인터넷 오픈마켓 옥션의 정보유출 손배소송에서 피해 회원들이 패소했다. 서울중앙지법 민사21부(재판장 임성근 부장판사)는 14일 옥션 회원 간모씨 등 14만6,601명이 "해킹으로 인한 개인정보유출로 피해를 입었다"며 (주)이베이옥션과 인포섹(주)를 상대로 낸 손해배상 청구소송(2008가합31411 등 13건)에서 "옥션이 취한 보안조치 내용을 볼 때 과실을 인정하기 어렵다"며 원고패소 판결을 내렸다. 재판부는 판결문에서 "정보통신서비스 제공자가 이용자의 개인정보를 해킹으로 도난당했을 때 손해배상책임을 지우기 위해서는, 정보통신서비스제공자가 해킹사고를 방지하기 위해 선량한 관리자로서 취해야 할 기술적·관리적 조치의무를 위반함으로써 해킹사고를 예방하지 못한 경우여야 한다"고 밝혔다. 재판부는 이어 "옥션과 옥션의 보안관리를 담당한 인포섹이 근본적으로 해킹을 막지 못한 아쉬움이 일부 있기는 하다"면서도 "해킹 사고 당시 옥션이 취하고 있던 각종 보안조치의 내용, 해킹방지기술의 발전상황 및 해킹의 수법 등 여러사정에 비춰보면, 옥션 등에게 민법상 불법행위에 해당하는 과실이 있다고 보기 어렵고, 구 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 등 관련법령에 위반된 사실도 없다"고 덧붙였다. 재판부는 또 옥션이 해킹을 막기위해 필수적인 웹방화벽을 설치하지 않았다는 원고측 주장에 대해서는 "웹방화벽은 시스템의 특성 등을 고려해 도입여부가 결정되는 선택적인 보안조치의 하나에 불과하고, 관련 법령상으로도 웹방화벽의 설치가 의무화돼 있지도 않다"며 받아들이지 않았다. 재판부는 다만 "판결과는 별도로 옥션의 경우 법적인 책임은 없다고 하더라도 기업의 도의적, 사회적 책임을 진다는 차원에서 개인정보가 유출된 회원들에 대한 특전의 부여 등 적절한 조치를 하는 것이 바람직하다"고 지적했다. 피고 이베이옥션의 대리인인 김앤장의 황정근 변호사는 "과거 발생한 기업의 고의 또는 과실로 인한 개인정보 유출사건은 있었으나, 이번 사건은 해킹의 피해자인 기업이 역시 같은 피해자인 회원들로부터 손해배상소송을 당한 첫 사례"라며 "재판부가 세운 기준은 앞으로 유사한 사건에서 선례로 작용할 것으로 보인다"라고 말했다. 2008년1월께 중국 해커들에 의해 옥션 사이트가 해킹돼 회원 약 1천만명의 주민등록번호를 포함한 개인정보가 유출되자, 피해자들은 수백∼수천 명 단위로 소송을 제기해 총 14만6천여명이 총 30여건의 손해배상소송을 냈다.

회사 홈페이지가 해킹 당해 입사 지원자들의 자기소개서 등이 유출됐다면 회사에 배상책임이 있다는 판결이 나왔다. 서울고법 민사5부(재판장 이성호 부장판사)는 25일 회사 홈페이지 해킹으로 입사지원서상의 개인정보가 유출됐다며 강모씨등 293명이 L사를 상대로 낸 손해배상 청구소송 항소심(2008나25888)에서 등록정보를 열람당한 32명에게 30만원씩을 배상하라는 판결을 내렸다. 재판부는 판결문에서 "피고는 온라인으로 입사지원을 받음으로써 편의를 얻고 있고, 입사지원자들은 자신이 제공하는 정보가 채용 및 인사담당자에게만 공개될 것으로 신뢰하고 민감한 정보까지 제공했을 것이므로 피고는 개인정보가 유출되지 않도록 보안조치를 취해야 할 주의의무가 있다"며 "피고는 당시 기술수준에 비추어보더라도 필요한 보안조치를 강구해야 할 주의의무를 위반했다"고 밝혔다. 재판부는 이어 "해킹을 한 임모씨가 만든 링크파일을 통해 일반인들도 쉽게 채용사이트에 접속해 원고들의 입사지원정보를 열람하게 됐다"며 "원고들은 이로 인해 자신들의 개인정보가 불특정 다수인들에 의해 열람당함으로써 정신적 고통을 받았을 것이므로 피고는 이를 금전으로나마 위자할 의무가 있다"고 덧붙였다. 재판부는 다만 "기본적 인적사항에 대해 나름대로 보안조치를 취했고 2차적인 피해확산가능성은 높지 않은 점, 피고가 개인정보를 처리하는데 영리의 목적이 없었던 점과 함께 제3자의 범죄행위를 직접적인 원인으로 해 발생했다는 점 등은 피고의 책임을 가볍게 하는 사유"라며 위자료의 액수를 30만원으로 정했다. 2006년 L사의 신입사원모집에 응시했던 강모씨 등은 회사 홈페이지가 해킹 당해 포털사이트의 취업 관련 카페에 자신들의 자기소개서 등 개인정보가 게시되자 회사를 상대로 소송을 내 1심에서 1인당 70만원의 위자료를 인정받았다.

