대상판결은 관할 행정청이 인지한 복수의 위반행위 중 일부를 쪼개어 우선 과징금을 부과한 후 나머지 위반행위에 대해 차후에 별도 과징금을 부과할 수는 없고, 다만 종전 과징금 부과처분 후에야 그 부과 이전에 이루어진 다른 위반행위를 비로소 인지한 경우에 한하여 그에 대한 과징금의 별도·추가 부과를 허용하되 그 양정상 한도액에는 사후적 경합범에 관한 형사법리와 유사한 법리를 적용할 것을 선언한 최초 판례이다. Ⅰ. 사실관계 1. 원고는 여객자동차운송사업자이고, 피고(안성시장)는 경기도지사로부터 여객자동차 운수사업법(이하 ‘여객자동차법’이라 한다)상 과징금 부과처분 권한을 위임받은 행정청이다. 2. 피고는, 원고가 2008. 1. 1.부터 2017. 5. 31.까지 구 여객자동차법에 따른 인가받지 않은 노선을 운행한 점, 2016. 9. 1.부터 2017. 5. 31.까지 인가받지 않은 정류소에 정차한 점을 이유로 2018. 2. 28. 원고에게 과징금 5,000만 원을 부과하였다. 3. 한편 경기도지사는 2017. 9. 12. 피고에게, 원고가 2016. 3. 1.부터 2017. 9. 11.까지 종점과 정차지 변경 신고 없이 연장 운행을 한 점을 이유로 원고에 대한 행정처분을 요청하였고, 이에 피고는 2018. 4. 19. 원고에게 위 위반행위를 이유로 구 여객자동차법령을 적용하여 과징금 5,000만 원을 부과하는 이 사건 처분을 하였다. Ⅱ. 대법원판결 요지 1. 위반행위가 여러 가지인 경우에 행정처분의 방식과 한계를 정한 관련 규정들의 내용과 취지에다가, 여객자동차운수사업자가 범한 여러 가지 위반행위에 대하여 관할 행정청이 구 여객자동차법 제85조 제1항 제12호에 근거하여 사업정지처분을 하기로 선택한 이상 각 위반행위의 종류와 위반 정도를 불문하고 사업정지처분의 기간은 6개월을 초과할 수 없는 점을 종합하면, 관할 행정청이 사업정지처분을 갈음하는 과징금 부과 처분을 하기로 선택하는 경우에도 사업정지처분의 경우와 마찬가지로 여러 가지 위반행위에 대하여 1회에 부과할 수 있는 과징금 총액의 최고한도액은 5,000만 원이라고 보는 것이 타당하다. 관할 행정청이 여객자동차운송사업자의 여러 가지 위반행위를 인지하였다면 전부에 대하여 일괄하여 5,000만 원의 최고한도 내에서 하나의 과징금 부과처분을 하는 것이 원칙이고, 인지한 여러 가지 위반행위 중 일부에 대해서만 우선 과징금 부과처분을 하고 나머지에 대해서는 차후에 별도의 과징금 부과처분을 하는 것은 다른 특별한 사정이 없는 한 허용되지 않는다. 만약 행정청이 여러 가지 위반행위를 인지하여 그 전부에 대하여 일괄하여 하나의 과징금 부과처분을 하는 것이 가능하였음에도 임의로 몇 가지로 구분하여 각각 별도의 과징금 부과처분을 할 수 있다고 보게 되면, 행정청이 여러 가지 위반행위에 대하여 부과할 수 있는 과징금의 최고한도액을 정한 구 여객자동차법 시행령 제46조 제2항의 적용을 회피하는 수단으로 악용될 수 있기 때문이다. 2. 관할 행정청이 여객자동차운송사업자가 범한 여러 가지 위반행위 중 일부만 인지하여 과징금 부과처분을 하였는데 그 후 과징금 부과처분 시점 이전에 이루어진 다른 위반행위를 인지하여 이에 대하여 별도의 과징금 부과처분을 하게 되는 경우에도 종전 과징금 부과처분의 대상이 된 위반행위와 추가 과징금 부과처분의 대상이 된 위반행위에 대하여 일괄하여 하나의 과징금 부과처분을 하는 경우와의 형평을 고려하여 추가 과징금 부과처분의 처분양정이 이루어져야 한다. 