<약 75억 원의 과징금 부과처분의 적법성이 1심에서 모두 인정되어 그대로 확정된 사례>

1. 사건의 개요

원고는 스크린골프(골프 시뮬레이터), 골프용품 등 상품과 서비스를 제공하면서 대량의 회원 개인정보를 수집·보유하는 사업자로, 2023년경 해커가 원고의 관리자 계정을 탈취하여 내부 업무망에 침입한 뒤 공유폴더 방식의 파일서버에 저장돼 있던 200만 건이 넘는 개인정보를 탈취하여 다크웹에 공개하였습니다. 개인정보보호위원회는 원고가 개인정보보호법 제29조에 따른 안전조치의무를 다하지 않았다고 보아 같은 법 제64조의2 및 제66조 제2항에 따른 약 75억 원의 과징금과 공표명령(이하 ‘이 사건 처분’이라 합니다)을 부과하였습니다. 이에 원고가 그 취소를 구하는 소를 제기하였고, 법무법인(유) 린이 피고인 개인정보보호위원회를 대리하였습니다.


2. 소송의 진행 및 린 팀의 대응

원고는 안전조치의무 이행과 관련하여 ① 유출 이 발생한 파일서버는 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시, 이하 '고시'라 합니다) 제6조 제3항에 따른 접근통제 조치 대상(“개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등”)이 아니고, ② 원고는 업무망에 대하여 업계 통상의 안전성 확보조치를 이행하였으므로 ‘고시’ 제6조 제3항에서 정한 안전조치를 이행한 것으로 보아야 한다는 점을, 과징금 산정에 위법이 있다는 점과 관련하여서는 ③ 유출된 개인정보는 대부분 원고가 제공하는 온라인 서비스의 회원 정보이므로, 이러한 온라인 서비스에 수반되는 개인정보 처리와 관련이 없는 스크린골프 시뮬레이터 제품, 광고 등의 매출액은 과징금 산정의 기초가 되는 기준매출액(전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액)에서 제외되어야 하며, ④ 정보주체에게 실질적인 피해가 발생하지 아니한 점 등을 고려하면 과징금 산정에 반영되는 위반행위의 중대성 평가 및 부과기준율이 지나치게 과중하게 책정되었다고 주장하였습니다.

법무법인(유) 린은 안전조치의무 관련 고시의 법리적 해석부터 관련매출액의 산정 구조, 중대성 평가의 타당성에 이르는 복합적인 쟁점 전반을 치밀하게 분석하고 객관적으로 입증하여 다음과 같이 원고 주장을 반박하였습니다.
 

① 고시 제6조 제3항에 따른 안전조치의 대상으로 정한 “개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등”은 접근통제 조치의 대상 매체를 예시적으로 열거한 것으로 특정 매체나 형식에 한정되지 않으며, 전 직원이 공유하고 있는 파일서버에 200만 건이 넘는 개인정보가 저장∙공유되고 있었던 이상 위 고시 규정의 안전조치 대상에 포함된다.

② 원고는 파일서버에 개인정보가 저장∙공유되고 있다는 사실조차 인지하지 못한 채 이를 방치하였고, 원고가 이행하지 않은 안전조치들(파일서버 내 개인정보 관리∙점검, 업무망의 인터넷 및 서버 간 원격접속 차단, VPN 사용 시 추가인증∙권한 설정 등)은 과도한 기술이나 비용을 요구하지 않을 뿐만 아니라 개인정보보호위원회의 해설서, KISA의 안내서 등에서 이미 일반적으로 요구되어 온 사항이었다는 점에서 원고가 업무망에 관하여 취하였다는 조치만으로 원고 파일서버에 대한 실효성 있는 안전성 확보조치를 하였다고 평가할 수 없다.

③ 기준매출액을 산정할 때 위반행위와의 관련성은 위반행위로 인하여 직접적인 영향을 받는 경우는 물론 간접적으로 영향을 받는 경우도 인정되며, 개인정보 유출사고에서 이러한 관련성의 범위는 유출사고가 발생한 개인정보를 보유∙관리하고 있는 서비스의 범위를 기준으로 판단하여야 한다(대법원 2023. 10. 12. 선고 2022두68923 판결 참조). 스크린골프 시뮬레이터 제품 판매 매출액, 광고 매출액 등은 원고 온라인 서비스로 인하여 직접 발생하는 매출은 아니나, 원고가 온라인 서비스 회원들의 개인정보를 처리하는 것이 해당 상품 또는 서비스의 판매에 영향을 미치므로 위반행위와 관련이 없다고 볼 수 없다.

④ 원고는 원고 파일서버에 개인정보가 저장되어 있다는 사실조차 제대로 인지하지 못한 채 수 년간 파일서버에 대한 기본적인 안전조치도 하지 않았으며, 유출된 개인정보에 약 6,000여명의 주민등록번호가 포함되어 있었고, 200만 건이 넘는 개인정보가 다크웹에 공개되어 불특정 다수에 의한 2차 피해의 위험이 현존한다는 점 등을 고려하면, 구체적인 피해사례가 확인되지 않았다 하더라도 위반행위의 중대성을 ‘매우 중대한 위반행위’로 판단한 개인정보보호위원회의 판단은 적법하며, 부과기준율 역시 ‘매우 중대한 위반행위’에 대하여 부과할 수 있는 범위 내에서 재량에 따라 부과된 것으로 위법하다 할 수 없다.

