서울중앙지방법원-2015고합336

범죄사실 1. 피고인 회사들의 지위 피고인 A 주식회사(이하 '피고인 A'이라 한다)는 은행법에 따른 은행업무 및 그 부수·겸영업무를 운영하는 법인이고, 피고인 주식회사 B(이하 '피고인 B'라 한다)와 피고인 C 주식회사(이하 '피고인 C'라 한다)는 신용카드, 선불카드, 직불카드의 발행, 판매 및 관리업무 등을 영위하는 법인으로서, 금융서비스를 이용하려는 고객의 성명, 주민등록번호, 외국인등록번호, 신용카드번호, 계좌번호, 연락처, 주소 등 개인정보를 취급하는 개인정보처리자이다. D은 2012. 3. 2.부터 2013. 12. 31.까지 피고인 A의 준법지원부 부장이자 개인정보보호책임자로 근무하였다. E은 2012. 5. 10.부터 2013. 7. 22.까지 피고인 B의 IT본부장이자 개인정보보호책임자로 근무하였다. F는 2012. 2. 16.부터 2014. 2. 19.까지 피고인 C의 정보전략부문장이자 정보보호최고책임자로 근무하였고, G은 2013. 1. 2.부터 2014. 2. 27.까지 피고인 C의 준법감시팀 팀장이자 개인정보보호책임자로 근무하였다. H는 금융기관들이 공동출자하여 설립한 신용정보회사인 I 주식회사(이하 'I'라 한다)의 직원으로서, 피고인 회사들에 파견되어 각 회사의 신용카드 부정사용 탐지시스템(Fraud Detection System, 이하 'FDS'이라 한다) 개발업무를 담당한 프로젝트 총괄 매니저였다. 2. 피고인 A 가. 용역계약 체결 피고인 A은 2012. 5. 16. I와 '신용카드 부정사용 예방시스템 모델링 개발' 용역계약을 체결하고, 2012. 5. 16.부터 2012. 12. 28.까지 서울 서대문구 J 10층에 있는 피고인 A 카드사업부 사무실에서, I 소속 외주직원인 H 등으로 하여금 FDS 용역업무를 수행하게 하였다. H는 시스템 개발자로서 FDS와 피고인 A 개인정보처리시스템 연계 등 전체 시스템 구동을 담당하였고, K, L, M, N는 모델러로서 사고예측모형(분석모델) 설계·개발을 담당하였다. 나. 안전성 확보조치의무 불이행 개인정보처리자는 업무상 필요에 따라 공유폴더를 설정하더라도 권한설정 등 조치를 통하여 업무상 꼭 필요한 자만 접근할 수 있도록 하여야 하고, 공유폴더에 개인정보 파일이 포함되지 않도록 정기적으로 점검하여 조치하여야 한다. 보안프로그램을 설치·운영하여야 하고, 인가되지 아니한 USB메모리 반출·입을 통제하여야 한다. 피고인 A 카드신용관리부 카드채권관리팀 X 차장, Y 과장, Z 대리는 I 모델러들이 업무용 컴퓨터 공유폴더에 고객 개인정보를 저장하여 사용하는 것을 묵인하였고, 시스템 개발자인 H가 모델러들이 모형 개발을 위해 사용하는 위 공유폴더에 접근할 수 있도록 방치하였다. H가 인가받지 아니한 USB메모리를 반입하는 것을 통제하지 아니하였다. I 직원들이 사용하는 업무용 컴퓨터에 보안프로그램이 제대로 설치되어 작동하고 있는지를 확인·점검하지 아니하였다. 다. 고객 개인정보 유출 1) 2012. 6. 18. 유출 H는 2012. 5. 중순경 피고인 A 카드사업부 사무실에서, 유닉스 운영체제(UNIX OS)용 FDS 엔진의 효율적인 검증작업을 위하여, 모델러 L의 업무용 컴퓨터 중 1대에 유닉스 계열 운영체제인 리눅스(LINUX)를 설치하였다(이하 '리눅스 설치 컴퓨터'라 한다). H는 카드채권관리팀 X 차장, Z 대리와 IT본부 분사 보안운영팀에 리눅스용 보안프로그램이 있는지를 문의하였으나 "A이 회사 내 업무용 컴퓨터에 도입한 보안프로그램은 윈도우즈(Windows) 운영체제 하에서만 작동되고, 리눅스용 보안프로그램은 없다."는 답변을 받았다. 위 리눅스 설치 컴퓨터에는 결국 보안프로그램이 설치되지 아니한 상태가 되어 보안프로그램 기능 중 하나인 USB메모리 쓰기방지 기능이 작동하지 않게 되었다. H는 2012. 6. 18. 피고인 A 카드사업부 사무실에서, 모델러들이 사용하는 업무용 컴퓨터 공유폴더에 저장되어 있던 고객 개인정보를 자신의 노트북 컴퓨터에 복사하였다가 다시 FTP(File Transfer Protocol) 및 Telnet(프로그램명 : PuTTY)을 이용하여 보안프로그램이 설치되지 아니한 위 리눅스 설치 컴퓨터에 전송한 뒤, 인가받지 아니하고 반입한 USB메모리를 연결하여 피고인 A 고객 약 2,197만 명의 개인정보(성명, 주민등록번호, 휴대/자택/직장 전화번호, 직장명, 부서명, 자택주소, 이메일주소 등 고객정보 64개 항목)를 위 USB메모리에 임의로 복사하여 가지고 나와 AA에게 전달하였다. 2) 2012. 10. 18. 유출 I는 2012. 8.경 분석 데이터 폭증에 따른 하드디스크 과부하에 대응하기 위하여 피고인 A에 디스크 증설을 요청하였고, 피고인 A은 이를 허가하였다. 디스크가 증설되는 과정에서 I 모델러들이 사용하는 일부 업무용 컴퓨터에는 보안프로그램이 설치되지 아니한 상태가 되었다. H는 2012. 10. 18. 피고인 A 카드사업부 사무실에서, 보안프로그램이 설치되지 아니한 모델러 K의 컴퓨터에 USB메모리를 연결한 후, 피고인 A 고객 약 2,235만 명의 개인정보[성명, 주민등록번호, 휴대전화번호, 카드번호, 유효기간, 계좌번호, 카드한도액, 1개월 전/3개월 내/6개월 내/1년 내 카드 총 결제금액, 신용카드 개수, 3개월 내/6개월 내 일시불 최고이용금액(해지 포함), 대출내역 등 고객정보, 카드정보, 신용정보, 가맹점 정보 140여 개 항목]를 위 USB메모리에 임의로 복사하여 가지고 나와 AA에게 전달하였다. 라. 피고인 A의 죄책 피고인 A은 그 임직원들이 피고인 회사가 업무상 처리하는 고객 개인정보의 안전성 확보에 필요한 조치를 하지 아니하고, 개인정보보호책임자 D이 해당 업무에 관하여 감독책임을 다하지 아니하여, 위와 같이 2회에 걸쳐 H에 의하여 고객 개인정보를 유출당하였다. 3. 피고인 B 가. 용역계약 체결 피고인 B는 2013. 1. 31. I와 '카드부정방지시스템 업그레이드' 용역계약을 체결하고, 2013. 2. 1.부터 2013. 3. 4.까지는 서울 종로구 AB에 있는 B AC센터(이하 'AC 센터'라 한다) 14층에서, 2013. 3. 5.부터 2013. 8. 31.까지는 서울 강서구 AD에 있는 B AE센터(이하 'AE 센터'라 한다) 1층 및 2층에서, I 소속 외주직원인 H 등으로 하여금 FDS 용역업무를 수행하게 하였다. H는 시스템 개발자로서 FDS와 피고인 B 개인정보처리시스템 연계 등 전체 시스템 구동을 담당하였고, K, AF, AG 등은 모델러로서 사고예측 모형(분석모델) 설계·개발을 담당하였다. 다. 안전성 확보조치의무 불이행 개인정보처리자는 업무상 필요에 따라 공유폴더를 설정하더라도 권한설정 등 조치를 통하여 업무상 꼭 필요한 자만 접근할 수 있도록 하여야 하고, 공유폴더에 개인정보 파일이 포함되지 않도록 정기적으로 점검하여 조치하여야 한다. 보안프로그램을 설치·운영하여야 하고, 인가되지 아니한 USB메모리 반출·입을 통제하여야 한다. 업무용 컴퓨터에 고유식별정보를 저장하여 관리하는 경우 암호화하여 저장하여야 한다. 피고인 B IT본부 정보개발부 경영정보팀 AH 팀장과 AI 과장은 I 모델러들이 업무용 컴퓨터 공유폴더에 암호화하지 아니한 고객 개인정보를 저장하여 사용하는 것을 묵인하였고, 시스템 개발자인 H가 모델러들이 모형 개발을 위해 사용하는 위 공유폴더에 접근할 수 있도록 방치하였다. H가 인가받지 아니한 USB메모리를 반입하는 것을 통제하지 아니하였다. I 직원들이 사용하는 업무용 컴퓨터에 보안프로그램이 제대로 설치되어 작동하고 있는지를 확인·점검하지 아니하였다. 