개인정보의 가치 규명과 유출 해석 중요

개인정보 가치를 명확히 규명하고 정보 유출이 갖는 의미 해석해야

[보안뉴스= 김창화 단국대학교 교수] 최근 보험판매 회사에서 근무하는 A씨는 회사 홈페이지 사원 게시판에 보험 계약자들의 개인정보가 기록된 문서파일을 올렸다.

이에 검찰은 A씨가 개인정보 유출 방지를 위한 조치 없이 개인정보가 기록된 문서파일을 올렸다며 기소했다. 그러나 법원은 개인정보가 외부로 유출되지 않아 A씨를 처벌할 수 없다고 판결했다.

국내와 마찬가지로 대다수의 미국 법원 판례 역시 개인정보가 누군가에게 공개된 자체에 대해서는 책임을 묻지 않고 있다.

기업이나 특정할 수 있는 개인에 의해 개인정보가 유출된 사람들은 개인정보 유출로 인한 피해 가능성, 정신적 피해, 프라이버시 침해, 개인정보 유출로 인한 피해 감소에 필요한 시간과 비용 등의 문제로 소송을 제기한다. 그러나 개인정보 유출과 관련된 대다수의 판례들은 개인정보가 유출된 사람들이 해당 유출로 인해 실질적인 피해가 발생했을 때만 개인정보 유출 기업 혹은 유출자에 대해 책임을 인정하고 앞서 언급한 부분에 대해서는 책임을 지우지 않는다.

더욱 심각한 것은 원고가 직접 개인정보 유출로 피해 발생 여부를 입증해야 하지만 개인정보 유출이 많은 상황에서 이들의 인과관계를 파악하기는 쉽지 않다.

이외에도 개인정보가 유출된 사람들은 개인정보를 유출한 기업을 대상으로 개인정보와 관련된 계약 위반, 불법 행위, 수탁자로서의 책임을 이유로 소송을 제기하고 있지만 보상을 받기 힘들다. 개인과 회사 간의 관계는 집행 가능한 계약으로 보지 않고 있으며, 기업이 개인정보 유출 방지를 위해 합리적인 노력을 했다면 불법 행위로 간주하지 않기 때문이다. 또 둘 사이에 정보 위탁 관계가 성립한다고 보지 않기 때문이다.

▲ 김창화 단국대학교 법학과
IT법학 협동과정연구전담 교수

‘정보통신망 이용 촉진 및 정보보호 등에 관한 법률’에서도 손해배상과 법정 손해배상 제도를 인정하고 있으나, 손해가 발생하거나 정보통신 서비스 제공자 등의 고의 및 과실 등의 유책성을 요건으로 하고 있어 배상을 받기 어렵다.

앞서 언급한 사례와 같이 개인정보가 유출되더라도 그 자체만을 가지고 개인정보를 유출한 기업 및 사람에게 손해배상 등의 책임을 묻기란 상당히 어렵다. 그럼에도 불구하고 많은 이들이 집단소송을 통해 책임을 물으려고 함으로써 시간과 돈을 낭비할 수 있다. 이러한 현실은 개인정보를 유출 당한 개인에게는 안타깝지만, 법적 논리와 회사의 책임 범위를 감안할 때 불가항력적인 결과라고 할 수 있다.

따라서 향후 이러한 문제를 해결하기 위해서는 예방적·사후적 조치들을 보다 체계적으로 만들어야 되며, 개인정보가 갖는 가치를 명확히 규명해 정보 자체의 유출이 갖는 의미를 보다 정확히 해석하는 것이 필요하다.

[글_ 김 창 화 단국대학교 법학과 IT법학 협동과정 연구전담 교수]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)