 정보통신망법상 개인정보에 해당한다고 보기 어렵고, 위 이용계약에 피고가 원고에게 원고의 휴대전화가 발신하였을 때 접속한 기지국 위치에 관한 주소를 제공할 의무가 있다는 내용이 포함되었다고 보기도 어렵다는 이유로 원고의 청구를 받아들이지 않았음 ☞ 대법원은 위와 같은 원심의 판단을 수긍하여 상고를 기각함

2020나2032211, 2032228(병합), 2032235(병합) 손해배상(기) [제16민사부 2022. 8. 25. 선고]<상사> □ 사안 개요 - 피고가 운영하는 가상화폐 거래 중개 사이트의 DB서버(Master)에 과부하로 인해 전산장애가 발생함. 이에 따라 위 중개 사이트에 접속하지 못하거나 매도 주문을 하지 못하는 등 서비스를 이용하지 못한 원고들이 피고를 상대로 손해배상을 구한 사건 □ 쟁점 - 서버 과부하로 인한 전산장애 발생에 대해 가상화폐 중개 사이트 운영자의 채무불이행 책임이 인정되는지 □ 판단 - 다음과 같은 사정에 비추어 보면, 피고가 사회통념상 합리적으로 기대 가능한 조치를 다하여 귀책사유가 없다고 인정하기 부족함 ① 피고는 설립 당시 데이터베이스관리시스템으로 MySQL을 상용화하면서도 과부하를 분산할 수 있는 별다른 조치를 취하지 않았음 ② 피고로서는 늦어도 2017. 7.경부터는 접속량 및 주문량 폭증으로 DB서버(Master)에 과부하가 발생할 수도 있다는 점을 알 수 있었을 것으로 보이는데도 전산장애가 발생하기 전까지 별다른 조치를 취하지 않았음 ③ 피고가 2017. 8.경 A와 데이터베이스관리시스템을 MySQL에서 SUNDB로 변환하는 내용의 개발용역계약을 체결하였다는 사정만으로 피고가 최선의 대처를 한 것이라고 평가하기 어려움 ④ 기술적 시도가 실패했을 때 발생하는 부담 및 비용은 사이트를 운영하면서 서비스를 제공하는 주체인 피고가 책임져야 하는 것이지, 서비스를 이용하고 수수료를 지급하는 회원들에게 이를 전가할 수 없음 ⑤ 피고는 전산장애 발생일 시간당 주문량이 20만 건을 초과하였을 때 유입량 제어기능을 사용하거나 활성화된 웹서버의 수를 줄이고, 위험관리 매뉴얼에 따라 다양한 대책을 마련하였어야 함에도 조치를 취하지 않음 ⑥ 전자금융거래법 및 관련 규정의 규율 대상이 아니라는 사정만으로 가상화폐 거래소 시스템의 안전성에 대한 기준이 주식시장 시스템 안전성에 대한 기준보다 완화되어 적용되어야 한다고 보기 어려움 ⑦ 약관상 서비스의 중지 규정이 피고가 전산장애에 대한 귀책사유가 있는 경우까지 피고를 면책하는 규정이라고 볼 수는 없음 - 재산상 손해에 대해서는 증명이 부족하다고 보고, 제반 사정을 종합적으로 고려하여 위자료 지급을 명함 (원고일부승)

◇컴퓨터 프로그램의 영구적 복제권과 일시적 복제권 침해의 판단기준◇ 1. 컴퓨터프로그램을 컴퓨터 하드디스크 드라이브(HDD) 등 보조기억장치에 설치하는 것은 저작권법 제2조 제22호의 영구적 복제에 해당한다. 한편, 저작권법 제46조 제2항은 저작재산권자로부터 저작물의 이용을 허락받은 자는 허락받은 이용 방법 및 조건의 범위 안에서 그 저작물을 이용할 수 있다고 규정하고 있다. 위 저작물의 이용 허락은 저작물을 복제할 권리 등 저작재산권을 이루는 개별적 권리에 대한 이용 허락을 가리킨다. 따라서 저작재산권자로부터 컴퓨터프로그램의 설치에 의한 복제를 허락받은 자가 위 프로그램을 컴퓨터 하드디스크 드라이브(HDD) 등 보조기억장치에 설치하여 사용하는 것은 저작물의 이용을 허락받은 자가 허락받은 이용 방법 및 조건의 범위 안에서 그 저작물을 이용하는 것에 해당한다. 