다. 고객 개인정보 유출 1) 2013. 2. 유출 H는 2013. 2.경 AC센터에서 FDS 개발업무를 수행하던 중 업무용 컴퓨터에 보안프로그램이 설치되지 아니하여 USB메모리를 연결해 파일을 저장하는 것이 가능하다는 것을 알게 되었다. H는 모델러들이 사용하는 업무용 컴퓨터 공유폴더에 저장되어 있던 고객 개인정보를 보안프로그램이 설치되지 아니한 자신의 업무용 컴퓨터에 복사한 뒤, 인가받지 아니하고 반입한 USB메모리를 연결하여 피고인 B 고객 약 4,321만 명의 개인정보(성명, 주민등록번호, 휴대/자택/직장 전화번호, 직장명, 부서명, 자택주소, 이메일주소, 카드번호, 유효기간, 계좌번호, 신용한도/현금서비스 등급 등 고객정보, 회원정보, 카드정보 130여 개 항목)를 위 USB메모리에 임의로 복사하여 가지고 나와 2013. 4.경 AA에게 전달하였다. 2) 2013. 6. 유출 H는 2013. 6.경 AE 센터에서 위 1)과 동일한 방법으로 피고인 B 고객 약 4,321만 명의 개인정보(성명, 주민등록번호, 휴대/자택/직장 전화번호, 직장명, 부서명, 자택주소, 이메일주소, 카드번호, 유효기간, 계좌번호, 신용한도/현금서비스 등급, 연체금액, 구매이용/현금서비스 이용실적 등 140여 개 항목)를 USB메모리에 임의로 복사하여 가지고 나와 AA에게 전달하였다. 라. 피고인 B의 죄책 피고인 B는 그 임직원들이 피고인 회사가 업무상 처리하는 개인정보의 안전성 확보에 필요한 조치를 하지 아니하고, 개인정보보호책임자 E이 해당 업무에 관하여 감독책임을 다하지 아니하여, 위와 같이 2회에 걸쳐 H에 의하여 고객 개인정보를 유출당하였다. 4. 피고인 C 가. 용역계약 체결 피고인 C는 2013. 5. 13. I와 'FDS 리뉴얼 및 현금융통 스코어 리모델링 구축' 용역계약을 체결하고, 2013. 5. 13.부터 2013. 9.경까지는 서울 중구 AJ빌딩 10층에 있는 사무실에서, 2013. 9.경부터 2013. 12.경까지는 서울 중구 AK빌딩 9층에 있는 사무실에서, I 소속 외주직원인 H 등으로 하여금 FDS 용역업무를 수행하게 하였다. H는 시스템 개발자로서 FDS와 피고인 C 개인정보처리시스템 연계 등 전체 시스템 구동을 담당하였고, K, L, AF, AG 등은 모델러로서 사고예측모형(분석모델) 설계·개발을 담당하였다. 나. 2013. 12. 12. 고객 개인정보 유출 개인정보처리자는 업무상 필요에 따라 공유폴더를 설정하더라도 권한설정 등 조치를 통하여 업무상 꼭 필요한 자만 접근할 수 있도록 하여야 하고, 공유폴더에 개인정보 파일이 포함되지 않도록 정기적으로 점검하여 조치하여야 한다. 보안프로그램을 설치·운영하여야 하고, 인가되지 아니한 USB메모리 반출·입을 통제하여야 한다. 업무용 컴퓨터에 고유식별정보를 저장하여 관리하는 경우 암호화하여 저장하여야 한다. 피고인 C 리스크관리본부 채권관리부문 FDS 팀 AL 과장, AM 대리, AN 대리는 I 모델러들이 업무용 컴퓨터 공유폴더에 암호화하지 아니한 고객 개인정보를 저장하여 사용하는 것을 묵인하였고, 시스템 개발자인 H가 모델러들이 모형 개발을 위해 사용하는 위 공유폴더에 접근할 수 있도록 방치하였다. H가 인가받지 아니한 USB메모리를 반입하는 것을 통제하지 아니하였다. I 직원들이 사용하는 업무용 컴퓨터에 보안프로그램이 제대로 설치되어 작동하고 있는지를 확인·점검하지 아니하였다. H는 2013. 9. 중순경 위 AK빌딩 사무실에 업무용 컴퓨터 2대를 반입하면서 그 중 1대에는 보안프로그램을 설치하지 아니하였다(이하 '보안프로그램 미설치 컴퓨터'라 한다). H는 2013. 12. 12. 보안프로그램 미설치 컴퓨터에 인가받지 아니하고 반입한 USB메모리를 연결한 뒤, 그 USB메모리에 새 폴더를 생성하여 모델러들이 사용하는 업무용 컴퓨터와 공유폴더로 설정하였다. H는 위 모델러 컴퓨터의 고객 개인정보 공유폴더에 저장되어 있던 피고인 C 고객 약 1,759만 명의 개인정보(성명, 주민등록번호, 전화번호, 카드번호, 유효기간, 카드한도액, 카드이용액, 연체금액 등 고객정보, 카드정보, 신용정보 80여 개 항목)를 위 USB메모리의 새 공유폴더에 복사하여 가지고 나왔다. 다. 피고인 C의 죄책 피고인 C는 그 임직원들이 피고인 회사가 업무상 처리하는 개인정보의 안전성 확보에 필요한 조치를 하지 아니하고, 정보보호최고책임자 F, 개인정보보호책임자 G이 해당 업무에 관하여 감독책임을 다하지 아니하여, 위와 같이 H에 의하여 고객 개인정보를 유출당하였다. 증거의 요지 1. 증인 H의 법정진술 1. D, E, G에 대한 각 검찰 피의자신문조서 1. X, AO, AP, Y, AQ, AR, AS, AT, AU, AH, AI, AV, AW, AX, AL, AY, L, AZ에 대한 각 검찰 진술조서 1. BA에 대한 경찰 진술조서 1. 압수조서 1. 각 판결문 사본 1. AA에게 준 파일 중 일부, 디스크 증설 요청 공문, 금감원 조사결과표, 각 카드사 유출경로, 각 카드사 유출 고객정보 샘플자료, 보안프로그램 설치 현황 - B, 정보 분석 결과(중복 제거), 전체 사건 정리표, 각 카드사 확인서, 각 카드사 금융감독원 검사서, 부문검사결과 조치안, 관련자별 조치명세, 관련자별 귀책사유 및 조치의견, 검사결과통보 및 조치요구, 각 위험도 분석결과, FDS 자료제공 테이블 목록, BB카드 고객정보 유출관련 자료 생성 및 제공내역, 전산업무처리지침, A 개인정보처리방침, 고객정보 취급방침, H 이력, 정보보호규정, 전산정보업무지침 및 전산정보보안업무지침, I 앞 데이터 제공 목록, 유출자료 파일별 레이아웃 1. 각 수사보고(2012. 10. BB카드 정보유출 관련 : H 면담보고, BB카드 유출 - 작업용 PC 로그기록 확인, 보안프로그램 부존재 경위 확인, 각 카드사 유출 고객정보, AFDS 접속로그에 대한 파일 제출, BB카드 위험도 분석 관련 BD 진술청취, A 자료 추출 계정 관련 AT 차장 진술청취, A 내부관리계획 검토, C 위험도 분석 관련 정보기획팀 팀장 AX 등 진술청취, C 위험도 분석 관련, 정보기획팀 팀장 AX 등 진술청취, B 위험도 분석 점검 결과, C 위험도 분석 점검 결과, 각 카드사 유출 고객정보 재확인) 법령의 적용 1. 범죄사실에 대한 해당법조 각 구 개인정보보호법(2015. 7. 24. 법률 제13423호로 개정되기 전의 것) 제74조 제2항, 제73조 제1호, 제24조 제3항, 제29조 1. 경합범가중 가. 피고인 A 주식회사 : 형법 제37조 전단, 제38조 제1항 제2호, 제50조(범정이 더 무거운 2012. 10. 18. 개인정보보호법위반죄에 정한 형에 경합범가중) 나. 피고인 주식회사 B : 형법 제37조 전단, 제38조 제1항 제2호, 제50조(범정이 더 무거운 2013. 6. 개인정보보호법위반죄에 정한 형에 경합범가중) 변호인들의 주장에 대한 판단 Ⅰ. 피고인 회사별 주장의 요지 1. 피고인 A 가. 객관적 구성요건 H는 피고인 회사의 FDS 개발업무를 수행하고 있었던 적법한 열람권자이므로, 그에 대하여 접근권한 제한 및 접근통제 조치를 취하지 아니하였다고 하여 안전성 확보조치 의무를 불이행하였다고 할 수 없다. 피고인 회사는 '개인정보의 안전성 확보조치 기준'(2011. 9. 30. 