서울중앙지방법원-2010고단5343

범죄사실 피고인 주식회사 C는 소프트웨어 개발 공급 등을 목적으로 설립된 법인이고, 피고인 A는 위 주식회사 C의 부사장 겸 인터넷본부장으로서 스마트폰 용 증권시세 검색 어플리케이션(Application: 이하 '앱'이라고 함)인 'G'의 개발 및 배포 책임자이며, 피고인 주식회사 D은 소프트웨어 개발 등을 목적으로 설립된 법인이고, 피고인 B은 위 주식회사 D의 대표이사로서 위 A로부터 위 'G' 앱 개발을 수주하여 납품한 사람이다. 1. 피고인 A, 피고인 B의 공동범행 피고인 A는 2010. 1.경 위 B에게 스마트 폰에서 증권시세를 검색하는 한편 사용자가 자신의 관심종목을 등록하여 해당 종목의 시세를 보다 쉽게 파악할 수 있게 하는 앱의 개발을 의뢰하고, 피고인 B은 이를 수락하였다. 그런데 피고인들은 사용자들이 위 앱을 설치할 때 사용자의 스마트 폰으로부터 개인정보인 'IMEI(국제모바일 단말기 인증번호)와 USIM 일련번호의 조합'정보를 읽어 오거나, 휴대폰 종류 내지는 운영체제에 따라 USIM 일련번호를 가져오지 못하는 경우에는 'IMEI와 사용자 개인 휴대전화번호의 조합' 정보를 읽어 와 피고인들이 운영하는 서버에 저장한 다음, 사용자가 다시 접속하는 경우 위 서버에 저장된 사용자의 개인정보와 비교하여 사용자의 동일성을 식별하고 별도 로그인 없이 바로 사용자가 등록해 놓은 관심종목을 보여주도록 앱을 설계하기로 하였다. 그리하여 피고인 B은 2010. 3.경 위 'G' 프로그램을 개발하여 위 A에게 제공하였고, 피고인 A는 2010. 3. 22.경부터 2010. 8. 30.경까지 서울 마포구 H 위 주식회사 C 사무실에서 스마트폰 앱 배포 사이트를 통하여 안드로이드 운영체제를 이용하는 스마트폰 사용자 83,416명에게 위 'G' 앱을 배포하고, 그 기간 동안 사용자의 스마트폰으로부터 개인정보인 IMEI와 USIM 일련번호 82,413건, IMEI와 개인용 휴대전화번호 1,003건을 수집하였다. 그런데 피고인들은 이와 같이 사용자의 개인정보를 수집하면서 그 사실을 사용자들에게 고지하거나 사용자들로부터 동의를 받은 사실이 전혀 없다. 이로써 피고인들은 정보통신서비스 제공자로서 이용자의 개인정보를 이용하려고 수집하는 경우에는 '개인정보의 수집·이용목적, 수집하는 개인정보의 항목, 개인정보의 보유·이용기간'을 이용자에게 알리고 동의를 받아야 하고 이에 위반하여 이용자의 동의를 받지 아니하고 개인정보를 수집하여서는 아니 됨에도 불구하고 위와 같이 공모하여 정보통신이용자의 동의를 받지 않고 개인 정보를 수집하였다. 2. 피고인 주식회사 C 피고인은 위와 같은 일시, 장소에서 피고인의 사용인인 위 A가 피고인의 업무에 관하여 위와 같이 정보통신이용자의 동의를 받지 아니하고 개인 정보를 수집하였다. 3. 피고인 주식회사 D 피고인은 위와 같은 일시, 장소에서 피고인의 대표이사인 위 B이 피고인의 업무에 관하여 위와 같이 정보통신이용자의 동의를 받지 아니하고 개인 정보를 수집하였다. 증거의 요지 1. 피고인들의 각 법정진술 1. 증인 I, J, K의 각 법정진술 1. 피고인 A, B에 대한 각 검찰 피의자신문조서 1. L, B, M, A, I, N, O, K에 대한 각 검찰 진술조서 1. P의 진술서 1. 