3. 이 사건의 최대 쟁점 : 스크린골프 시뮬레이터 제품 매출액의 기준매출액 포함 여부

이 사건에서 가장 치열하게 다투어진 쟁점은 스크린골프 시뮬레이터 제품의 매출액이 기준매출액에 포함되는지 여부였습니다. 시뮬레이터 제품 매출액은 기준매출액(직전 3개년 사업연도 연평균 약 3,834억 원)의 40% 이상을 차지할 뿐만 아니라, 원고가 이 사건에서 개인정보보호위원회가 위반행위와 관련이 없음에도 기준매출액에서 제외하지 않았다고 주장하는 매출 항목의 매출 총액의 약 90%에 해당하는 규모로, 그 포함 여부에 따라 원고가 부담하여야 하는 과징금의 규모가 엄청나게 달라질 수밖에 없었기 때문입니다.

원고는 ▲시뮬레이터는 개인정보의 주체인 온라인 서비스 회원(개인 이용자)이 아니라 스크린골프장을 운영하려는 사업자에게 판매되는 것이어서 그 판매 과정에서 회원 개인정보의 처리가 수반되지 않는 점, ▲ 온라인 서비스 회원이 아니더라도 게스트 상태로 시뮬레이터를 이용할 수 있어 회원 가입과 시뮬레이터 판매 사이의 관련성을 인정하기 어려운 점, ▲시뮬레이터의 '이용'에서 발생하는 매출과 기기 '판매'에서 발생하는 매출은 서로 구분되어 관리되는 점 등을 논거로, 시뮬레이터 제품 매출액은 유출된 개인정보 처리와 무관한 상품의 매출로서 기준매출액에서 제외되어야 하고, 이와 달리 보는 것은 영리를 목적으로 하는 기업의 모든 활동을 개인정보와 관련된 것으로 평가하는 부당한 결과에 이른다고 주장하였습니다.

이에 대하여 법무법인(유) 린은 위반행위와의 관련성 범위에 관한 대법원 판결의 법리를 토대로 시뮬레이터 제품의 서비스 방식, 원고의 사업구조와 사업보고서 등 객관적 자료를 면밀히 분석하여 대응 논리를 전개하였습니다. 우선, 마일리지 적립, 로그인 연동 라운드 기록·스윙 정보 제공 등 원고 온라인 서비스 회원에게 제공되는 혜택과 맞춤형 서비스가 이용자의 회원 가입 및 시뮬레이터 이용을 유인하고, 이러한 이용률의 증가는 원고 시뮬레이터가 설치된 사업장의 영업성과 개선으로 이어지므로, 원고가 보유∙관리하는 회원 개인정보는 해당 개인정보가 시뮬레이터 제품 판매에 직접 수반되는지 여부와 무관하게 시뮬레이터 판매 전반을 뒷받침하는 핵심적인 영업 수단에 해당하기 때문에 시뮬레이터 제품의 매출액은 위반행위와 관련성이 인정된다는 점을 밝히고, 이러한 주장을 뒷받침하기 위하여 원고 스스로 사업보고서에서 '시뮬레이터의 경쟁력은 회원들의 온라인서비스의 이용과 다양한 UGC 축적에 기반한다'고 기재하면서 이용자의 브랜드 선호도가 스크린골프장의 이용률과 매출액에 큰 영향을 미칠 수 있다고 밝히고 있는 점, 사업보고서상 시뮬레이터 판매 매출과 온라인 서비스 매출을 구분하여 관리하고 있지 않는 점, 유출된 개인정보의 90% 이상은 스크린골프장에서 가입이 가능한 준회원 정보였는데 이러한 준회원 역시 원고 시뮬레이터 제품을 사용하여 마일리지 적립과 사용이 가능하였던 점, 원고의 개인정보 흐름도 상에서도 시뮬레이터 제품이 회원 개인정보를 수집하기 위한 핵심 장치로 사용되고 있다는 점 등을 증거자료로 제시하였습니다.


4. 법원의 결론

서울행정법원은 위 각 쟁점에 관한 피고의 주장을 전부 받아들여 개인정보보호위원회의 처분이 적법하다고 판단하고 원고의 청구를 전부 기각하였습니다. 이후 원고는 위 판결에 항소하였으나 항소이유서를 제출하지 않고 항소를 바로 취하하여 위 판결은 그대로 확정되었습니다.


5. 시사점

이 사건은 개인에 대한 형벌 중심의 제재를 기업에 대한 경제적 제재(과징금) 중심으로 전환한 현행 개인정보보호법 체계에서 새로운 과징금 산정 기준(‘위반행위와 관련한 매출액의 3% 이하’ → ‘전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액의 3% 이하’)에 따라 의결 당시 국내 기업에 대하여 최대 규모의 과징금이 내려진 처분에 대한 적법성을 다투었던 사안으로, 개인정보처리자의 안전조치의무의 범위와 그 내용, 기준금액 산정을 위한 ‘기준매출액’의 범위가 치열하게 다투어졌습니다. 법무법인(유) 린은 개인정보 보호법제와 정보보안 기술, 그리고 개인정보를 기반으로 한 사업구조에 대한 심도 있는 분석을 바탕으로 치밀한 소송 전략을 수립하여 승소 판결을 이끌어냈습니다.

이 사건 판결은, 파일서버∙공유서버 등 기존에 사업자들이 엄격하게 관리하고 있는 개인정보 관리 서버 또는 개인정보 관리시스템 외부에서 처리되는 개인정보에 대하여도 고시 제6조 제3항에 따른 안전조치의무가 이행되어야 한다는 점과, 개인정보가 영업 전반의 핵심 수단으로 기능하는 사업구조에서는 시뮬레이터 제품 매출액과 같이 정보주체가 아닌 사업자를 상대로 한 제품 판매 또는 서비스 매출액까지 기준매출액에 포함될 수 있다는 점을 확인함으로써, 향후 유사 사건의 처분과 소송에 중요한 선례가 될 것으로 보입니다.