제정 행정안전부 고시 제2011-43호, 이하 '구 기준'이라 한다) 제4조에 따른 접근권한 관리의무를 준수하였고, 위 기준 제6조 '접근통제 시스템 설치 및 운영의무'에 USB메모리 등 보조저장매체를 이용한 개인정보 유출방지는 포함되지 아니한다. '보조저장매체 반출입·통제'에 관한 내용은 개정된 '개인정보의 안전성 확보조치 기준'(2014. 12. 30. 개정 행정자치부 고시 제2014-7호, 이하 '신 기준'이라 한다)에 와서야 비로소 규정되었다(제9조 제3항). 나. 주관적 구성요건 개인정보보호법 제73조 제1호 범죄가 성립하기 위하여서는 같은 법 제24조 제3항, 제29조가 규정한 '안전성 확보조치의무 불이행'에 대한 고의가 있어야 한다. 그러나 피고인 회사의 사용인 D 등에게는 안전성 확보조치 불이행에 대한 과실이 있을 뿐이므로 위 제73조 제1호 범죄가 성립하지 아니하고, 피고인 회사도 같은 법 제74조 제2항 양벌규정에 따른 죄책을 부담하지 아니한다. 2. 피고인 B 가. 객관적 구성요건 1) 고유식별정보에 대한 암호화 조치의무 부존재 및 '실제 데이터' 사용의 불가피성 피고인 회사는 안전성 확보조치 기준 제6조 제5항에 따라 '위험도 분석'을 거쳐 고유식별정보를 암호화하지 않기로 결정한 것이다. 피고인 회사에 대해서는 개인정보보호법이나 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법'이라 한다)에 우선하는 특별법인 신용정보의 이용 및 보호에 관한 법률(이하 '신용정보법'이라 한다)에 따른 암호화 규정이 적용되어야 한다. 구 신용정보법(2015. 3. 11. 법률 제13216호로 개정되기 전의 것, 이하 '구 신용정보법'이라 한다) 제19조, 신용정보법 시행령 제16조에 따른 구 신용정보업감독규정(2014. 4. 22. 금융위원회 고시 제2014-11호로 개정되기 전의 것, 이하 '구 신용정보업감독규정'이라 한다) 제20조 의 Ⅱ. 3. 제1항은 "신용정보회사등은 패스워드, 생체정보 등 본인임을 인증하는 정보에 대해서는 복호되지 아니하도록 암호화하여 저장한다."고 규정하고 있을 뿐, 본건에서 문제되는 주민등록번호 등의 암호화는 요구하고 있지 아니하고, 그 위반에 대한 형사처벌 규정도 두고 있지 아니하다. 피고인 회사 직원들은 FDS 개발에 어떤 정보가 필요한지를 몰랐고, I 측 요구에 따라 주민등록번호 등을 변환하지 아니하고 제공하였다. FDS 개발(모델링 및 검증테스트)을 위해서는 '실제 데이터' 사용이 필수적이기도 하다. 설령 피고인 회사가 고유식별정보를 암호화하여 저장하였다고 하더라도 I에 제공할 때는 복호화해서 제공하거나 복호화하는 방법을 함께 제공하였을 것이므로, 개인정보 암호화 여부와 본건 유출사고 간에는 인과관계가 없다. 2) 피고인 회사는 그 밖에 법령 및 고시 기준에 따른 안전성 확보조치의무를 충분히 이행하였으므로 형사책임이 면제되어야 한다. 나. 주관적 구성요건 개인정보보호법 제73조 제1호 범죄가 성립하기 위하여서는 '안전성 확보조치의무 불이행' 및 '개인정보 유출'이라는 결과발생에 대한 인식, 즉 고의가 필요하다. 그런데 피고인 회사 직원들에게 고의가 있다고 할 수 없다. 3. 피고인 C 가. 객관적 구성요건 고객 개인정보의 '유출'에 해당하지 아니함 H는 'FDS 리뉴얼 프로젝트'가 종료되기 전에 검거되었기 때문에 FDS 개발업무 책임자로서 고객 개인정보에 대한 접근권한이 있는 상태였고, 당시 개인정보를 저장매체에 저장하는 것 자체를 금지하는 법령은 없었으므로 H가 USB메모리에 고객 개인정보를 저장하여 보유하고 있었다는 것만으로 고객 개인정보가 '유출'되었다고 볼 수 없다. 2) 접근권한 관리 및 접근통제 조치의무 준수 피고인 회사는 '보안 준수사항 확인서'를 통해 I 직원들에게 공유폴더 사용을 금지하였으나 H가 이를 위반한 것일 뿐이다. 매체제어 솔루션인 BE를 통해 USB메모리 접속을 통제하였고, 신 기준에 '보조저장매체 반출·입 통제'에 관한 규정이 신설되기 전부터 '정보보호규정', '최종사용자 보안지침' 등 내부 규정과 '보안서약서' 징구를 통하여 USB메모리 반출·입을 통제하였다. 3) 암호화 조치의무 위반과 고객 개인정보 유출 사이의 인과관계 부존재 H는, 운영서버로 FDS를 적재하기 직전 단계로서 새로 개발된 FDS가 정상적으로 작동하는지를 확인하기 위한 '마이그레이션 리허설(migration rehearsal)' 단계에, 정당한 접근권한에 의하여 가지고 있던 데이터를 유출하였다. 이 단계에서는 주민등록번호를 변환하지 아니한 고객 개인정보를 사용할 수밖에 없었으므로 암호화 조치의무 불이행과 H의 유출범행 사이에 인과관계가 없다. 나. 주관적 구성요건 개인정보보호법 제73조 제1호는 고의범 처벌규정이다. 피고인 회사 직원들이 H와 공모한 사실이 없으므로, 피고인 직원들에게 '안전성 확보조치를 하지 아니하여 개인정보를 유출당하는 것'에 대한 확정적 고의는 물론, 미필적 고의도 있다고 할 수 없다. 위 조항을 과실범 처벌 규정이라 보더라도, 고객 개인정보가 제3자에게 실제로 열람되거나 접근되지 아니한 이상 고객 개인정보가 '유출'되었다고 할 수 없고, 따라서 결과불법이 없는 과실범의 미수에 불과하다. Ⅱ. (구) 개인정보보호법 제73조 제1호의 주관적 구성요건요소 피고인 회사들에 대하여 양벌규정을 적용하기 위한 전제가 되는 구 개인정보보호법(2015. 7. 24. 법률 제13423호로 개정되기 전의 것, 이하 같다) 제73조 제1호는 "제24조 제3항, 제25조 제6항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니하여 개인정보를 분실·도난·유출·변조 또는 훼손당한 자는 2년 이하의 징역 또는 1천만 원 이하의 벌금에 처한다."고 규정하고 있다. 형법 제13조는 "죄의 성립요소인 사실을 인식하지 못한 행위는 벌하지 아니한다. 단, 법률에 특별한 규정이 있는 경우에는 예외로 한다."고 규정하고 있고, 형법 제14조는 "정상의 주의를 태만함으로 인하여 죄의 성립요소인 사실을 인식하지 못한 행위는 법률에 특별한 규정이 있는 경우에 한하여 처벌한다."고 규정하고 있다. 따라서 행정상 단속을 주안으로 하는 법규라 하더라도 명문규정이 있거나 해석상 과실범도 벌할 뜻이 명확한 경우를 제외하고는 형법의 원칙에 따라 고의가 있어야 벌할 수 있다(대법원 1986. 7. 22. 선고 85도108 판결, 2010. 2. 11. 선고 2009도9807 판결 등 참조). 개인정보보호법 제73조 제1호 위반죄가 성립하기 위해서도 원칙에 따라 '안전성 확보조치의무 불이행'에 대한 고의가 있어야 한다. 미필적 고의로도 충분하다. 그러나 후단에 규정된 '개인정보 분실·도난·유출·변조 또는 훼손'이라는 결과발생 부분까지 고의의 대상이 된다고 보기는 어렵다. 만일 개인정보처리자가 미필적으로라도 위와 같은 결과를 인식하고 의욕하였다면, 안전성 확보조치의무 불이행은 의도적인 개인정보침해행위가 되어 개인정보보호법 제71조 제5호, 제59조 제2호 위반죄(5년 이하의 징역 또는 5천만 원 이하의 벌금), 개인정보보호법 제71조 제6호, 제59조 제3호 위반죄(5년 이하의 징역 또는 5천만 원 이하의 벌금), 개인정보보호법 제72조 제2호, 제59조 제1호 위반죄(3년 이하의 징역 또는 3천만 원 이하의 벌금) 등 개인정보보호법 제73조 제1호 위반죄보다 법정형이 높은, 다른 고의범죄의 정범 또는 적어도 방조범이 성립한다고 보아야 한다. 결과발생 부분에 대한 고의까지 필요한 것으로 해석하게 되면, 대부분의 개인정보처리자들에게 개인정보보호법 제73조 제1호 위반죄가 성립하는 경우란 거의 없게 된다. 