네이버 블로그 G 소개 게시글, 네이버 G 이미지 검색, G DAUM 검색결과 등, 등기사항전부증명서(말소사항포함), 수사보고(G 프로그램 설치과정 시연), C 사이트의 G 안내화면 캡쳐, 안드로이드폰에서 G설치과정 화면 캡쳐, 수사보고(G 프로그램에 대한 KISA 코드분석팀 분석내용 확보), 분석보고서, 수사보고(IMEI, USIM시리얼 번호 등을 이용한 개인정보조회 가능여부에 대한 KT정보보호 담당과 SKT고객중심 경영팀 담당자 확인), 수사보고(국내이동통신사의 신규신청서 서식 및 개인정보 취급방침, 이용약관 첨부보고), 수사보고(IMEI 정보를 이용한 휴대폰 가입자 확인가능), 통신자료제공요청(가입자조회) 공문 1부, 공문에 대한 회신(통신자료통보), 수사보고(USIM 시리얼 넘버를 이용한 휴대폰가입자 확인가능), 통신자료제공요청(가입자조회) 공문 1부, 공문에 대한 회신(통신자료 통보) 피고인들의 주장에 대한 판단 1. 피고인들의 주장 피고인들은, 휴대전화번호는 개인정보임을 인정하나, IMEI나 USIM 일련번호는 특정개인에게 부여된 부호가 아니라 특정기기, 특정카드에게 부여된 번호이기 때문에 개인정보가 아니고, 또한 다른 정보와 쉽게 결합하여 이용자를 알아보는 것은 불가능하므로 개인정보라 할 수 없으며, 가사, 이들이 개인정보라 하더라도, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법이라 한다) 제22조 제2항 제1호는 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우에는 이용자의 동의를 얻지 않아도 된다고 규정하고 있고, 방송통신위원회의 개인정보보호지침 제5조 제1항은 서비스의 이행을 위하여 필요한 경우에는 개인정보를 수집하는 것에 이용자의 동의를 얻을 필요가 없는바, 피고인들은 IMEI, USIM 일련번호는 서비스이용계약의 이행을 위하여 필요하여 수집한 것이므로 그 수집에 관하여 이용자의 동의를 얻을 필요가 없고, 피고인들이 획득한 정보는 정보통신망법 제27조의2 제2항 제6호에서 정한 인터넷 접속정보파일에 불과하고, 인터넷 접속정보파일은 같은 항 제1호의 개인정보와는 달리 그 취급방법에 대하여 공개를 하면 족하고 별도의 동의를 얻을 필요가 없으며, 피고인들은 스마트폰에 G 앱을 설치하는 경우 안드로이드 운영 체계에서 제공하는 안내문에 따라 이용자로부터 동의를 받았으므로 죄가 되지 아니한다고 주장한다. 2. 판단 가. 개인정보가 아니라는 주장에 대한 판단 1) 정보통신망법 제2조 제1항 제6호는 '개인정보'란 생존하는 개인에 관한 정보로서 성명·주민등록번호 등에 의하여 당해 개인을 알아볼 수 있는 부호·문자·음성·음향 및 영상 등의 정보(해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아볼 수 있는 경우에는 그 정보를 포함한다)'라고 규정하여, 해당정보만으로 특정개인을 알아볼 수 있는 정보와 다른 정보와 쉽게 결합하여 특정 개인을 알아볼 수 있는 경우를 포함하는 것으로 정의하고, 이때 당해 정보와 결합 가능한 다른 정보가 모두 동일인에게 보유되고 있는 것을 전제로 하지는 아니하고 있다. 한편 여기서 '쉽게 결합하여 알아 볼 수 있다'는 것은 쉽게 다른 정보를 구한다는 의미이기 보다는 구하기 쉬운지 어려운지와는 상관없이 해당정보와 다른 정보가 특별한 어려움 없이 쉽게 결합하여 특정 개인을 알아볼 수 있게 되는 것을 말한다 할 것이다. 