개인정보 보호조치의무 위반과 해킹 사이의 인과관계 = The Causation Between The Violation of Personal Data Protection and Hacking

다국어 초록 (Multilingual Abstract)

The purpose of this paper is to apply the legal causation theory to the field of cyber security, especially to the case of judging the legal responsibility of a administrator who could not prevent hacking. This paper examines how the causation between the violation of personal data protection and hacking has become an issue through these three cases; Cyworld hacking, Interpark hacking, Bithumb hacking. Then this paper considers about the role of causation in determining whether security-neglected administrator bear legal responsibilities, and proposes ways to amend our legal system.
Cyworld and Interpark both encountered an APT (Advanced Persistent Threat) attack; the remote access privilege of the in-house PC was stolen. The hacker was able to invade the DB server because there was no idle timeout setting in the terminal from the PC to the server and the terminal remained connected. If the hacking could be avoided when the idle timeout was set, it could be judged that there was a causation. In Cyworld case, causation was denied after being investigated in the civil lawsuit. On the other hand, in Interpark case, this issue was discarded by a court interpretation; legal responsibility could be imposed regardless of causation. However, this interpretation is not proper because it may violate the principle of self-responsibility.
In Bithumb hacking case, there were a mixture of accidents in which Bithumb's negligence was revealed by a penalty that was imposed by the KCC, and other accidents whose cause of the hacking was unknown. In these cases, the causation plays a role in setting the scope of the burden of responsibility by classifying which incident the vulnerability is attributable to and which vulnerability is not, respectively. If the causation is not requested, there is room for responsibility for extraordinary matters, and it creates an incentive for the manager to conceal the damage.
Therefore, it is not desirable to delete the causation in the legal system. It is necessary to establish a basis for enabling causation to be easily proved, or switch the burden of proof.

국문 초록 (Abstract)

인과관계에 관한 법이론을 정보보호(cyber security) 분야, 특히 해킹을 막지 못한 관리자의 책임을 추궁하는 사례에 적용하는 것이 본고의 목적이다. 우리 법상 개인정보 보호조치의무를 위반(이하 ‘미조치’)한 행위 자체는 과태료 부과 대상이고, 여기에 더해 실제 개인정보 유출(해킹)이라는 결과까지 발생하면 과징금 및 손해배상이라는 실체법상 책임까지 부담해야 하는 구조이다. 여기서 ‘미조치’라는 원인과 ‘해킹’이라는 결과 사이에 인과관계가 단절된다면, 즉 당해 미조치로 인해 생긴 취약점이 아니라 다른 제3의 취약점을 해커가 뚫고 들어왔다면, 그러한 결과에 대해서까지 관리자가 책임을 부담해야 하는지 여부가 쟁점이 된다. 본고는 싸이월드 해킹, 인터파크 해킹, 빗썸 해킹, 이상 3개 사례를 통해 이 쟁점에 관하여 검토한다.
싸이월드와 인터파크는 모두 APT(Advanced Persistent Threat) 공격을 당해 사내 PC의 원격제어권한이 탈취된 것으로 시작하여, 이 PC와 DB 서버 사이에 자동 로그아웃이 되지 않고 접속이 유지된 터미널이 남아있었던 것을 기화로 해커가 DB 서버에 침입할 수 있었다. 자동 로그아웃을 설정했을 때 해킹이라는 결과를 회피할 수 있었다고 평가되면 인과관계가 인정될 수 있는 사안이었는데, 싸이월드 사건에서는 이 부분 사실관계가 민사소송에서 심리된 끝에 인과관계가 부정된 반면, 인터파크 사건에서는 인과관계가 공법적･사법적 책임 성립 요건이 아니라는 취지의 행정법원･민사법원 각 하급심의 해석이 내려지면서 이 문제를 회피했다. 그러나 인터파크 판결의 해석은 법치주의의 대원칙인 자기책임의 원리에 위반될 소지가 있으므로 재고되어야 한다. 참고로 2021. 1. 6. 주무부처가 입법예고한 개인정보 보호법 개정안은 과징금 부과 시 인과관계를 고려하도록 명문화하고 있다.
빗썸 해킹 사건의 경우 방통위의 과징금 처분이 내려짐으로써 빗썸의 과실이 드러난 사고와, 해킹 원인이 밝혀지지 않은 다른 사고들이 혼재되어 있었다. 이러한 사안에서 인과관계 요건은, 관리자의 귀책이 입증된 취약점과 그렇지 않은 취약점이 각각 어느 사고에 대응되는지 본건과 별건을 분류해줌으로써 책임부담의 범위를 설정해주는 역할을 한다. 만약 인과관계를 요구하지 않을 경우 엉뚱하게 별건에 대해서까지 책임을 부담시킬 여지가 있고, 관리자로 하여금 피해 내역을 은폐할 유인을 키울 우려가 있다.
따라서 제도적으로는 인과관계 요건을 삭제하는 것보다, 인과관계를 요구하되 그 입증이 원활해지도록 하는 기반을 조성하거나, 인과관계 입증책임을 전환하는 정도로 대응하는 것이 더 바람직하다.