이는 개인정보보호법이 제정되기 전에 유사한 내용을 규율하던 정보통신망법이 과태료 부과대상에 불과하던 행위를 형사처벌 대상으로 개정한 취지에 부합하지 아니하고, 개인정보보호법 제정의 취지에도 부합하지 아니한다. 문리해석상으로도 과실범적 요소를 갖는 '분실', '유출', 제3자의 행위가 개입되는 것을 전제하는 '도난', (유출, 변조, 훼손) '당한 자'라는 요건이 의지적 요소까지 포함하는 '고의'의 대상이라고 보기는 어렵다. 이상과 같은 개인정보보호법의 체계적, 논리적 해석상 '개인정보 분실·도난·유출·변조 또는 훼손'이라는 결과발생 부분에 대하여서는 인식과 의사가 있을 것을 요하지 않고(오히려 없어야 하고), 다만 책임주의 원칙상 결과발생에 대한 '예견가능성', 즉 과실이 필요하다고 보는 것이 타당하다(형법 제15조 제2항 참조). 안전성 확보조치의무 불이행과 개인정보 유출 등 결과 사이에 상당인과관계가 있어야 함은 물론이다(형법 제17조). 이는 '해석상 과실범도 벌할 뜻이 명확한 (법률규정이 있는) 경우'에 해당하므로 법률규정 없이 과실범을 처벌하는 경우라고 할 수 없다. 안전성 확보조치의무 불이행에 대한 고의와, 개인정보 유출 등 결과발생에 대한 예견가능성, 의무 불이행과 결과 사이의 상당인과관계가 필요하다고 해석하는 이상 부작위에 의한 과실범을 항상 처벌하는 결과가 된다고 볼 수도 없다. Ⅲ. 피고인 A 1. 2012. 6. 18. 유출 가. 안전성 확보조치의무 불이행 1) 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하고, 접근통제를 위한 조치를 하여야 한다(구 기준 제4조 제1항 참조). 예를 들어, '개인정보보호책임자'에게는 '읽기, 쓰기, 변경' 기능을 포함하는 전체 권한을 부여하더라도, '개인정보취급자'에 대해서는, '읽기' 권한만을 제공하는 등으로 업무 목적 외의 불필요한 접근을 최소화하여야 한다[2011. 9. 행정안전부 발간 '개인정보의 안전성 확보조치 기준 및 해설서'(이하 '구 해설서'라 한다) 25면, 증거기록 1책 816면도 참조, 이하 '증거기록'이라는 표시는 생략한다]. 비록 H가 FDS 개발업무의 프로젝트 총괄 매니저이자 시스템 개발자로서 업무상 고객 개인정보를 '열람'('읽기' 권한)할 필요가 있었다고 하더라도, H에게 '인가를 받지 아니하고 개인적으로 반입한 USB메모리를 접속하여 고객 개인정보를 임의로 복사·저장할 권한'('쓰기' 권한)까지 부여될 필요가 있었다고 볼 수 없다. 분석모델을 설계·개발하였던 모델러들과도 접근권한이 차등 부여되었어야 했다. H는 공유폴더에 저장되어 있던 고객 개인정보를 FTP 및 Telnet으로 전송하여 유출하면서 아무런 제약을 받지 아니하였다(1책 149, 831, 835-837면). 2) 개인정보처리자는 악성프로그램 등을 방지·치료할 수 있는 백신 소프트웨어 등 보안프로그램을 설치·운영하여야 한다(구 기준 제9조). 피고인 회사들의 보안프로그램에 모두 'USB메모리 쓰기방지 기능'이 있는 점, USB메모리는 크기가 작고 형태가 다양하여 반출·입을 원천 차단하는 데 한계가 있는 점, USB메모리를 몰래 숨겨 반입할 경우 업무용 컴퓨터에 저장되어 있는 개인정보를 쉽게 유출할 수 있는 점 등에 비추어 보면, 개인정보처리자가 설치·운영할 의무가 있는 보안프로그램은 특별한 사정이 없는 한 USB메모리에 대한 '쓰기'를 제한하는 기능을 갖추고 있어야 하고, 그러한 기능이 제대로 작동하고 있는지를 관리·감독하는 조치 또한 수반되어야 한다고 봄이 타당하다(1책 615, 806-810, 914면, 2책 945-946, 972-973면 등 참조). 피고인 A은 유닉스 계열 운영체제인 AIX 서버를 사용하고 있었고, H 진술에 따르면 피고인 A 서버 용량이 충분하지 아니하고 유닉스 운영체제와 호환성을 검토할 필요도 있어서 별도 리눅스 개발서버를 설치하여야 했다(1책 139-145, 832-834면). 그러나 피고인 A에는 리눅스 등 유닉스 계열 운영체제에서 구동되는 보안프로그램이 마련되어 있지 않았다. 모델러 L에게 할당된 업무용 컴퓨터 중 1대에 리눅스가 설치되었지만('모델 개발'이 아닌 '시스템 개발' 용도로 H가 사용하였다), 피고인 A에 리눅스용 보안프로그램이 없다는 이유로 처음부터 보안프로그램이 설치되지 아니한 채로 사용되었다. 위 컴퓨터에는 2012. 11. 20.에야 보안프로그램이 설치되었기 때문에 작업 개시일인 2012. 5. 23.부터 2012. 11. 20.까지 USB메모리 등 보조저장매체에 대한 쓰기/차단로그기록이 존재하지 아니한다(1책 111, 143, 514, 885면). 3) 피고인 측 주장과 같이 '보조저장매체 반출입·통제'에 관한 내용이 신 기준 제9조 제3항에 와서야 비로소 '물리적 접근 방지' 조치의 한 내용으로 명시된 것은 사실이다. 그러나 보조저장매체 반출·입 통제, 보안스티커 부착 등 물리적 접근 차단조치는 구 기준 하에서도 개인정보 유출을 막기 위한 가장 기본적이고 낮은 수준의 '접근통제 조치' 중 하나라고 보는 것이 타당하다. 위와 같이 보안프로그램이 설치되지 아니한 컴퓨터가 있었음에도 피고인 A 직원들은 보안프로그램이 작동할 것이라는 것만을 믿고 형식적으로 '장비반입증'을 작성한 외에는 USB메모리 등 보조저장매체 반출·입을 특별히 통제하지 아니하였다(1책 825, 832, 886면). I 직원들이 반입한 이동형 하드디스크 10개(연결장치 2개 포함)와 H가 반입한 USB메모리 1개에 대해서는 장비반입증조차 작성되지 아니하였다(1책 134면). 피고인 A의 BH 건물에서는 장비 검색대를 통하여 미인가 장비 반출·입을 통제하고 있었지만, 이러한 조치가 FDS 개발작업이 진행되었던 J 건물에서는 취해지지 아니하였다(1책 516면). 나. 미필적 고의 1) 'FDS 설치작업을 전반적으로 관리하였다'고 하는 X 차장은 FDS 개발작업이 이루어진 J 카드사업부 사무실에 상주하였던 것이 아니라 주로 서울 용산구 BI에 있는 ABJ별관에 있으면서 주간회의 참석을 위해 위 사무실에 가끔 들르는 정도였다(1책 505, 823-824, 944면), X 차장은 검찰에서 조사받을 때까지 누가 어떤 업무를 담당하여야 하는지, I 직원들에 대한 관리가 어떻게 이루어졌는지를 정확하게 파악하지 못하고 있었고(1책 943-961면), 카드채권관리팀 AP 팀장도 FDS 개발작업에 특별한 관심을 가지고 있지 아니하였던 것으로 보인다(1책 823, 966면), 야간·휴일 작업 때 I 직원들을 감독하는 직원은 없었고, X 차장은 I 직원들의 휴일근무 사실조차 몰랐다고 진술하였다(1책 945, 966면). 2) H는 피고인 A IT본부 분사 보안운영팀에 리눅스용 보안프로그램이 있는지를 문의하였으나, '없다'는 대답을 들었다고 진술하였다(1책 141, 833, 967면). H는 또한 "X 차장, Z 대리에게 리눅스를 사용하여도 되는지, 리눅스용 보안프로그램이 없다고 하는 데 어떻게 해야 하는지를 문의하였다."고 진술하였으나, 그들은 정보보안 등 IT 분야의 전문가가 아니었기 때문에 H가 질문하는 취지를 이해하지 못하였던 것으로 보인다(1책 141, 515, 833, 952-953, 967면). H는 "A 직원들에게, 이런 경우가 발생하면 다른 카드사에서는 보안스티커를 부착하여 외부 저장매체를 이용한 정보 유출을 막는다는 말까지 해주었다."고 진술하였다(1책 834면). 