오늘날 정보화의 진전에 따라 종전에 쉽게 결합할 수 없었던 정보들이 쉽게 결합되어 개인을 식별할 수 있는 자료로 작용되기에 이르렀고, 따라서 기계적인 정보라 하더라도 특정 개인에게 부여되었음이 객관적으로 명백하고, 이러한 정보를 통하여 개인이 식별될 가능성이 크다면 이를 개인정보로 봄이 상당하다. 2) 살피건대, 앞서 든 각 증거를 종합하면, IMEI는 각 휴대폰에 부여된 기기 고유번호로서, 그 사용이 가능한 IMEI의 목록은 통신사에서 관리하고, IMEI 값 자체만으로는 사용자정보를 확인하는 것은 불가능하나, 권한 있는 자가 정보를 조합하여 사용자 정보를 확인할 수는 있는 점, USIM 일련번호는 사용자 개인식별 정보 등이 들어 있는 USIM 카드의 일련번호로서, 이 번호만으로는 사용자정보를 확인하는 것은 불가능하나, 권한 있는 자가 여러 가지 정보를 조합하여 개인정보를 확인하는 것은 가능한 점, 피고인들은 위 G 프로그램 사용자들의 불편을 덜고 접속의 편의를 위하여 동일성 인증을 하기 위한 ID대용으로 사용하기 위하여 위 G 이용자들의 스마트폰 IMEI와 USIM 일련번호 내지 개인 휴대전화번호를 수집하여 보관한 점, 피고인들은 당초에는 사용자의 IMEI만을 수집하다가 IMEI 하나만 취득하는 경우 사용자들의 휴대폰이 바뀌었을 때 전에 사용한 사람의 증권 관심종목이 표시되는 등의 문제가 발견되어 개인사용자를 분명하게 인식하게 하기 위하여 IMEI와 더불어 USIM 일련번호를 취득하되, USIM 일련번호가 있으나 읽을 수 없는 경우에는 USIM 일련번호 대신 개인 휴대전화번호를 취득한 점, 현재 통신사에서 휴대폰 개통시 작성하는 가입신청서에는 휴대폰 기기의 일련번호와 USIM 일련 번호 등이 함께 기재되고 해당 정보가 통신사 데이터베이스에 기록되어 관리되고 있는 점, IMEI나 USIM 일련번호를 아는 경우 통신사의 관리시스템 등을 통하여 가입자의 이름, 주민등록번호, 휴대폰번호, 주소 등의 구체적인 정보 확인이 가능한 점, 이 사건에서 IMEI나 USIM 일련번호와 관련된 개인에 관한 정보는 각 통신사별로 그 접근에 엄격한 통제를 가하고 있기는 하나, 제3자에 의하여 획득될 가능성이 없는 것으로 보이지는 아니한 점을 종합해 보면, IMEI나 USIM 일련번호는 모두 특정 개인의 소유로 귀속되기 전까지는 기기나 특정 카드에 부여된 고유번호로서 그 자체로는 당해 개인을 알아 볼 수 있는 정보라 보기는 어렵다하더라도, 위 각 번호정보를 가지는 휴대폰이 어느 개인의 소유로 귀속되는 순간부터 위 각 번호는 '기기나 특정카드에 부여된 고유번호'라는 의미 이외에 '특정 개인 누가 소유하는 휴대폰의 기기 번호 및 USIM카드의 일련번호'라는 의미를 함께 지니게 된다할 것이고, 이 각 IMEI나 USIM 일련번호는 휴대폰 가입신청서 등 가입자정보에 나타난 다른 정보와 어려움 없이 쉽게 결합됨으로서 개인을 특정할 수 있게 되는 이상 이들을 개인정보라 봄이 상당하다. 나. 동의가 필요치 않다는 주장에 대한 판단 1) 정보통신망법 제22조 제2항 제1호에 해당한다는 주장에 대한 판단 살피건대, 정보통신망법 제22조 제2항 제1호는 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우에는 이용자의 동의를 얻지 않아도 된다고 규정하고 있고, 방송통신위원회의 개인정보보호지침 제5조 제1항은 서비스의 이행을 위하여 필요한 경우에는 개인정보를 수집하는 것에 이용자의 동의를 얻지 않아도 된다고 규정하고 있는바, 이에 해당하기 위해서는 피고인들이 획득한 정보가 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보이고, 