참고문헌 (Reference)

• 1 이건호, "형법 제17조의 위험발생의 의미와 상당인과관계설" 한국형사법학회 (17) : 19-42, 2002
• 2 하태영, "형법 제17조 인과관계와 객관적 귀속 - 대법원 판례분석 -" 법학연구소 (58) : 287-372, 2013
• 3 법률신문, "해킹으로 가상화폐 도난… 법원 거래소, 배상책임 없어"
• 4 전승재, "해킹과 인과관계 없는 취약점도 과징금 부과 대상인가" 법률신문
• 5 법률신문, "해커에 가상화폐 4억 도난…법원 거래소 책임 없어"
• 6 전승재, "해커 출신 변호사가 해부하는 해킹 판결" 삼일인포마인 2020
• 7 박희호, "책임법에 있어서 인과관계의 구체적 척도에 관한 연구 - 대법원 판례에서 사용되는 척도를 중심으로 -" 법학연구소 (56) : 289-324, 2012
• 8 곽윤직, "채권총론" 박영사 2004
• 9 한국아이티법연구원, "지능정보사회에 대비한 개인정보보호 안전조치 합리화방안" 2019
• 10 김대휘, "주석 형법 총칙 1" 한국사법행정학회 2020
• 11 김용담, "주석 민법 채권각칙 6" 한국사법행정학회 2016
• 12 전승재, "인터파크 해킹, 대법원 심리불속행 판결에 유감" 보안뉴스
• 13 김대휘, "인과관계론" 법률신문
• 14 김현철, "신뢰의 원칙과 그 적용한계에 관한 고찰" 서울시립대학교 법학연구소 28 (28): 245-282, 2020
• 15 송승현, "과실범에 있어 과실판단과 인과관계판단" 한국형사법무정책연구원 25 (25): 1-30, 2014
• 16 이동진, "개정 정보통신망법 제32조의2의 법정손해배상: 해석론과 입법론" 법학연구소 55 (55): 365-420, 2014
• 17 전승재, "개인정보의 기술적⋅관리적 보호조치에 대한 공적집행과 사적집행" 법학연구소 11 (11): 269-296, 2018
• 18 전승재, "개인정보 유출로 인한 손해배상 제도에 관한 고찰- 신용카드 개인정보 유출 소송을 통해 드러난 제도적 한계를 중심으로" 법학연구소 11 (11): 28-51, 2018
• 19 김경환, "개인정보 손해배상제도의 문제점과 개선방향" 보안뉴스
• 20 개인정보 보호위원회, "개인정보 보호법 일부개정법률(안) 입법예고"
• 21 KBS, "가상화폐 거래소 해킹 손해배상 책임 첫 인정"