다시 말해, 행정청이 전체 위반행위에 대하여 하나의 과징금 부과처분을 할 경우에 산정되었을 정당한 과징금액에서 이미 부과된 과징금액을 뺀 나머지 금액을 한도로 하여서만 추가 과징금 부과처분을 할 수 있다. 행정청이 여러 가지 위반행위를 언제 인지하였느냐는 우연한 사정에 따라 처분상대방에게 부과되는 과징금의 총액이 달라지는 것은 그 자체로 불합리하기 때문이다. Ⅲ. 대상 판결에 대한 평석 1. 복수의 위반행위에 대한 과징금의 일괄 부과 시 최고 한도액 먼저 1회 부과 가능한 과징금 총액의 최고한도액에 관하여, 대상판결은 위반행위가 여러 가지인 경우에 행정처분의 방식과 한계를 정한 구 여객자동차법령의 내용과 취지와 함께 여러 가지 위반행위에 대한 사업정지처분 기간의 상한은 6개월인 점 등을 종합하여, 여러 가지 위반행위에 대하여 1회에 부과할 수 있는 과징금 총액의 최고한도액은 5,000만 원이라고 판시하였다. 과징금 부과처분이 사업정지처분을 대체·갈음하는 관계에 있으므로 사업정지처분의 상한과 마찬가지로 과징금에 관해서도 부과 가능한 총액의 최고한도가 정해져 있다고 볼 것인 점, 구 여객자동차법 제88조 제1항, 구 여객자동차법 시행령 제46조 제2항 단서에 의하여 (여러 위반행위를 전제로 한) 과징금 ‘총액’의 최고한도액을 5,000만 원으로 명시하여 규정하고 있는 점 등에 비추어 볼 때, 1회 부과 가능한 과징금 총액의 최고한도액에 관한 대상판결의 판시 내용은 타당하다. 2. 복수의 위반행위에 대한 과징금 별도 부과의 허용성과 양정 다음으로 관할 행정청이 인지한 여러 가지 위반행위 중 일부를 쪼개어 우선 과징금 부과처분을 한 후 나머지 위반행위에 대해 차후에 별도 과징금 부과처분을 하는 것은 다른 특별한 사정이 없는 한 허용되지 않는다고 판시하였다. 관할 행정청이 이미 인지한 여러 위반행위 모두에 대해 과징금을 일괄하여 부과할 수 있었음에도 일부러 위반행위를 쪼개어 과징금을 별도·분리 부과처분을 하는 것은 최고한도액 규정을 잠탈할 수 있을 뿐만 아니라, 시기적으로도 한꺼번에 제재처분(과징금 부과처분)을 받고 조기에 불이익 처분 절차에서 벗어날 수 있는 처분상대방의 이익을 침해할 수도 있어서 타당하지 않다. 따라서 대상판결이 제시한 ‘이미 인지한 위반행위에 대한 과징금 일괄 부과 원칙’은 타당하다. 마지막으로 대상판결에서는 종전 과징금 부과처분을 한 후에야 부과처분 시점 이전에 이루어진 다른 위반행위를 비로소 인지하여 별도의 과징금 부과처분을 할 경우에는 그 추가 과징금 부과처분의 금액은 ‘전체 위반행위에 대하여 하나의 과징금 부과처분을 할 경우에 산정되었을 정당한 과징금액 - 이미 부과된 과징금액’을 한도로 하여 부과될 수 있다고 판시하였다. 관할 행정청이 다른 위반행위를 인지한 시점상 과징금의 일괄 부과는 애초에 불가능했을 것이므로 일괄 부과 원칙의 예외는 인정하되, 일괄 부과되었을 경우와의 형평성을 고려하여 처분 상대방에게 불리하지 않도록 추가 과징금 부과처분의 처분양정의 한계를 위와 같이 선언한 대상판결은 역시 타당하다. 예를 들어 A위반행위에 대하여 과징금 2,000만 원이 부과된 후 관할 행정청이 A위반행위 무렵의 다른 B위반행위를 비로소 인지하여 이에 대해 과징금 부과처분을 하려면, A, B위반행위 전체에 대하여 하나의 과징금을 부과하였을 경우를 가정할 때의 정당한 과징금 3,000만 원을 산출한 후, 거기서 이미 A위반행위에 대하여 부과된 과징금 2,000만 원을 뺀 과징금 1,000만 원을 한도로 B위반행위에 대한 추가 과징금을 부과할 수 있을 뿐이다. 3. 