서울중앙지방법원 | 2019-08-29 | 2016가합577585(본소),2017가합523745(반소)
확보한 수집 내용입니다. 전문 여부와 앞뒤 누락, 문단·표·공백의 원형 보존은 확인되지 않았습니다.
공식 원문 미확인
- 법리: 민법 제756조에 규정된 '사무집행에 관하여'는 피용자의 불법행위가 외형상 객관적으로 사용자의 사업활동 내지 사무집행 행위 또는 그와 관련된 것으로 보일 때 주관적 사정을 고려함이 없이 이를 사무집행에 관하여 한 행위로 봄. 외형상 객관적으로 사용자의 사무집행에 관련된 것인지는 피용자의 본래 직무와 불법행위의 관련 정도 및 사용자에게 손해발생에 대한 위험 창출과 방지조치 결여의 책임이 어느 정도 있는지를 고려하여 판단함. 사용자나 그에 갈음하여 사무를 감독하는 자는 피용자의 선임과 사무 감독에 상당한 주의를 하였거나 상당한 주의를 하여도 손해가 있을 경우에는 손해배상의 책임이 없으나, 이러한 사정은 사용자 등이 주장 및 입증해야 함.
- 법원의 판단:
- D의 정보유출 행위는 피고와 원고 사이의 계약에 따라 원고 사무실에서 FDS 개발업무를 진행하는 과정에서 발생하였고, 유출된 정보는 FDS 개발에 필요하여 제공된 자료였으므로, 외형상 객관적으로 회사의 사무집행 행위와 관련된 것으로 인정됨.
- 회사는 D를 FDS 개발작업 현장책임자로 지정하고 보안관리책임을 일임하였으나, D가 계약직으로 채용되어 단 1일의 신입직원 교육만 마쳤음에도 충분한 검증 없이 지정한 점, 현장 점검 등 카드고객정보 관리에 대한 확인·감독 조치를 소홀히 한 점, 감사팀의 지적에도 개선 조치를 취하지 않은 점, D에 대한 보안교육을 제대로 실시하지 않은 점 등을 종합할 때 선임·
- D는 다른 카드고객정보 유출 범행으로 기소되어 2014. 1. 8. 창원지방법원에 재판이 계속 중이던 2014. 2. 25. F의 사무실에서 카드고객정보가 담긴 하드디스크가 압수됨에 따라 2010. 4.경 원고의 카드고객정보 유출 범행을 인정함.
- D는 원고를 포함한 G, H의 고객정보 유출 등으로 정보통신망이용촉진등정보보호등에관한법률위반, 신용정보의이용및보호에관한법률위반 등 혐의로 기소되어 징역 3년이 확정됨.
- D의 고객정보 유출 범행으로 개인정보가 유출된 카드회사 고객들은 원고, 피고, G, H을 상대로 손해배상 소송을 제기하였고, 법원은 원고를 포함한 카드회사들의 과실 및 피고의 사용자책임을 일부 인정하는 판결을 선고함.
- 금융위원회는 2014. 12. 24. 피고에게 업무목적 외 개인신용정보 누설, 임직원 보안교육 소홀, 전산통제 부적정을 이유로 업무 일부정지 처분을 하였고, 피고의 처분 취소 소송은 기각되어 확정됨.
핵심 쟁점, 법리 및 법원의 판단
1. 피고의 사용자책임 성립 여부
- 법리: 민법 제756조에 규정된 '사무집행에 관하여'는 피용자의 불법행위가 외형상 객관적으로 사용자의 사업활동 내지 사무집행 행위 또는 그와 관련된 것으로 보일 때 주관적 사정을 고려함이 없이 이를 사무집행에 관하여 한 행위로 봄. 외형상 객관적으로 사용자의 사무집행에 관련된 것인지는 피용자의 본래 직무와 불법행위의 관련 정도 및 사용자에게 손해발생에 대한 위험 창출과 방지조치 결여의 책임이 어느 정도 있는지를 고려하여 판단함. 사용자나 그에 갈음하여 사무를 감독하는 자는 피용자의 선임과 사무 감독에 상당한 주의를 하였거나 상당한 주의를 하여도 손해가 있을 경우에는 손해배상의 책임이 없으나, 이러한 사정은 사용자 등이 주장 및 입증해야 함.