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우여야 하는바, 이 사건 IMEI나 USIM 일련번호, 개인 휴대전화번호가 G의 서비스를 이행하기 위하여 반드시 필요한 정보라고 보이지 아니할 뿐만 아니라, 피고인들이 취득한 정보가 사용자의 동의를 받는 것이 뚜렷하게 곤란한 경우에 해당한다고 보기도 어려우므로 피고인들의 위 주장은 받아들이지 아니한다. 2) 정보통신망법 제27조의2에 해당한다는 주장에 대한 판단 피고인들이 수집한 정보가 인터넷 접속정보파일인지에 대하여 살피건대, 피고인들이 수집한 IMEI나 USIM 일련번호, 개인 휴대전화번호는 인터넷접속정보파일이 아니라 앞서 본 바와 같이 개인정보에 해당할 뿐이므로 피고인들의 주장은 받아들이지 아니한다. 다. 동의가 있었는지에 대한 판단 살피건대, 정보통신서비스 제공자는 이용자의 개인정보를 이용하려고 수집하는 경우에는 개인정보의 수집·이용목적, 수집하는 개인정보의 항목, 개인정보의 보유·이용기간에 관한 모든 사항을 알리고 동의를 받아야 한다. 앞서 든 증거를 종합하면, G 프로그램상의 사용자 확인 요구내용은 안드로이드 2.1버젼에서는 '이 응용프로그램은 다음 항목에 액세스할 수 있습니다. 네트워크 통신 : 모든 인터넷기능을 사용할 수 있습니다, 전화통화 : 통화 휴대폰의 상태를 확인합니다'라고 기재되어 있고, 안드로이드 2.2버젼에서는 '이 응용프로그램은 다음 항목에 엑세스할 수 있습니다. 네트워크 통신 : 인터넷에 최대한 엑세스, 전화통화 : 휴대전화 상태 및 ID 읽기'라고 기재되어 있으며, 이에 대하여 사용자가 확인버튼을 누르거나 취소버튼을 누를 수 있도록 되어있는 사실이 인정되나, 위 인정사실에 의하면 위 안내문은 안드로이드 운영체계를 사용하여 해당 앱을 사용하게 되는 경우 인터넷에 접속하게 된다는 등의 사정에 대한 공지일 뿐 사용자의 휴대폰에서 어떤 정보를 취득한다는 것에 관한 것이 아니어서 정보통신망법 제22조 제1항에서 규정하는 정당한 동의획득 방법으로 보이지는 아니하므로, 위 공지내용에 확인버튼을 누른 행위를 개인정보 수집에 관한 동의라 볼 수는 없다. 법령의 적용 1. 범죄사실에 대한 해당법조 및 형의 선택 가. 피고인 A, B : 각 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제71조 제1호, 제22조 제1항, 형법 제30조(각 벌금형 선택) 나. 피고인 주식회사 C, D : 각 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제75조 제1항, 제71조 제1호, 제22조 제1항 1. 노역장 유치 피고인 A, B : 각 형법 제70조, 제69조 제2항 1. 가납명령 피고인들 : 형사소송법 제334조 제1항 양형이유 피고인들이 IMEI나 USIM 일련번호가 개인정보 인지에 대한 개념이 정립되지 아니한 상태에서 이 사건 범행을 하게 된 점, 피고인들이 이 사건 개인정보를 수집한 이유가 개인정보를 비정상적인 상황에서 사용하려는데 이유가 있는 것이 아니라 단지 G 이용자들의 이용의 편의를 위한 발상에서 시작되어 경위에 참작할 바가 있는 점, 피고인들이 뉘우치고 이 사건 수사 이후 IMEI나 USIM 일련번호 수집에 대하여 동의를 구하고, 수집한 정보도 암호화 하여 개인정보의 유출을 막으려는 노력을 하고 있는 점, 피고인들에게 동종의 범죄전력이 없는 점을 참작하되, 이 사건 프로그램의 실질적인 이용주체가 이익귀속의 정도를 고려하여 주문과 같이 판결한다.