대상 판결의 의미 구 여객자동차법령에 의한 과징금 부과처분은 사업(영업)정지처분에 갈음하여 부과할 것인지 여부에 관한 결정재량과 과징금액을 결정할 수 있는 선택재량이 부여되어 있다는 점에서 재량행위에 해당한다. 그런데 이와 같은 재량적인 과징금 부과처분에 있어서 과징금을 언제, 어떠한 방식으로 부과할 것인지에 관한 재량에 일정한 한계가 존재한다는 점을 대상판결은 선언하고 있다. 즉, 대상판결은 과징금 부과처분에 관한 재량권 일탈·남용의 세부 척도로서, ① 관할 행정청이 이미 여러 가지 위반행위를 인지한 이상 일부 위반행위별로 쪼개어 편의적으로 과징금을 별도로 분리하여 부과하는 것을 허용하지 않고, ② 이미 이루어진 과징금 부과처분을 기준으로 관할 행정청이 그 부과처분 이전에 발생한 다른 위반행위를 그 부과처분 이후에 인지하여 불가피하게 과징금의 별도·분리 부과처분이 이루어지게 되더라도, 모든 위반행위에 대한 과징금의 일괄 부과처분이 이루어질 경우에 준수해야 할 (가정적인) 정당한 부과 금액의 한계를 벗어나지는 못한다는 원칙을 선언한 것이다. 위 ①의 원칙은, 검사가 범죄사실의 전부를 알면서도 수사 기법상 사후에 누락된 사건을 기소하였다면 소추재량권을 현저히 일탈한 경우에 해당한다는 공소권 남용이론과 유사한 면이 있다. 또한 위 ②의 원칙은 형사재판에서 「형법」 제39조 제1항에 의하여 사후적 경합범(「형법」 제37조 후단)에 대한 형의 양정을 하는 법리와 유사하다. 다만, 행정제재처분에 관하여 형사법리를 일반적으로 적용할 수 있을 것인지의 문제는 향후 더 깊이 있는 연구가 필요하다. 대상판결은 수회 경합된 위반행위에 대하여 1회 부과 가능한 과징금 최고한도액에 관한 종전 판례(대법원 1995. 1. 24. 선고 94누6888 판결)의 태도를 그대로 따르면서도, 관할 행정청이 인지한 복수의 위반행위 중 일부를 쪼개어 우선 과징금을 부과한 후 나머지 위반행위에 대해 차후에 별도 과징금을 부과할 수는 없고, 다만 종전 과징금 부과처분 후에야 그 부과 이전에 이루어진 다른 위반행위를 비로소 인지한 경우에는 그에 대한 과징금의 별도·추가 부과를 허용하되, 그 양정상 한도액에는 사후적 경합범에 관한 형사법리와 유사한 법리를 적용할 것을 선언한 최초 판례라는 점에 의의가 있다. 이은상 교수(서울대 로스쿨)

1. 사안의 내용 피고인은 천안경찰서 소속 경찰관들에 의하여 긴급조치 제9호 제8항에 따라 1979년 7월 4일부터 1979년 7월 13일까지 영장 없이 체포·구금되어 수사를 받고 대통령긴급조치 제9호 위반, 반공법위반, 사기, 업무상횡령으로 기소되었다. 피고인은 1심에서 유죄판결을 받고 항소하였는데 항소심 진행 도중인 1979년 12월 8일 긴급조치 제9호가 해제되었다. 이에 항소심은 대통령긴급조치 제9호 위반 부분에 대하여는 면소를 선고하고 나머지 반공법위반, 사기, 업무상횡령 부분에 대하여만 유죄판결을 선고했다. 항소심 판결은 피고인의 상고취하로 확정되었다. 그 후 피고인이 사망하자 피고인의 아들이 재심대상판결(서울고법 1981. 9. 10. 선고 79노1637 판결)에 대하여 재심을 청구하였다. 이 사건에서 경찰관들이 피고인을 영장 없이 체포·구금한 것은 당시 영장 없는 체포·구금을 허용하던 긴급조치 제9호에 따른 것이다. 즉 경찰관들은 직권을 남용한 것이 아니라 단지 당시의 법령을 따랐을 뿐이다. 이러한 경우에도 형법 제124조의 불법체포·감금죄가 성립하거나 적어도 그 구성요건에 해당하는 등으로 형사소송법 제420조 제7호의 재심사유가 인정되는지가 쟁점이었다. 