국내에 있는 블룸버그 통신 자회사(BKL)가 한미조세협약상의 ‘고정사업장’에 해당하는지에 대해 법원의 판결이 엇갈려 상급심 판단이 주목된다. 한미조세협약상 국내에서 소득있는 외국법인에게 세금을 부과하려면 국내에 고정사업장이 존재해야 한다. 따라서 국내에 있는 블룸버그 자회사가 해외본사의 활동을 위해 본질적이고 중요한 사업활동을 수행하는 고정사업장으로 볼 수 있는지에 대해 같은 법원의 서로 다른 재판부가 상반된 판단을 내렸다. 서울행정법원 행정4부(재판장 민중기 수석부장판사)는 지난달 28일 “국내소재 자회사(BKL)는 한미조세협약상의 ‘고정사업장’이 아니므로 부가가치세 부과한 것은 부당하다”며 블룸버그코리아 유한회사(BKL)가 서울종로세무서장을 상대로 낸 부가가치세부과처분 취소청구소송(2005구합30068)에서 “국내소재 자회사(BKL)는 ‘고정사업장’에 해당한다”고 판시했다. 그러나 재판부는 “국내 소재 블룸버그 통신 자회사가 제공한 용역 중 정보수집 용역은 외국 본사의 국내 고정사업장을 통해 제공된 것이 아니라 ‘직접’ 미국에 있는 본사에서 제공됐으므로 영세율 적용대상이 돼 부가가치세를 부과할 수 없다”며 원고 승소판결을 내렸다. 재판부는 판결문에서 “노드장비와 블룸버그 수신기는 이미 확보된 고객들에게 단순히 정보를 전달하는 장비에 불과하거나 정보를 제공하는 장소에 불과한 것이 아니라 이용고객들을 새로이 확보하고, 확보한 고객들이 계속적으로 서비스를 이용하도록 하는데 중요한 역할을 수행한다”면서 “본사의 사업 활동 중에서 새로운 고객의 확보와 확보된 고객의 관리는 본질적이고도 중요한 사업 활동이라고 볼 수 있고, 따라서 노드 장비와 블룸버그 수신기, 그리고 국내 사업장을 통한 직원들의 교육은 본사의 필수적인 사업활동에 해당한다”고 밝혔다. 재판부는 이어 “본사가 노드장비 없이 국내 고객들에게 서비스를 제공할 경우 적체현상이 발생하여 정보 이용 속도가 느려질 수 있고, 해킹 등으로 보안성에 문제가 발생할 우려가 있을 뿐만 아니라 오류가 발생된 고객을 확인하기 어려워 실시간으로 신속하고 안정적인 정보를 제공할 수 없다”고 덧붙였다. 재판부는 또 “A/S부문은 판매사업의 중요하고도 본질적인 사업활동이다”면서 “계속적으로 신속하고도 안정적인 정보의 제공을 원하는 국내 고객들에게 노드 장비와 블룸버그 수신기의 유지·보수를 해 주는 작업은 A/S작업과 못지 않게 중요하므로 이런 중요한 기능을 갖춘 국내 자회사는 한미조세협약상의 ‘고정사업장’에 해당한다”고 설명했다. 하지만 같은 법원 행정13부(재판장 정형식 부장판사)는 지난 8월14일 “국내에 있는 물적설비인 노드장비와 블룸버그 수신기는 통신회사의 주요역할인 수집정보를 가공·분석하는 것이 아니라 단순히 가공된 정보를 전달만 한다”면서 “국내 사업장에서는 부수적이고 보조적인 활동만 이뤄지므로 국내에 고정사업장이 있다고 볼 수 없다”고 판단했다.