3) 보안운영팀 AR은 보안프로그램이 설치된 컴퓨터와 설치되지 아니한 컴퓨터 사이에 공유폴더를 설정할 경우 내부 네트워크를 통하여 자료를 전송하는 것이 가능하다는 사실을 알고 있었다. 그러한 방법으로 고객 개인정보가 유출될 가능성이 있다는 것도 인식하고 있었다(1책 515, 516면). 4) X 차장 지시를 받아 USB메모리 등 장비반입증 작성 업무를 담당하였던 카드채권관리팀 AO 계장은 제출된 장비반입증에 기재된 장비와 실제로 반입된 장비가 일치하는지를 직접 일일이 확인한 적이 없었다. 내규에 따를 때 반입장비에 대하여 업무담당책임자인 AP 팀장과 정보보호담당자인 전산정보실 BK 실장의 승인을 받아야 한다는 사실도 몰랐다(1책 509-510면). X 차장은 2014. 3. 31. 검찰조사에는 반입 장비에 대하여 위와 같은 승인절차를 거쳤는지를 잘 모르겠다고 진술하였다가, 2014. 10. 7. 검찰조사에서는 AP 팀장에게 구두로 보고하고 문서로 결재받았다고 진술하였다(1책 510,947면). 5) 피고인 A 개인정보보호책임자였던 D은 I와의 용역계약 체결 사실 자체를 알지 못하였고, FDS 개발과 관련하여 업무상 관여한 바가 전혀 없었다. 검찰조사 당시까지도 그러한 프로젝트를 진행할 경우 개인정보보호와 관련하여 어떤 문제가 발생할 수 있는지, 해당 업무들은 누가 담당하여야 하는지를 전혀 파악하지 못하고 있었다(1책 983-988면). 개인정보보호법 시행으로 개인정보보호책임자로 선임되기는 하였으나, IT 전문가가 아니었고, '개인정보보호책임자'로서의 업무를 제대로 파악하지 못하고 있었다(1책 996-997면). 2. 2012. 10. 18. 유출 가. 안전성 확보조치의무 불이행 1) 모델러들의 업무용 컴퓨터에는 FDS 개발작업이 시작된 첫날인 2012. 5. 23. 대부분 보안프로그램이 설치되었으나(7대 중 5대, 2012. 6. 18. 유출범행에 사용된 L 컴퓨터와 나중에 투입된 M 컴퓨터 제외), 보안프로그램 설치는 I 직원들에게 맡겨졌을 뿐 피고인 A 직원들에 의하여 보안프로그램 설치 여부가 지속적으로 관리·감독되지는 아니하였다(1책 45-46, 145, 160-161, 510-514, 810, 817, 826, 846, 885면 참조). 모델러 L가 사용한 컴퓨터 중 1대가 운영체제 문제로 2012. 5. 23.부터 2012. 11. 19.까지 보안프로그램이 설치되지 아니한 채로 사용되다가 2012. 11. 20.에야 보안프로그램이 설치된 사실은 앞에서 본 것과 같다. L의 다른 컴퓨터도 디스크 증설 후인 2012. 9. 19.부터 2012. 11. 22.까지 사이에 보안프로그램 로그기록이 존재하지 아니한다. 모델러 N의 컴퓨터 2대 중 1대는 2012. 9. 9.부터 2012. 12. 31.까지 사이에, 모델러 K의 컴퓨터 2대 중 1대는 2012. 9. 11.부터 2012. 11. 22.까지 사이에 보안프로그램 로그기록이 존재하지 아니한다. 작업속도를 높이기 위하여 2012. 8. 22. 추가로 투입된 모델러 M의 컴퓨터는 2012. 8. 22.부터 2012. 12. 3.까지 사용되었는데, 그 기간을 통틀어서 2012. 8. 27. 하루 동안만 보안프로그램이 작동되었다(1책 109-111면). 2) FDS 개발작업 초기 단계에는, 작업 첫날 보안프로그램을 설치할 때 각 업무용 컴퓨터에 이미 설치되어 있었던 하드디스크 외에는 USB메모리 등 다른 보조저장매체를 인식하는 것이 아예 불가능하도록 설정되어 있었다(1책 101, 839면). 그러나 디스크 증설 후부터는 인가받지 아니한 USB메모리 등 보조저장매체를 쉽게 사용할 수 있었다(1책 886면). I 모델러인 N와 H는 고객 개인정보를 USB메모리에 저장하여 마음대로 주고받았지만 특별한 제지를 받지는 아니하였다(1책 103, 811, 839-841면). 나. 미필적 고의 1) H는 2012. 8.경 Z 대리에게 디스크 증설을 요청할 당시, 하드디스크를 e-SATA단자 및 USB단자에 접속('도킹')하여 사용할 수 있는, 쓰기기능을 포함한 포괄적인 권한을 요청하였고, 이를 시연해 보여주기도 하였다(1책 102, 158, 840면). 2) Z 대리가 2012. 8. 9. 기안하여 X 차장, AP 팀장이 결재한 카드채권관리팀 'FDS 모델링 디스크 증설 요청'[A(카신)45404-100239] 공문은, 보안운영팀에 디스크 증설을 요청하면서 '정보보호를 위한 보안사항'으로 " 디스크 증설에 따른 개발자 보안서약서 작성, 개발자 PC에 대한 관리·감독 강화, 모델링 완료시 개발자 PC에 대한 데이터 포맷 진행"을 열거하고 있다(1책 108면), 피고인 A 카드채권관리팀과 보안운영팀 직원들이 디스크 증설에 따른 보안위험 증대를 인식하였고, 이를 염두에 두고 디스크 증설을 허가하였다고 인정할 수 있다. 그러나 디스크 증설 이후에 관리·감독 강화 등 조치가 실제로 취해지지는 아니하였다(1책 841면). 3) 피고인 A에서 보안프로그램 설치 여부를 책임지고 확인하는 사람이 따로 없었고, 직원들은 이를 누가 담당하여야 하는지를 명확하게 인식하지 못하고 있었다(1책 949-952면). X 차장은 "Y 과장에게 보안프로그램 설치를 안내해 주라고 부탁하였다."고 진술하였으나, Y 과장은 "보안프로그램 설치 매뉴얼을 교부하고, 보안프로그램을 설치하라는 안내는 하였다. 그러나 실제로 설치하였는지를 직접 확인하여야 한다는 생각까지는 하지 못하였다."고 진술하였다. 보안운영팀 AQ 팀장도 "보안프로그램을 제공하기만 하면 된다고 생각하였을 뿐, 보안프로그램 설치 여부를 따로 점검한 적이 없다."고 진술하였다(1책 510-514면). X 차장은 "하드디스크를 증설하더라도 보안프로그램이 자동으로 작동되는 것으로 알았다."고 진술하기도 하였다(1책 955면). Ⅳ. 피고인 B 1. 2013. 2. 유출 가. 안전성 확보조치의무 불이행 1) 접근권한 관리 및 접근통제 조치의무 가) USB메모리 접속 및 그에 대한 파일 저장('쓰기')이 처음부터 차단되지 아니하였다(1책 203-205면). I 직원들에게 매뉴얼을 주고 보안프로그램(보안토큰 사용자 인증 BL, 보조기억매체 통제 BM 등)을 스스로 설치하게 하였을 뿐, 보안프로그램 설치 여부를 개별적으로 확인·관리하지는 아니하였다(1책 47, 538, 552, 810, 817면). 보안프로그램이 설치된 컴퓨터와 설치되지 아니한 컴퓨터 사이에 내부 네트워크를 통하여 파일을 복사·공유하는 데도 아무런 지장이 없었다(1책 545, 857, 917면, 2책 951-952면). 나) USB메모리 반출·입이 전혀 관리되지 아니하였다(1책 534-536, 552, 811, 914, 921면). 다) I 모델러 K, AG은 피고인 B로부터 일반 이동형 하드디스크로 전달받은 고객 개인정보를 업무용 컴퓨터 공유폴더에 저장하여 두고 자유롭게 활용하였다. H도 위 공유폴더에 접근하는 데 아무런 제약이 없었다(1책 202, 540, 853면). 2) 암호화 조치의무 가) 피고인 B가 위와 같이 이동형 하드디스크에 저장하여 제공한 고객 개인정보는 고유식별정보를 변환하지 아니한 텍스트 파일 형태의 자료였고, 모델러들은 이를 그대로 업무용 컴퓨터 공유폴더에 저장하였다(1책 202, 813, 925면). 나) 개인정보처리자가 고유식별정보를 내부망에 저장하거나, 내부망 내에서 송·수신하는 경우에는 위험도 분석 결과에 따라 암호화 대상에서 제외할 수도 있다(구 기준 제7조 제5항 제2호, 구 해설서 34면). 그러나 사안과 같이 고유식별정보를 개인정보취급자의 업무용 컴퓨터에 저장하여 관리하는 경우에는 암호화 저장함으로써 불법적인 노출 및 접근을 차단하여야 한다(구 기준 제7조 제8항, 구 해설서 39면). 