대법원은 수사기관이 영장주의를 배제하는 위헌적 법령에 따라 영장 없는 체포·구금을 한 경우에도 불법체포·감금의 직무범죄가 인정되는 경우에 준하는 것으로 보아 형사소송법 제420조 제7호의 재심사유가 있다고 보아야 한다는 근거에서 검사 재항고를 기각(원심의 결론 수긍, 재심 허용)하는 결정을 내렸다. 대법원은 영장 없는 체포·구금과 관련한 재심사유의 존부에 관하여 그 영장 없는 체포·구금의 근거가 위헌적 법령이라면 당시 수사기관에게 형법 제124조의 불법체포·감금죄가 성립하는지 여부는 따질 필요가 없으며, 영장주의를 배제하는 위헌적 법령에 따라 영장 없는 체포·구금을 당한 국민에게 사법적 구제수단 중의 하나인 재심의 문을 열어놓는 것이 헌법상 재판받을 권리를 보장하는 헌법합치적 해석이라는 점을 그 이유로 제시하였다. 2. 재심제도의 의의와 형사소송법 제420조 제7호의 해석론 재심심판절차는 원판결의 당부를 심사하는 종전 소송절차의 후속절차가 아니라 사건 자체를 처음부터 다시 심판하는 완전히 새로운 소송절차로서 재심판결이 확정되면 원판결은 당연히 효력을 잃는다. 이는 확정된 판결에 중대한 하자가 있는 경우 구체적 정의를 실현하기 위하여 그 판결의 확정력으로 유지되는 법적 안정성을 후퇴시키고 사건 자체를 다시 심판하는 재심의 본질에서 비롯된 것이다. 그러나 정의와 법적 안전성의 원칙은 법치국가의 원리에서 동일한 정도로 파생되기 때문에 재심절차는 단지 극히 좁은 범위에서만 허용된다. 즉 실체적 정의를 실현하기 위하여 재심을 허용하지만 법적 안정성을 해치지 않는 범위 내에서 재심이 이루어져야 한다(대법원 2018. 2. 28. 선고 2015도15782 판결). 형사소송법 제420조 제7호는 '원판결, 전심판결 또는 그 판결의 기초된 조사에 관여한 법관, 공소의 제기 또는 그 공소의 기초된 수사에 관여한 검사나 사법경찰관이 그 직무에 관한 죄를 범한 것이 확정판결에 의하여 증명된 때'를 별도의 재심사유로 규정하고 있고 이는 원판결이 위 공무원의 범죄행위로 얻어진 것이라는 점에 관하여 별도의 확정판결이나 같은 법 제422조 소정의 확정판결에 대신하는 증명이 있다고 볼 수 있는 경우를 가리킨다(대법원 2016. 11. 9. 선고 2016도12400 판결). 즉 제420조 제7호는 1) 직무범죄가 성립하고 2) 그 직무범죄로 공소가 제기되고 3) 그 직무범죄에 대하여 유죄의 확정판결이 존재할 것을 그 요건으로 하고 있다. 1)은 실체법적 요건이라면, 2)와 3)은 절차법적 요건에 해당한다. 3. 동 결정의 근거에 대한 비판론 형사소송법 제420조 제7호는 '직무범죄를 범하여'라고 규정하고 있지, '직무범죄 준하는 사유'라고 규정하고 있지 않다. 그럼에도 불구하고 직무범죄가 존재하지도 않고, 직무범죄에 저항하는 범죄이거나 직접적인 인과성이 인정되지 않는 경우를 직무범죄에 준하는 것으로 보는 것은 허용되는 유추해석의 범위를 벗어나는 것으로서 죄형법정주의의 위반에 해당한다. 또한 법률의 해석은 법문에 반하여 할 수는 없으므로 헌법 합치적 법률해석 역시 법문에 대한 가능한 어의에서 시작되고 또 거기에서 한계를 발견해야 한다. 따라서 법문의 어의가 명백하여 다른 해석의 가능성이 없는 경우 비록 법문에 부합하는 해석이 위헌적이라고 하더라도 헌법 합치적 해석이라는 미명 아래 법률의 규율내용을 왜곡하려 해서는 안 된다. 규범변경을 통한 적극적 입법은 법원은 물론 헌법재판소에게도 금지되어 있기 떄문이다. 결국 사안에서도 형사소송법 제420조 7호의 문언이 범죄성립과 확정판결을 명백히 요구하고 있음에도 불구하고 헌법 합치적 해석이라는 방법을 통해 법적 논증의 과정을 서둘러 종결하였다고 생각할 수 있다. 