- 법원의 판단:
- D의 정보유출 행위는 피고와 원고 사이의 계약에 따라 원고 사무실에서 FDS 개발업무를 진행하는 과정에서 발생하였고, 유출된 정보는 FDS 개발에 필요하여 제공된 자료였으므로, 외형상 객관적으로 피고의 사무집행 행위와 관련된 것으로 인정됨.
- 피고는 D를 FDS 개발작업 현장책임자로 지정하고 보안관리책임을 일임하였으나, D가 계약직으로 채용되어 단 1일의 신입직원 교육만 마쳤음에도 충분한 검증 없이 지정한 점, 현장 점검 등 카드고객정보 관리에 대한 확인·감독 조치를 소홀히 한 점, 감사팀의 지적에도 개선 조치를 취하지 않은 점, D에 대한 보안교육을 제대로 실시하지 않은 점 등을 종합할 때 선임·감독상 상당한 주의를 다했다고 인정하기 어려움.
- 이 사건 계약은 피고가 전문적인 기술을 이용하여 FDS 관련 업무를 완성하는 도급계약의 성격을 가지며, 원고가 D 등 피고 직원들에 대한 구체적 지휘·감독권을 행사했다고 볼 수 없음.
- 원고가 데이터 마이그레이션 리허설 업무에 변환되지 않은 개인식별정보가 필요하지 않다는 사실을 알지 못했더라도, 피고가 이를 고지하지 않은 점 등을 고려할 때 원고의 과실이 피고의 사용자책임을 면하게 할 정도의 중대한 과실이라고 평가하기 어려움.
- 따라서 피고는 D의 사용자로서 원고에게 민법 제756조에 따른 사용자책임을 부담함.
관련 판례 및 법령
- 대법원 2011. 11. 24. 선고 2011다41529 판결
- 대법원 1998. 5. 15. 선고 97다58538 판결
- 대법원 2010. 2. 25. 선고 2009다87621 판결
- 민법 제756조 (사용자의 배상책임)
-
① 타인을 사용하여 어느 사무에 종사하게 한 자는 피용자가 그 사무집행에 관하여 제삼자에게 가한 손해를 배상할 책임이 있다. 그러나 사용자가 피용자의 선임 및 그 사무감독에 상당한 주의를 한 때 또는 상당한 주의를 하여도 손해가 있을 경우에는 그러하지 아니하다.
-
② 사용자에 갈음하여 그 사무를 감독하는 자도 전항의 책임이 있다.
2. 손해배상책임의 범위 및 상당인과관계
- 법리: 불법행위로 인한 손해배상청구소송에서 손해가 발생한 사실은 인정되나 구체적인 손해의 액수를 증명하는 것이 사안의 성질상 매우 어려운 경우에 법원은 증거조사의 결과와 변론 전체의 취지에 의하여 밝혀진 당사자들 사이의 관계, 불법행위와 그로 인한 재산적 손해가 발생하게 된 경위, 손해의 성격, 손해가 발생한 이후의 여러 정황 등 관련된 모든 간접사실을 종합하여 적당하다고 인정되는 금액을 손해배상 액수로 정할 수 있음.
- 법원의 판단:
- 유출사고 수습비용: 원고가 고객들에게 정보유출 사실을 통지하기 위해 지출한 안내문 제작비, 배송비, 삽지 용역비, 사과안내문 제작비 및 우편비용 등 총 1,801,105,309원은 구 개인정보 보호법 제34조 제1항에 따른 의무 이행을 위한 비용으로서 이 사건 정보유출 행위와 상당인과관계가 있는 손해로 인정됨.