설령 피고인 B가 '고유식별정보를 암호화하지 않더라도 최소한의 안전성 확보가 가능한 것으로 판단된다'는 결론을 내린 위험도 분석 결과에 따라 고유식별정보를 저장하지 않은 것이라 하더라도(2책 4442면), 그 대신 고객 개인정보 공유폴더에 대한 접근통제, USB 메모리 반출·입 통제, 보안프로그램 설치·운영에 대한 관리·감독(이들도 위험도 분석의 점검 항목들이다)을 더 철저히 이행하였어야 한다. 다) 이른바 '실제 데이터' 사용이 불가피하다는 주장에 대한 판단 FDS 모형 개발을 위해 필요한 이른바 '실제 데이터' 또는 'Raw Data'란 데이터베이스의 '정확성', '사실성'을 담보하기 위한 '실제의 거래데이터' 내지 '가공되지 아니한 자료'를 의미할 뿐 암호화·변환하지 아니한 주민등록번호 등 고유식별정보를 의미하는 것이 아니다(1책 803-804, 811-813면, 2책 5993-5997면, 1차 녹취록 9-17면, 2차 녹취록 5-14면 등). 그러한 데이터는 개인정보보호법령이 암호화 조치의무를 부과하고 있는 개인정보에 해당하지도 아니한다(구 기준 제7조 제1항). 피고인 B의 고객 개인정보 데이터에는 자료의 '일관성', '정합성' 또는 '참조 무결성(referential integrity)'을 확보하기 위하여 대체 키(alternative key) 내지 외래 키(foreign key)로 활용할 수 있는 '고객식별자', '회원일련번호' 등 항목도 이미 존재하였다(1책 403, 416, 421, 856면, 12책 29, 38면). 피고인 B는 외부업체와 FDS 개발용역을 체결하기 전부터 자신의 개인정보처리시스템에서 저장·전송되는 개인정보를 암호화하거나, 암호화할 방법을 고민하고 있었어야 하고, 그러한 준비가 미처 되어있지 아니하였더라도 개인정보를 안전하게 처리할 수 있는 다른 방안을 강구하였어야 한다. 고유식별정보가 미리 변환되어 있지 아니하여 FDS 개발작업이 이미 시작된 단계에서는 뒤늦게 암호화작업을 거치는 데 시간과 비용의 측면에서 현실적인 한계가 있었고, 그리하여 모형을 개발하는 모델러들에게만큼은 변환하지 아니한 고유식별정보를 제공할 수밖에 없었다고 하더라도, 모델러들이 고객 개인정보를 업무용 컴퓨터에 저장·관리할 때 이를 암호화하는 것은 별개의 문제이다. 그것이 어렵더라도 고객 개인정보 공유폴더에 대한 접근통제, USB 메모리 반출·입 통제, 보안프로그램 설치·운영에 대한 관리·감독이 제대로 이루어졌다면 H가 고객 개인정보에 접근하여 이를 유출하는 것을 충분히 막을 수 있었다. 라) 구 신용정보법에 따른 구 신용정보업감독규정이 개인정보보호법위반죄 성립 여부를 판단하는 기준이 된다고 볼 수 없다. 위 규정 제20조 Ⅱ. 3. 제1항의 "패스워드, 생체정보 등 본인임을 인증하는 정보"가 주민등록번호 등 고유식별정보를 배제한다고 보기도 어렵다[구 신용정보법 제2조 제1호 가목, 구 신용정보법 시행령(2014. 2. 11. 대통령령 제25155호로 개정되기 전의 것) 제2조 제1항 제1호 참조]. 더욱이 위 Ⅱ. 3.의 제2, 3항은 "신용정보회사등은 정보통신망을 통해 이용자의 개인신용정보 및 인증정보를 송·수신할 때에는 보안서버 구축 등의 조치를 통해 이를 암호화해야 하고, 보안서버는 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 개인신용정보를 암호화하여 송·수신하는 기능 또는 웹서버에 암호화 응용프로그램을 설치하여 개인신용정보를 암호화하여 송·수신하는 기능을 갖추어야 한다. 신용정보회사등은 이용자의 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 한다."고 규정하여 개인정보보호법령보다 암호화 대상 정보의 범위를 개인신용정보로까지 오히려 넓히고 있다. 나. 미필적 고의 1) 피고인 B 보안담당 부서는 FDS 개발 과정에 특별히 관여한 바가 없고, FDS 프로젝트 실무자인 AH 팀장과 AI 과장은 개인정보보호에 대한 이해가 부족하였다(2책 944-952면). 피고인 B 개인정보보호책임자인 E은 "당시 FDS 프로젝트는 신규 사업이 아니라 유지·보수를 위한 업그레이드 용역이었기 때문에 개인정보보호 담당부서에서는 관여하지 아니하였고, 계약금액도 적어 보안성심의를 하지 아니하였다."고 진술하였다(1책 918면, 2책 1039면). 2) AI 과장은 AC센터에 반입된 I 측의 USB메모리 등 장비 현황을 파악하지 아니하였고 장비반입증을 작성하지도 아니하였다. AI 과장은 "I 직원들이 AC 센터의 채권관리부 사무실에 들어가서 작업하는 것이었기 때문에 장비 반입도 채권관리부에서 확인하는 것이라고 생각하였다."고 진술하였다(1책 552면, 2책 949면). 3) AI 과장은 I 직원인 AG으로부터 보안프로그램을 설치하였다는 말만 들었을 뿐 보안프로그램이 실제로 설치되었는지를 확인하지 아니하였고, AH 팀장도 AI 과장이 보안프로그램 설치 여부를 실제로 확인하지 아니하였다는 것을 알고 있었다(1책 538-539, 552-553면, 2책 949-951면). AI 과장은 당시 보안프로그램이 구체적으로 어떤 역할을 하는지조차 모르고 있었다(2책 945면). 4) AH 팀장과 AI 과장은 I 측에 암호화하지 아니한 고객 개인정보를 제공하는 것에 문제가 있다는 생각을 하지 못하였다고 진술하였다(2책 955-960면). 2. 2013. 6. 유출 가. 안전성 확보조치의무 불이행 1) 접근권한 관리 및 접근통제 조치의무 가) 작업장소를 AE센터로 이전한 후에도 USB메모리 '쓰기' 기능이 여전히 차단되지 아니하였고, I직원들 모두가 이를 알 정도가 되었다(1책 48, 207, 444면). FDS 업그레이드 용역에 투입된 I의 업무용 컴퓨터 14대 중에는 단 2대에만 보안프로그램이 설치되어 있었다(1책 444면). AE 센터에는 피고인 B 직원이 상주하지 아니하였고, 보안프로그램 설치 여부를 수시로 점검·관리하지 아니하였다(1책 48, 49, 851, 914면). USB메모리 반출·입 통제도 여전히 이루어지지 아니하였다(1책 534-536, 552, 811, 914, 921면). 나) I 모델러들은 피고인 B로부터 내부망을 통하여 전송받은 고객 개인정보를 업무용 컴퓨터 공유폴더에 저장하여 두고 자유롭게 활용하였다. H도 위 공유폴더에 접근하는 데 아무런 제약이 없었다(1책 202, 540-544, 554, 854-855면). 2) 암호화 조치의무 피고인 B가 위와 같이 내부망을 통하여 전송한 고객 개인정보도 고유식별정보를 변환하지 아니한 텍스트 파일 형태의 자료였고, 모델러들은 이를 그대로 업무용 컴퓨터 공유폴더에 저장하였다(1책 202, 555, 813, 856, 925면). 나. 미필적 고의 2013. 2. 유출과 관련해 앞의 1.의 나.에서 본 사정에 더하여, AE센터로 작업공간을 이동하는 과정에서 보안상 취약점이 늘어났음에도, I 직원들은 오히려 독립된 공간에서 작업하였고, 피고인 B 직원들의 관리·감독을 받지 아니하였다(1책 851-852, 917면, 2책 946-948면). Ⅴ. 피고인 C 1. 고객 개인정보 '유출' 가. 