재심은 실체적 진실발견을 위해 법적 안정성을 깨뜨리는 비상구제절차이다. 즉 사실인정의 오류를 바로잡아서 정의를 회복하는 것이다. 헌법상 재판을 받을 권리는 사안에서 볼 때 반공법위반, 사기죄, 횡령죄로 유죄판결을 받은 자(재심대상자)에게만 인정되는 것이 아니라, 직무범죄를 범한 자에게도 인정되는 모든 시민의 권리이다. 즉 경찰관들이 직무범죄를 범하였다는 것이 재판을 통해서 증명되어야 하는 것이다. 재심개시결정은 재심사유에 대한 엄격한 해석을 통해 재심을 청구하는 자가 주장하는 모든 사실관계를 검토한 후에 내려지는 법적 논증의 결과이다. 일반적으로 재심개시여부를 결정하는 단계는 재심절차의 전체적인 단계에서 볼 때 선행절차(Aditionsverfahren)에 해당한다. 이 절차에서는 재심청구의 방식과 재심청구의 논리적 일관성(Schlussigkeit)의 심사가 주된 과제이다. 재심개시결정절차에서 재심법원은 새롭게 주장된 사실이 진실하다는 점을 가정하고서 이를 원판결에서 법원이 확정한 사실과 비교한다. 이 단계에서 재심법원은 먼저 사실심법관이 확인한 사실에 구속된다. 형사소송법 제420조 7호의 재심요건과 관련해서 본다면 재심법원은 공무원의 직무범죄가 성립한다는 사실심법관의 확인사실을 기초로 재심여부를 결정하여야 한다. 칸트는 '도덕과 형이상학을 위한 정초'에서 "목적을 원하는 자는 (이성이 그의 행위들에 결정적인 영향을 가지는 한) 자신의 힘 안에 놓여 있는, 그 목적을 위해 없어서는 안 될 불가결한 수단을 또한 원한다"라고 하였다. 당해 사안에서 재심개시결정이라는 목적은 직무범죄의 존재라는 수단을 갖추어야만 한다. 그러나 동 결정은 '직무범죄가 성립하였다는 사실'이 아니라 '직무범죄에 준한다는 사실'을 근거로 재심개시결정을 하고 있다. '직무범죄'와 '직무범죄에 준한다는 사실'은 규범적 관점에서 볼 때 전혀 다르다. 직무범죄에 준한다는 사실도 재심개시결정에 원인이 될 수는 있다. 즉 인과성은 존재한다고 할 수 있다. 그러나 재심개시결정이라는 결과를 그 원인된 행위에 귀속하기 위해서는 직무범죄에 준하는 사실이 아니라 직무범죄의 성립과 확정판결을 필요로 한다. 또한 재판은 '당사자 사이에 법적 분쟁이 발생한 경우 사실관계를 확정하고 관련 법령의 의미를 해석한 후 이를 사실관계에 적용하여 누구의 주장이 맞는지를 판단하는 사법작용'이다(대법원 2013.3.28. 선고 2012재두 299 판결). 법령에 대한 해석의 기준이 확정된 사실관계에 적용하는 법적 논증의 과정이다. 이때 법령의 해석은 미리 그 의미가 확정되어야 하는 것이지, 사실관계에 따라서 변동될 수 있는 것이 아니다. 그러나 동 결정은 재심을 위한 재심개시결정이라는 인상을 지울 수 없다. 재심개시결정을 미리 염두에 두고 그 근거를 소급적으로 제시하고 있다는 의문이 강력히 제기된다. 권오걸 교수(경북대 로스쿨)

2016년 2,500만 건의 고객정보를 유출 당한 인터파크에게 방통위는 44억 8,000만 원의 과징금을 부과했다. 이는 개인정보 유출 관련 정부가 부과한 과징금액으로는 역대 최고 금액이다(참고로 민사에서 최대 배상금액을 기록한 소송은 단연 신용카드 3사 개인정보유출 사건이다). 인터파크는 방통위의 과징금 처분에 불복하여 행정소송을 제기했으나 1심 서울행정법원 및 항소심 서울고등법원에서 패소했다. 소송에서는 인터파크의 법위반행위와 해킹 간 인과관계 여부가 주된 쟁점이었다. 