공개지명수배를 내리면서 피수배자의 주민등록번호를 공개해 주민등록번호가 도용되는 피해를 입었더라도 국가는 손해배상 책임이 없다는 판결이 나왔다. 서울고법 민사2부(재판장 박홍우 부장판사)는 지난달 30일 민주노총 간부인 한모씨와 여모씨가 "근거없는 공개지명수배로 이름과 주민등록번호가 노출돼 개인정보가 도용되는 피해를 입었다"며 대한민국을 상대로 낸 손해배상 청구소송 항소심(☞2006나31964)에서 "공개수배를 할 만한 긴급한 이유가 인정되고, 주민등록번호 공개는 피의자를 특정하기 위해 필요했다고 보인다"고 원고의 항소를 기각했다. 재판부는 판결문에서 "원고들이 다시 한번 미신고 집회를 개최할 가능성이 있었고, 경찰의 출석요구에도 불응했다"며 "추가범죄를 예방하고 새로운 피해자 발생방지를 위해 원고들을 긴급하게 공개수배를 할 필요성이 있다고 보인다"고 밝혔다. 재판부는 주민등록번호 공개에 대해 "공개수배는 일반인들이 피수배자를 확인해 수사기관에 신고하게 하기위해 이뤄지는 것인데, 일상 생활의 많은 부분에 있어서 주민등록증이나 주민등록번호의 제시가 필요하다"며 "은행 등 금융기관 이용시나 비행기·선박 등의 탑승시에도 주민등록번호를 통해 신원을 확인하고, 피수배자의 사진만으로 식별하기 쉽지 않을 때에 주민등록번호가 일반인들이 피수배자를 확인할 수 있는 가장 확실한 방법이 될 수 있는 점 등을 볼 때 주민등록번호 적시는 공개수배에서 유용한 조치인 것으로 보인다"고 설명했다. 재판부는 "주민등록번호 공개는 수사목적의 달성을 위해 유용한 조치이고, 경찰이 원고들의 주민등록번호를 공개해 직접적으로 피해가 발생한 것이 아니라 제3자가 주민등록번호를 도용함으로써 비로소 원고들에게 피해가 발생했다"며 "경찰이 공개수배를 하면서 주민등록번호까지 공개한 것이 과연 바람직한 것인지에 대한 논란의 여지가 있지만 행정부가 수사기관에 재량권을 줬고 가급적 이를 존중해줘야한다"고 덧붙였다. 재판부는 다만 "지명수배에 관한 법률상 명시적인 규정이 없어 지명수배가 강제처분인지의 여부 및 공개대상이 되는 개인정보의 범위 등에 논란의 여지가 있다"며 "지명수배제도에 관한 법률상 근거규정을 구체적으로 명시해 지명수배처분의 요건, 절차 등을 명확히 해 혹시 발생할 수도 있는 기본권 침해여지를 미연에 방지하는 것이 바람직하다"고 밝혔다. 원고들이 체포되거나 자수한 후에도 8~9개월 동안 인터넷에 수배전단이 게시된 점에 대해 "경찰이 수배전단 제거의무를 위반했으므로 위자료 30만원씩을 지급하라"며 원고의 청구를 일부 인정했다. 경찰은 한씨등에게 공개지명수배를 내리면서 이름과 사진, 주민등록번호가 기재된 수배전단을 전국 경찰서 벽·경찰청 인터넷 홈페이지에 게시했다. 수배전단을 본 사람들이 원고들의 이름과 주민등록번호를 도용해 포털사이트 등에 이메일을 개설해 음란메일을 보내거나, 게임사이트에 가입해 사기 또는 해킹을 하자 원고들은 인격권 침해로 인한 손해를 배상하고 새로운 주민등록번호를 부여하라며 소송을 내 1심에서 일부 승소했다.

컴퓨터 파일은 물건이 아니어서 절도의 객체가 될 수 없다는 판결이 나왔다. 서울지법 형사항소5부(재판장 조용구·趙鏞龜 부장판사)는 18일 전 근무처인 D네트워크에서 개발중인 해킹방지 방화벽 프로그램을 파일로 무단복사한 N솔루션 보안팀장 정모씨(26)에게 컴퓨터프로그램보호법위반 및 절도 등의 혐의를 적용, 징역 8월에 집행유예 2년을 선고한 1심을 깨고 "컴퓨터 파일은 물건이 아니어서 절도죄가 적용되지 않는다"며 절도에 대해 무죄를 인정, 벌금 5백만원을 선고했다(2001노942). 재판부는 판결문에서 "컴퓨터 파일은 유체물이나 관리할 수 있는 동력으로 볼 수 없다"며 "파일을 복사하여 가지고 나온 것만으로는 파일에 대한 소유권이나 점유의 침해가 있다고 볼 수 없다"고 밝혔다. 재판부는 또 "절도의 객체가 컴팩트 디스크(CD)라 하더라도 CD가 원래 누구의 것인지, 어떤 경위로 CD를 취득해 파일을 복사하게 된 것인지 알 수 없고 그에 대한 불법영득의 의사가 있었는지도 명백하지 않다"고 덧붙였다. 정씨는 지난해11월 D네트워크에 근무하면서 급여 등 처우문제에 불만을 품고 회사 업무용 컴퓨터 하드디스크 중 방화벽 프로그램 개발에 관한 자료인 com20 제안서 등 파일을 컴팩트 디스크(CD) 1장에 복사한 후 가지고 나와 이를 절취한 혐의로 1심에서 실형이 선고됐었다.