개인정보 '유출'의 의미 1) 대법원은 구 개인정보보호법 제29조와 유사한 내용을 규정하고 있는 정보통신망법 제28조 제1항에 규정된 개인정보 '누출'의 의미에 관하여, "정보통신망법으로 보호되는 개인정보의 '누출'이란 개인정보가 해당 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미하는바, 어느 개인정보가 정보통신서비스 제공자의 관리·통제 하에 있고 그 개인정보가 제3자에게 실제 열람되거나 접근되지 아니한 상태라면, 정보통신서비스 제공자의 기술적·관리적 보호조치에 미흡한 점이 있어서 제3자가 인터넷상 특정 사이트를 통해 정보통신서비스 제공자가 보관하고 있는 개인정보에 접근할 수 있는 상태에 놓여 있었다고 하더라도 그것만으로 바로 개인정보가 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 되었다고 할 수는 없다."고 판시하였다(대법원 2014. 5. 16. 선고 2011다24555 판결). 2) 구 표준 개인정보 보호지침(2011. 9. 30. 제정 행정안전부 고시 제2011-45호) 제26조는, "개인정보의 '유출'이라 함은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 또는 권한 없는 자의 접근을 허용한 것으로서, 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우, 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우, 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장매체가 권한이 없는 자에게 잘못 전달된 경우, 기타 권한이 없는 자에게 개인정보가 전달되거나 개인정보처리시스템 등에 접근 가능하게 된 경우 중 어느 하나에 해당하는 경우를 말한다."고 규정하고 있다. 3) 이상을 바탕으로, 개인정보의 '유출'은 고의·과실 여부를 불문하고 개인정보가 개인정보처리자의 관리·통제권을 벗어나거나, 권한 없는 자가 접근 가능한 상태에 이르게 되면 성립한다고 해석할 수 있다. 따라서 권한 없는 제3자가 개인정보를 취득하여야만 유출되었다고 볼 것은 아니다. 나. 사안의 경우 설령 H에게 피고인 C의 고객 개인정보에 대한 접근권한이 있었다고 하더라도, H가 그 권한범위를 넘어 AA에게 전달할 목적으로(1책 23면) 인가받지 아니한 USB메모리에 판시 고객 개인정보를 담아 반출한 이상, 피고인 C의 관리·통제권을 벗어난 상태에 이르렀다고 할 것이다. 따라서 판시 고객 개인정보가 유출되었다고 평가할 수 있다. 2. 안전성 확보조치의무 불이행 가. 접근권한 관리 및 접근통제 조치의무 1) H의 서명이 기재된 2013. 5. 13.자 '보안 준수사항 확인서'에 "공유폴더 사용 금지 등 PC 보안 항목을 준수할 것을 동의합니다."라는 내용이 기재되어 있는 사실은 인정할 수 있다(2책 1933, 2607면). 그러나 위 확인서에 H의 서명을 받았다는 것만으로 공유폴더 사용에 관한 접근권한 관리 및 접근통제 조치를 다하였다고 할 수 없다. 더욱이 H는 위 확인서 서명이 자신의 글씨가 아니라고 진술하였다(2책 6190면). 피고인 C 직원들이 실제로 I 직원들의 공유폴더 사용을 점검하거나 제재한 적은 없었다(1책 875, 892면). 2) 업무용 컴퓨터에 보안프로그램(데이터베이스 접근제어 BS, 매체제어 등 통합 PC 보안솔루션 BE 등)을 설치하는 것은 I 직원들에게 맡겨졌다. 리스크관리본부 채권관리 부문 FDS 팀 AL 과장, AM 대리, AN 대리(이상 1차 확인 담당)와 기획본부 정보전략 부문 정보기획팀 BT 보안파트장(사후 정기점검 담당), AX 팀장(최종 감독)은 보안프로그램이 설치되지 않으면 네트워크 접속 등 컴퓨터의 정상적인 사용이 불가능할 것으로 믿고 보안프로그램 설치 여부를 확인·관리하지 아니하였다. 그러나 보안프로그램이 설치되지 아니한 상태에서도 내부 네트워크 접속이 가능하였다(1책 49-52, 190~194, 563-567, 870-872, 892면, 2책 972, 6192면). 3) 보안프로그램이 설치되지 아니한 업무용 컴퓨터가 있었음에도 AL 과장 등은 보안프로그램이 제대로 작동할 것이라는 것만을 믿고 USB메모리 등 보조저장매체 반입을 정확하게 파악하지 아니하였다. H 서명이 기재된 2013. 5. 13.자 '보안서약서'에 "회사의 승인을 받지 아니한 정보저장처리장치를 사용하지 않겠습니다."라는 내용이 기재되어 있는 사실은 인정할 수 있으나(2책 1932, 2606면), H는 자신이 서명한 것이 아니라고 진술하였다(2책 6190면). FDS 개발작업이 진행되었던 8개월 동안 정보기획팀에 의한 사후 정기점검이 전혀 이루어지지 아니하였다(1책 188, 563- 568, 868, 897면, 2책 977-980, 6192면). 나. 암호화 조치의무 H도 "피고인 C로부터 '운영서버에서 실제로 관리하는 데이터'가 아니라 리뉴얼한 새시스템의 오픈을 앞두고 '예행연습용 데이터'를 업로드한 것이라는 이야기를 들었다."고 진술하였다(1책 873-874면). 그러나 피고인 C는 이른바 '이행(migration)' 및 그 예행연습(rehearsal)의 전 단계에서부터 이미 고유식별정보가 변환되지 아니한 고객 개인정보를 제공하였고, 모델러들은 이를 업무용 컴퓨터 공유폴더에 저장하여 두고 사용하였다(1책 188-189, 813, 873, 890-891면, 2책 983, 6185-6186면). 업무용 컴퓨터에 고유식별정보를 저장하면서 암호화를 하지 아니한 이상 암호화 조치의무를 위반한 것이다. 설령 피고인 측 주장과 같이 예행연습 단계에 변환하지 아니한 데이터가 필요하였고, H가 유출한 것이 그 데이터였다고 하더라도, 고객 개인정보 공유폴더에 대한 접근통제, USB 메모리 반출·입통제, 보안프로그램 설치·운영에 대한 관리·감독이 제대로 이루어졌다면 고객 개인정보 유출을 충분히 막을 수 있었다. 3. 미필적 고의 가. FDS 팀 AL 과장은 "보고서 작성, 이메일 전송 등을 위하여 보안프로그램을 설치하지 아니한 컴퓨터를 별도로 반입하여 사용하겠다."고 하는 H의 말을 들었지만, 별다른 조치를 취하지 아니하였다(1책 869-870, 969-970면, 2책 980-981면), 정보기획팀 AX 팀장은 "크고 작은 프로젝트가 다수 진행되고 있어서 업무가 바빠 정보기획팀 차원에서 사후 점검을 나가지 아니하였다."고 진술하였다(1책 565-566면, 2책 977-980면). 나. AL 과장은 "당시 회사의 보안시스템상 엑스레이 검색대 등 물리적 보안장치를 마련하지 못하였기 때문에(미인가 USB메모리 등) 장비 반출·입을 직접 확인하는 것은 어려웠고, 보안 전담 부서가 아니었기 때문에 부여된 임무 범위를 넘는 일을 할 수도 없었으며, 업무 분장에 관한 규정도 마련되어 있지 않았다."고 진술하였다(2책 973-981면). 개인정보보호책임자인 G도 "외부업체 직원이 고의적으로 장비를 신고하지 않고 반입한다면 같은 사무실에서 근무하면서 점검하는 외에는 따로 관리·통제하기가 어려웠을 것이다. H를 너무 믿은 탓에 관리가 부족하였던 것 같다."고 진술하였다(2책 1014-1017면). 다. 피고인 C FDS 팀 실무자들은 저마다의 상식 수준에서 프로젝트의 진행에만 초점을 두고 일반적 차원의 관리·감독업무를 하였으나, '보안'의 관점에서는 각자 어떤 역할을 하여야 하는지가 분명하지 아니하였다(2책 1015면). 정보기획팀은 보안프로그램을 믿고 보안상 위험성을 따로 관리하지 아니하였다(2책 976-987면). 이를테면, 정보기획팀 AX 팀장은 보안스티커를 배포하였다고 하고, FDS 팀 AL 과장은 보안스티커를 부착하도록 지시받은 사실이 없고, 보안스티커를 공급받은 일도 없다고 진술하였다(2책 982-983면). 