법원은 방통위 처분을 지지하면서 “유출사고가 난 이상 이것과 법위반행위 사이의 인과관계가 입증되지 않았더라도 과징금을 부과할 수 있다”고 해석했다. 본고에서는 이 쟁점에 대해 살펴본다. 인터파크가 당한 해킹의 유형은 APT(Advanced Persistent Threat) 공격이다. 이는 해커가 특정 목표 대상을 정한 후 그 허점을 집요하게 노려 침입하는 기법이다. 해커는 인터파크 직원 A의 가족사진을 가지고 화면보호기(SCR 파일)를 만들고 여기에 악성코드를 심어 A에게 이메일로 전송하면서, 마치 A의 친동생이 보내는 것처럼 발신 이메일 주소를 위장하고 동생의 어투까지 흉내냈다. A는 감쪽같이 속을 수밖에 없었다. 화면보호기의 확장자가 EXE가 아니라 SCR이라서 A는 별 의심을 하지 않고 첨부파일을 열었을 것이나, SCR 파일도 악성코드 유포용으로 사용될 수 있다. 특정 공격을 위해 특별 제작된 악성코드는 백신에도 탐지되지 않는다. 해커는 악성코드를 감염시킨 A의 PC를 거점으로 삼아 DB 관리자 직원 B의 PC에 원격 데스크탑 접속했다. 당시 B가 퇴근한 시간이었는데, 그때까지 DB 서버와의 접속이 유지된 터미널이 B의 PC에 그대로 떠 있었다고 한다. 자동 로그아웃(이하 ‘idle timeout’) 설정이 제대로 안 되어 있었기 때문이다. 덕분에 해커는 DB 서버에 손쉽게 침입할 수 있었는데, 여기에서 인터파크 회원들의 개인정보가 유출된 것이 바로 이번 사고이다. 정보통신망법의 위임을 받아 개인정보의 기술적·관리적 보호조치의 내용을 정한 방통위 고시는 개인정보처리시스템에 idle timeout 설정을 할 의무를 규정하고 있다. 그러한 법상 의무를 위반하면 그 자체로 과태료, 개인정보 유출까지 되면 과징금 부과 대상이다. 부수적으로, A의 PC를 손에 넣은 해커가 인터파크 사내 네트워크를 스캔했더니 업무용 파일서버가 발견되었다. 거기에는 패스워드 장부 엑셀파일이 있었다. 직원들이 수많은 인터파크 서버들의 접속계정을 외우기 어려워 이를 메모해둔 것이었다. 다만, 개인정보가 유출된 DB 서버의 접속 패스워드는 여기에 없었다고 한다. 즉, 패스워드 장부 노출이라는 법위반행위와 개인정보 유출 사이에는 인과관계가 없음이 분명했다. 그런데 방통위는 idle timeout 미설정은 물론 및 패스워드 장부 노출까지 모두 처분원인사실로 삼아 과징금을 부과했다. 인터파크는 행정소송에서 idle timeout 미설정은 APT 해킹의 핵심 원인이 아니다, 나아가 패스워드 장부 노출과 개인정보 유출은 인과관계가 전혀 없다고 주장했다. 인터파크를 패소시킨 1심 및 항소심 법원은 인과관계 자체가 과징금 부과 요건이 아니라고 근거법률을 해석했다. 개정 전 법조문은 “법상 '조치'를 하지 아니하여 이용자의 개인정보를 '유출'한 경우에는 과징금을 부과한다”는 구조로서 '미조치'가 '유출'의 원인이 되어야 한다는 뜻이 명확했다. 이와 달리 2014년 개정된 법조문은 “이용자의 개인정보를 '유출' 한 경우로서 법상 '조치'를 하지 아니한 경우에는 과징금을 부과한다”는 형식으로 바뀌었다. 이를 근거로 법원은 '유출'이라는 결과와 '미조치' 행위가 인정되기만 하면 둘 사이의 인과관계는 요구되지 않는다고 해석했다. 그러나, 해킹의 원인을 제공하지 않은, 즉 ‘인과관계’ 없는 사업자의 위반행위까지 과징금 처분사유가 될 수 있다고 본 법해석에 대해서는 재고의 여지가 있다고 사료된다. 민사와 형사의 영역에서는 자신의 행위와 인과관계 없는 결과에 대해서 법적 책임을 지는 경우는 있을 수 없다. 