"기업 면피도구 될 수 있다"
전문가들 "근본적 법체계 변화 필요" 한목소리
전문가들 "근본적 법체계 변화 필요" 한목소리
온라인 전자상거래 업체 옥션이 지난 2008년 해킹으로 1081만명의 가입자 정보를 유출시킨데 대해 12일 대법원이 '배상 책임 없음'이라는 확정 판결을 내렸다. 법률이 규정한 정보보호 의무사항을 기업이 위반했다고 볼 수 없다는 것이 '책임 없음'의 이유다. 전문가들은 법이 자칫 배상책임의 '면피 도구'가 될 수 있다며 정보보호에 대한 근본적인 법체계 변화가 필요하다고 입을 모은다.
12일 대법원 1부(주심 고영한 대법관)는 옥션 이용자 김모씨 등 2만2650명이 옥션을 상대로 제기한 정보유출 손해배상 소송 상고심에서 원고패소 판결한 원심을 확정했다. 재판부는 "옥션이 기술적·관리적 조치를 취해야 할 의무나 개인정보의 안전성 확보에 필요한 보호조치 의무를 위반했다고 보기 어렵다"고 판시했다.
정보보호 전문가 및 법 전문가들은 이러한 대법원의 판단이 그간 관행적으로 이뤄진 '기업 편들어주기'에 지나지 않는다고 비판했다.
익명을 요구한 보안전문가는 "옥션 해킹 사건의 경우 기술적으로 매우 간단한 수법인데 회사가 이를 제대로 막지 못했다"면서 "물론 해킹을 100% 방어할 수는 없지만, 기업이 해킹을 방어하기 위해 과연 '최선'을 다했는지 기술적으로 살펴봐야 함에도 불구하고 재판부는 법리적 해석만 들이대 이러한 결과가 나왔다"고 개탄했다.
그간 정보유출이나 해킹에 대한 판결은 해당 기업의 경영환경 등을 고려해 기업에 유리한 최종 판결을 내리는 '관성'이 있었다. 실제 2008년 발생한 1000만명의 금융정보유출 사고에 대해 대법원은 2012년 최종 판결에서 해당 금융사의 암호화 미흡 등 기술적 관리적 책임이 부족했다는 점을 인정하면서도 배상책임을 물을 경우 경제적 악영향이 크다는 점을 감안해 배상을 요구한 이용자 소송을 기각한 사례가 있다.
대법원은 이번 판결에서도 "정보통신서비스는 '개방성'을 특징으로 하는 인터넷을 통해 이루어지기 때문에 불가피한 취약점을 내포하고 있다"며 "완벽한 보안을 갖춘다는 것은 기술의 발전 속도나 사회 전체적인 거래비용 등을 고려할 때 기대하기 쉽지 않다"며 '해킹은 어쩔 수 없이 당한 사고'라는 기업의 입장을 대변했다.
법률 전문가는 현행 법률이 기업의 배상책임을 면제해 주는 '면피 도구'로 악용될 허점이 있다며 정보유출에 관한 법체계를 근본적으로 변화시켜야 한다고 강조한다.
김경환 법무법인 민후 대표변호사는 "현행 법은 세부 기술적인 내용까지 일일이 규정해 기업이 이를 따르기만 하면 책임을 면제받을 수 있도록 하고 있다"면서 "시시각각 변화하는 해킹과 방어기술을 법률에 일일이 반영하기도 쉽지 않을 뿐 아니라, 법 적용 특성상 '평균 이하'의 기술을 의무화 할 수 밖에 없기 때문에 훨씬 높은 수준의 보안 적용이 필요한 대기업 등에게도 초보적인 의무조항만 준수하면 배상책임을 면해주는 상황이 발생한다"고 꼬집었다.
강은성기자 esther@
12일 대법원 1부(주심 고영한 대법관)는 옥션 이용자 김모씨 등 2만2650명이 옥션을 상대로 제기한 정보유출 손해배상 소송 상고심에서 원고패소 판결한 원심을 확정했다. 재판부는 "옥션이 기술적·관리적 조치를 취해야 할 의무나 개인정보의 안전성 확보에 필요한 보호조치 의무를 위반했다고 보기 어렵다"고 판시했다.
정보보호 전문가 및 법 전문가들은 이러한 대법원의 판단이 그간 관행적으로 이뤄진 '기업 편들어주기'에 지나지 않는다고 비판했다.
익명을 요구한 보안전문가는 "옥션 해킹 사건의 경우 기술적으로 매우 간단한 수법인데 회사가 이를 제대로 막지 못했다"면서 "물론 해킹을 100% 방어할 수는 없지만, 기업이 해킹을 방어하기 위해 과연 '최선'을 다했는지 기술적으로 살펴봐야 함에도 불구하고 재판부는 법리적 해석만 들이대 이러한 결과가 나왔다"고 개탄했다.
그간 정보유출이나 해킹에 대한 판결은 해당 기업의 경영환경 등을 고려해 기업에 유리한 최종 판결을 내리는 '관성'이 있었다. 실제 2008년 발생한 1000만명의 금융정보유출 사고에 대해 대법원은 2012년 최종 판결에서 해당 금융사의 암호화 미흡 등 기술적 관리적 책임이 부족했다는 점을 인정하면서도 배상책임을 물을 경우 경제적 악영향이 크다는 점을 감안해 배상을 요구한 이용자 소송을 기각한 사례가 있다.
대법원은 이번 판결에서도 "정보통신서비스는 '개방성'을 특징으로 하는 인터넷을 통해 이루어지기 때문에 불가피한 취약점을 내포하고 있다"며 "완벽한 보안을 갖춘다는 것은 기술의 발전 속도나 사회 전체적인 거래비용 등을 고려할 때 기대하기 쉽지 않다"며 '해킹은 어쩔 수 없이 당한 사고'라는 기업의 입장을 대변했다.
법률 전문가는 현행 법률이 기업의 배상책임을 면제해 주는 '면피 도구'로 악용될 허점이 있다며 정보유출에 관한 법체계를 근본적으로 변화시켜야 한다고 강조한다.
김경환 법무법인 민후 대표변호사는 "현행 법은 세부 기술적인 내용까지 일일이 규정해 기업이 이를 따르기만 하면 책임을 면제받을 수 있도록 하고 있다"면서 "시시각각 변화하는 해킹과 방어기술을 법률에 일일이 반영하기도 쉽지 않을 뿐 아니라, 법 적용 특성상 '평균 이하'의 기술을 의무화 할 수 밖에 없기 때문에 훨씬 높은 수준의 보안 적용이 필요한 대기업 등에게도 초보적인 의무조항만 준수하면 배상책임을 면해주는 상황이 발생한다"고 꼬집었다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