위와 같이 복제를 허락받은 사용자가 저작재산권자와 계약으로 정한 프로그램의 사용 방법이나 조건을 위반하였다고 하더라도, 위 사용자가 그 계약 위반에 따른 채무불이행책임을 지는 것은 별론으로 하고 저작재산권자의 복제권을 침해하였다고 볼 수는 없다. 2. 사용자가 컴퓨터 하드디스크 드라이브(HDD) 등의 보조기억장치에 설치된 컴퓨터프로그램을 실행하거나 인터넷으로 디지털화된 저작물을 검색, 열람 및 전송하는 등의 과정에서 컴퓨터 중앙처리장치(CPU)는 실행된 컴퓨터프로그램의 처리속도 향상 등을 위하여 컴퓨터프로그램을 주기억장치인 램(RAM)에 적재하여 이용하게 되는데, 이러한 과정에서 일어나는 컴퓨터프로그램의 복제는 전원이 꺼지면 복제된 컴퓨터프로그램의 내용이 모두 지워진다는 점에서 일시적 복제라고 할 수 있다. 한편, 저작권법은 제2조 제22호에서 복제의 개념에 ‘일시적으로 유형물에 고정하거나 다시 제작하는 것’을 포함시키면서도, 제35조의2에서 ‘컴퓨터에서 저작물을 이용하는 경우에는 원활하고 효율적인 정보처리를 위하여 필요하다고 인정되는 범위 안에서 그 저작물을 그 컴퓨터에 일시적으로 복제할 수 있다. 다만, 그 저작물의 이용이 저작권을 침해하는 경우에는 그러하지 아니하다.’라고 규정하여 일시적 복제에 관한 면책규정을 두고 있다. 그 취지는 새로운 저작물 이용환경에 맞추어 저작권자의 권리보호를 충실하게 만드는 한편, 이로 인하여 컴퓨터에서의 저작물 이용과 유통이 과도하게 제한되는 것을 방지함으로써 저작권의 보호와 저작물의 원활한 이용의 적절한 균형을 도모하는 데 있다. 이와 같은 입법취지 등에 비추어 볼 때 여기에서 말하는 ‘원활하고 효율적인 정보처리를 위하여 필요하다고 인정되는 범위’에는 일시적 복제가 저작물의 이용 등에 불가피하게 수반되는 경우는 물론 안정성이나 효율성을 높이기 위해 이루어지는 경우도 포함된다고 볼 것이지만, 일시적 복제 자체가 독립한 경제적 가치를 가지는 경우는 제외되어야 할 것이다. ☞ 원래 무료로 배포된 캡처용 프로그램(오픈캡처)이 설치된 상태에서 사용자가 위 프로그램을 실행하기만 하면 오픈캡처 유료버전이 자동적으로 컴퓨터 하드디스크 드라이브에 설치되고, 업데이트가 이루어진 다음 ‘비업무용으로 사용하는 경우 무료로 사용할 수 있고, 업무용으로 사용할 경우 라이선스를 구매해야 한다’는 내용의 이 사건 약관이 제시되어, 사용자가 이 사건 약관에 동의해야만 오픈캡처 유료버전을 사용할 수 있게 됨 ☞ 원고들의 직원들이 이 사건 약관에 동의하여 사용할 수 있게 된 오픈캡처 유료버전을 업무용으로 사용하자, 오픈캡처 프로그램의 저작권자인 피고가 저작권침해를 주장하였고, 원고들이 피고를 상대로 저작권 침해로 인한 채무부존재확인의 소를 제기한 사안으로서, ① 오픈캡처 유료버전은 피고가 제공한 업데이트 과정을 통해 컴퓨터에 복제된 것으로 피고의 허락하에 이루어진 것으로 볼 수 있으므로 영구적 복제권 침해로 볼 수 없고, ②오픈캡처 유료버전을 실행할 때 그 컴퓨터프로그램의 일부가 사용자 컴퓨터의 주기억장치인 램(RAM)의 일정 공간에 일시적으로 저장됨으로써 일시적 복제가 이루어지지만, 이는 통상적인 컴퓨터프로그램의 작동과정의 일부이므로 저작물인 컴퓨터프로그램의 이용에 불가피하게 수반되는 경우로서 독립한 경제적 가치를 가진다고 하기 어려우므로 저작권법 제35조의2에 따라 일시적 복제권 침해로 볼 수 없다는 이유로 원고들 청구를 인용한 원심 판결을 수긍한 사례