형법 제17조(인과관계) 및 민법 제750조(불법행위의 내용) 모두 ‘인과관계’를 법적 책임의 성립요건으로 요구한다. 이것이 법의 대원칙이다. 행정상의 제재 또한 특별한 사정이 없다면 마찬가지이다. 행정상 금전제재는 크게 과징금과 과태료로 나뉜다. 일반론적으로, 단지 절차를 위반한 행위에 대해서는 행정질서벌의 일종인 과태료(가벼운 제재)가 부과되는데 그치는 반면, 행정목적을 침해하는 결과까지 야기한 행위에 대해서는 행정벌의 일종인 과징금(무거운 제재)이 부과된다. 정보통신망법 또한 이 체계에 따라 과태료와 과징금의 각 구성요건이 차등되어 있다. 사업자가 단지 idle timeout과 같은 법상 조치를 불이행한데 그쳤다면 3,000만 원 이하의 과태료를 부과 받지만(제76조 제1항 제3호), 더 나아가 개인정보 유출(해킹)이라는 결과까지 야기했다면 관련매출액에 비례하는 과징금을 부과 받는다(제64조의3 제1항 제6호). 해킹을 당했다는 결과에 대해 사업자에게 과징금이라는 법적 책임을 지우려면, 마땅히 사업자의 행위와 결과 사이에 ‘인과관계’가 존재해야 한다. 이것이 법의 대원칙에 부합하는 해석으로 사료된다(만약 해킹과의 인과관계를 불문하고 과징금을 부과하는 쪽으로 제도를 바꾼다면 굳이 행정질서벌을 운영할 필요가 없으니 과태료 조항을 폐지하는 것이 균형에 맞을 것이다). 이러한 원칙에 부합하도록 개정 전 정보통신망법 제64조의3 제1항 제6호는 ‘조치를 하지 아니하여 이용자의 개인정보를 누출’이라는 형식으로 규정함으로써 미조치가 해킹의 원인을 제공했어야 한다는 요건을 명시하고 있었다. 그러다가 2013. 11. 21. 방통위가 입법예고한 정보통신망법 일부개정안에서 “현재 대규모 개인정보 누출 등 침해사고 발생시 기술적·관리적 보호조치 위반과의 인과관계 입증이 어려움” 이라는 이유를 들어 과징금 부과요건 중 ‘인과관계’ 요건을 삭제할 것이 제안되었다. 참고로 이때까지는 개인정보 유출(해킹) 사고에 대해 과징금 처분이 내려진 전력이 없었다(2014. 6. 26. 비로소 첫 과징금 사건인 KT 마이올레 사건의 방통위 처분이 내려졌다). 위 방통위가 제안한 내용의 정보통신망법 제64조의3 제1항 제6호 개정안은 독자적인 법안으로 국회에 발의되지는 않은 것으로 보이고, 대신 2014. 5. 2. 국회 본회의를 통과한 대안법안의 일부로서 반영되었다. 그런데 정작 그 대안법안의 의안원문 및 이에 관한 국회 검토보고서, 소관위 회의록 등 가운데 ‘인과관계’ 입증 없이도 과징금을 부과할 수 있도록 한다는 기재는 어디에도 없다. 즉, ‘인과관계’ 요건을 삭제하는 개정안이 국회에서 논의라도 되었는지 의문이다. 참고로 그 당시는 신용카드 3사 개인정보 유출 사고 사실이 2014. 1. 8.자 검찰 발표에 의해 알려진 이래 국회에서 앞 다투어 개인정보 규제를 강화하는 법안들이 발의된 시점이어서, 위 대안법안에는 무려 18건의 발의안이 통합되어 있었다(예컨대 300만 원 이하 법정손해배상 규정도 이 때 신설된 것이다). 따라서 입법자의 의도에 ‘인과관계’ 요건 삭제가 포함되어 있는지 여부는 불명확한 측면이 있으며, 만약 진정한 입법의도가 그러했다면 위헌 소지를 검토해 보아야 한다. 무엇보다도 과징금 부과요건에서 ‘인과관계’를 뺄 경우, 민사상 손해배상 요건과 균형이 맞지 않게 된다. 정작 본인의 정보를 유출 당한 이용자는 사업자를 상대로 민사소송을 제기하더라도 사업자의 과실과 해킹 간 인과관계가 입증되지 못하면 손해배상을 받을 수 없다. 