- 카드재발급비용: 이 사건 정보유출로 인해 고객들이 추가 피해를 예방하기 위해 신용카드 재발급을 요청한 것으로 보이며, 실제로 재발급 요청 건수가 현저히 증가한 점 등을 고려할 때, 카드재발급으로 인한 손해는 이 사건 정보유출 행위와 상당인과관계가 있는 손해로 인정됨. 2014년 1월부터 4월까지의 재발급 증가 건수(1,428,067건)를 기준으로 산정한 6,706,202,632원이 손해액으로 인정됨.
- 인력추가운용에 따른 비용:
- 추가인력 고용 비용 및 콜센터 좌석 추가 임차료: 이 사건 정보유출로 인한 고객 민원 대응을 위해 지출된 추가인력 근무수당(165,289,000원) 및 콜센터 좌석 추가 임차료(14,960,000원) 합계 180,249,000원은 손해로 인정됨.
- 안식휴가지원금 및 중·석식 지원비: 원고가 직원들을 위로하기 위해 시혜적으로 지출한 비용으로 보이며, 이 사건 정보유출 행위와 상당인과관계가 있거나 피고가 이를 알았거나 알 수 있었다고 인정하기 부족하여 손해로 인정되지 않음.
- 기존 임직원 연장근로수당 등 비용: 원고가 제출한 증거만으로는 이 사건 정보유출 행위와 상당인과관계가 있거나 피고가 이러한 비용 지출을 알았거나 알 수 있었다고 단정하기 부족하여 손해로 인정되지 않음.
- 유출피해고객 보호비용: 결제알림 SMS 서비스 무료 제공, 서비스 제공 종료 공지 비용, 캐시백 서비스 공지 비용 등은 2차 피해 발생 가능성에 대비한 조치로 보이며, 의무적으로 취해야 할 조치로 보이지 않는 점, 유출 정보가 제3자에게 유출되지 않은 점 등을 고려할 때 이 사건 정보유출 행위와 상당인과관계가 있는 손해로 인정되지 않음.
- 영업정지 처분에 따른 손해: 금융위원회의 영업정지 처분은 원고의 관련 법령상 의무 위반에 따라 내려진 것이며, 이 사건 정보유출 행위 그 자체에 대하여 내려진 것이 아니므로, 이 사건 정보유출 행위와 영업정지 처분으로 인한 손해 사이에 상당인과관계가 있다고 단정하기 어려움.
- 카드회원 이탈로 인한 손실: 원고가 제출한 증거만으로는 탈퇴 회원들이 이 사건 정보유출 행위로 인해 고객정보가 유출된 회원인지 여부를 알 수 없고, 원고의 영업수익에 큰 영향이 있었다고 보이지 않는 점 등을 고려할 때, 카드회원 이탈로 인한 손실은 이 사건 정보유출 행위로 인한 것이라고 단정하기 어려움.
- 비재산적 손해: 원고가 제출한 증거만으로는 재산적 손해의 배상만으로 회복되지 않는 무형의 손해를 입었음을 인정하기 부족하며, 재산상 손해액의 확정이 불가능하다고 볼 만한 사정도 없으므로 비재산적 손해는 인정되지 않음.
- 총 손해액: 유출사고 수습비용 1,801,105,309원 + 카드재발급비용 6,706,202,632원 + 추가 인력 고용 비용 및 추가 임차료 180,249,000원 = 8,687,556,941원으로 인정됨.
관련 판례 및 법령
- 대법원 2017. 9. 26. 선고 2014다27425 판결
- 구 개인정보 보호법(2013. 8. 6. 법률 제11990호로 개정되기 전의 것) 제34조 제1항, 제75조 제2항 제8호
- 구 개인정보보호법 시행령 제40조 제1항
- 민사소송법 제202조의2
- 민법 제751조 제1항
- 대법원 2008. 10. 9. 선고 2006다53146 판결
- 대법원 2010. 12. 9. 선고 2007다42907 판결
3. 책임제한 (과실상계)
- 법리: 불법행위로 인한 손해배상사건에서 피해자에게 손해의 발생이나 확대에 관하여 과실이