행정청은 피해자인 일반 국민들보다 현저히 강력한 조사권한을 가졌음에도 ‘인과관계’ 요건 입증을 생략하고 과징금이라는 공법적 제재를 손쉽게 부과할 수 있어야 하는지, 응보와 억지가 피해배상보다 우선되어야 하는 가치인지는 심히 의문스럽다. 향후 만약 행정청이 ‘인과관계’ 요건 입증을 생략하고 과징금을 부과할 경우, 이번 판결이 해석한 입법의도와는 오히려 반대로, 피해자들이 제기한 민사소송에서 별도로 인과관계 요건을 입증하는데 곤란을 겪어 이용자 구제에 흠결을 낳을 수도 있다. 한편, 만약 본고의 주장에 따라 ‘인과관계’를 여전히 현행법상 과징금 부과요건으로 해석할 경우, 인터파크 사건에서 두 처분사유와 해킹 사이의 인과관계는 존재하는가. 제1처분사유와 해킹 사이의 인과관계 유무는 곧 “Idle timeout 조치를 취했을 때 인터파크가 당한 유형의 APT 해킹을 통상 막을 수 있는가”의 문제로 점철된다. 이는 세부 사실관계에 따라 판단 여지가 있는 문제이다. 인터파크 사건의 경우, 해커가 DB 관리자 B의 PC(관리용 단말기)에 원격 데스크탑으로 접속해보니 마침 B가 퇴근하여 자리를 비운 상태에서 망분리 프로그램 및 DB 서버 접속 터미널이 로그아웃 되지 않고 그대로 떠 있었다. 이와 달리, 위 망분리 프로그램 및 DB 서버 접속 터미널에 최대접속시간이 설정되어 있었고 해커가 B의 PC에 접속했을 때 위 터미널이 로그아웃 된 상태였다고 가정했을 때, 과연 해커가 DB 서버에 침입할 수 있었을지 여부가 관건이다. 만약 예컨대 해커가 B의 PC에 키로거 등을 용이하게 설치할 수 있는 상황이었다면, 해커로서는 수고스럽더라도 위 PC에 키로거를 심어 내부망 ID·PW 및 DB 서버 ID·PW를 도청할 수 있었을 것이고, 이 경우 idle timeout 조치를 했었더라도 해킹은 막지 못하게 된다. 이러한 맥락에서 싸이월드 판결은 DB 서버 계정 ID·PW가 해커에게 이미 도청당한 상태에서 idle timeout 설정은 무용지물이라는 이유로 그 미설정과 해킹 사이의 상당인과관계를 부정한바 있었다. 달리 가정하여, 만약 해커가 B의 PC 제어권한을 완전히 탈취하지 못했거나, 또는 해커의 관점에서 우연히 접속해 본 B의 PC가 DB 관리자의 것인지조차 알기 어려운 상황이었다면, DB 서버 접속 터미널이 idle timeout 되지 않고 그대로 떠 있었던 것이 해킹의 결정적 계기를 제공한 셈이므로 상당인과관계가 인정될 수 있을 것이다. 한편, 적어도 두 번째 처분사유와 해킹 사이에는 인과관계가 없다는 점은 분명하다. DB 서버의 관리자 비밀번호는 문제된 패스워드 장부 엑셀파일에 쓰여 있지 않았고, 해커는 다른 경로로 DB 서버에 침입했으므로, 위 패스워드 장부 엑셀파일이 노출된 것은 DB 서버 해킹의 원인과 무관하다. 해킹과 인과관계 없는 위반행위는 과태료 부과 대상이어야 마땅하다. 그런데 인터파크의 입장에서는 다른 경로로 해킹을 당했다는 우연한 사정으로 인해, 해킹의 원인이 아닌 행위에 대해서까지 경한 과태료 대신 중한 과징금을 부과 받게 된 셈이다. 요컨대, 정부가 ‘인과관계’를 입증하기 곤란하다는 이유로 이것을 과징금 부과요건에서 뺀다는 것은 근시안적인 접근이다. 정부의 역할은 침해사고 원인조사의 실효성을 높임으로써 해킹과 ‘인과관계’ 있는 취약점이 무엇이었는지를 현장에서 밝히는 것이 되어야 한다. 그렇다면 기술적·관리적 보호조치 고시는, idle timeout과 같은 지엽적인 의무를 나열할 것이 아니라, 로그(Log) 보존 등 사고조사에 꼭 필요한 조치의무를 강화하는 방향으로 향후 개정되어야 하지 않을까. 전승재 변호사 (법무법인(유한) 바른)