양형의 이유 1. 공통참작사유 금융기관에서 관리·보호하고 있는 고객들의 개인정보가 불법적으로 유출되는 경우 피해자가 된 정보주체들은 자신의 정보가 본인의 의사와 무관하게 유출되었다는 것을 넘어 보이스피싱, 스미싱, 대출사기 등 금융범죄의 표적이 될 수 있는 위험에 노출된다. 피해자가 많게는 수천만 명에 이르고 피해 정보 건수도 억 단위에 이르는 등 지금까지 발생한 개인정보 유출 사건 중 가장 규모가 크다. 유출된 정보가 어느 정도로 확산되어 어떤 방식으로 악용될지 가늠하기 어렵고, 피해회복이 사실상 불가능하다. 대한민국 경제활동인구 대다수가 피해자라고 해도 과언이 아닌 이 사건으로 인하여 금융시스템 안전에 대한 사회적 신뢰가 현저히 훼손되었고, 이를 회복하기 위하여 지출하여야 하는 유·무형의 사회적 비용이 막대하다. H는 대단한 기술적 수단을 동원하여 이 사건 범행을 저지른 것이 아니라 누구나 시도할 수 있는 가장 단순하고 간편한 방법으로 개인정보를 유출하였다. 개인정보 처리에 관한 업무분장, 책임소재가 불분명하였다. 담당 임직원들의 전문성이 없고 업무에 대한 이해가 부족하였다. 피고인 회사들은 금융감독원으로부터 3개월 영업정지, 기관과태료 처분을 받았고, 그 임직원들도 정직, 감봉 등 징계를 받았다. 개인정보가 유출된 피해자들이 피고인 회사들을 상대로 제기한 여러 건의 민사소송이 진행 중이다. 2. 피고인 C 개인정보보호법이 제정되기 전인 2010. 4.경에도 H에 의하여 고객 1,000만여 명의 개인정보를 유출당한 사실이 있지만 이 사건 전까지 이를 인지하지 못하였다. H가 유출한 고객 개인정보를 집에서 보관하고 있다가 체포되어 유출된 정보가 더 이상 전파되지는 아니하였다. 무죄 부분 1. 피고인 A에 대한 2012. 12. 개인정보보호법위반의 점 가. 공소사실의 요지 피고인 A은 판시 2.의 나.와 같이 안전성 확보조치의무를 이행하지 아니하였다. H는 피고인 A 요청에 따라 2012. 11. 9. 피고인 A 카드사업부 사무실에서, 자신의 노트북 컴퓨터로 I와 피고인 A 사이의 '비정기채널' 데이터베이스에 접속하였고, 피고인 A으로부터 제공받은 카드고객의 주민등록번호를 입력하여 그에 해당하는 I의 고객별 CPS 정보(Credit Profile Services)를 다운로드받았다. H는 FDS 개발 프로젝트가 마무리되어 가던 2012. 12. 초순경 남아있던 업무용 컴퓨터 1대를 위 사무실에서 철수하게 되었는데, 컴퓨터를 철수할 때 피고인 A 직원들이 하드디스크 포맷 과정 및 데이터 삭제 여부를 제대로 점검하지 않는다는 것을 알게 되었다. H는 자신의 노트북 컴퓨터에 저장되어 있던 위 정보를, 내부 네트워크를 통하여 철수하는 위 업무용 컴퓨터의 'D 드라이브' 하드디스크에 복사한 뒤 운영체제가 설치된 'C 드라이브'를 포맷하여 해당 컴퓨터에 설치되어 있던 보안프로그램을 삭제하였다. 위 업무용 컴퓨터에 운영체제를 다시 설치하고 보안프로그램이 설치되지 아니한 상태에서 USB메모리를 연결한 후, 위와 같이 'D 드라이브' 하드디스크에 저장된 피고인 A 고객 약 2,259만 명의 개인정보(주민등록번호, 카드한도액, 카드이용액 등)를 위 USB메모리에 임의로 복사하여 가지고 나와 AA에게 전달하였다. 나. 판단 기록에 의하여 인정되는 다음과 같은 사실 및 사정에 의하면, 2012. 12. H가 유출한 고객 개인정보가 피고인 A이 보유·관리하고 있던 정보라고 보기 어렵고, 달리 이를 인정할 만한 증거가 없다. 이 부분 고객 개인정보에 대하여 피고인 A이 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다고 보기 어렵다. 1) H가 유출한 고객 개인정보 항목은 "카드 총 이용잔액, 연체 건수, 최장 연체일수, 대출기관 수, 대출 건수, 총 대출잔액" 등 CPS 정보 35개 항목으로서, 2012. 6. 18. 및 2012. 10. 18. 유출된 개인정보와는 그 항목이 전혀 다르고, 기존에 I가 피고인 A에 정기적으로 제공하고 있던 CPS 정보들과도 항목이 다르다. 위 항목들은 향후에 있을 추가계약에 대비하여 I 측에서 미리 제공한 CPS 정보들이었다. 2) 오직 공통되는 항목은 '주민등록번호'라고 할 수 있는데, 이는 H가 피고인 A의 고객에 대응되는 CPS 정보를 선택적으로 제공받기 위하여 일종의 '키 값'으로 입력한 것으로서, I에서 이미 다른 CPS 정보 항목과 결합된 상태로 보유하고 있던 정보이다. 3) H는 절차에 따라 피고인 A을 통하여 위 정보를 취득한 것이 아니라, I와 피고인 A 사이의 이른바 '비정기채널'에 자신의 공인인증서 및 사용자계정을 이용하여 접속한 후 임의로 위 정보를 다운로드받은 것이다. 다. 결론 그렇다면 이 부분 공소사실은 범죄의 증명이 없는 때에 해당하므로 형사소송법 제325조 후단에 의하여 무죄를 선고한다. 2. 피고인 A에 대한 각 개인정보보호법위반의 점 중 암호화 조치의무 불이행 부분 이 부분 공소사실의 요지는 "피고인 A이 암호화 조치의무를 이행하지 아니하여 판시와 같이 2회에 걸쳐 H에 의하여 고객 개인정보를 유출당하였다."는 것이다. 구 개인정보보호법 시행령 부칙(대통령령 제23169호, 2011. 9. 29.) 제4조(이하 '부칙 제4조'라 한다)는 "이 영 시행 당시 개인정보를 수집·보유하고 있는 개인정보처리자는 전자매체에 저장하는 개인정보에 대하여 2012년 12월 31일까지 제30조 제1항 제3호에 따른 암호화 조치(제21조에 따라 준용되는 고유식별정보에 관한 암호화 조치를 포함한다)를 마쳐야 한다."고 규정하고 있다. 그렇다면 2012. 6. 18. 및 2012. 10. 18. 발생한 피고인 A의 판시 유출범행에 대해서는 개인정보보호법령상 암호화 조치의무가 적용된다고 보기 어렵다. 구 개인정보보호법 제7조 및 제24조의 "(대통령령으로 정하는 바에 따른) 암호화 등 안전성 확보에 필요한 조치"라는 문구에 의한 '일반적 의무'가 검사가 적용한 법조를 근거로 한 형사처벌의 근거가 된다고 보기도 어렵고, 정보통신망법(제28조 제1항 제4호 등), 전자금융거래법, 전자금융감독규정의 암호화 관련 규정이 위 부칙 제4조에도 불구하고 개인정보보호법위반 여부를 판정하는 기준이 된다고 볼 수도 없다. 위 시행령의 위임을 받은 구 기준 제3, 4, 5, 7항이 암호화 적용이 유예되는 경우를 따로 한정하여 규정하고 있다고 하더라도 달리 볼 것은 아니다. 그렇다면 이 부분 공소사실은 범죄의 증명이 없는 때에 해당하여 형사소송법 제325조 후단에 의하여 무죄를 선고하여야 할 것이나, 이들과 일죄 관계에 있는 각 개인정보보호법위반죄를 유죄로 인정한 이상 따로 주문에서 무죄를 선고하지 아니한다. 3. 피고인 회사들에 대한 각 개인정보보호법위반의 점 중 나머지 안전성 확보조치의무불이행 부분 이 부분 공소사실 중 피고인 A에 대한 부분의 요지는 "피고인 A 개인정보보호책임자 D 등은 내부관리계획을 수립·시행하면서 개인정보 암호화에 관한 내용을 누락하는 등 이를 적절히 수립·시행하지 아니하였다. H에게 개인정보보호에 관한 교육을 실시하지 아니하였다. H로부터 보안서약서를 제출받지 아니하였다. I 직원들이 반입한 외장하드디스크 10개에 대하여 '장비반출입증'을 작성하지 아니하였다. 컴퓨터 7대, 노트북 2대가 반출되었음에도 하드디스크 포맷 여부를 확인하지 아니 하였다. FDS 용역계약 업무를 담당하던 카드신용관리부 BU 부장 등이 내부 보안성 검토 등을 거치지 아니하고 개인정보 유출 방지 대책을 수립하지 아니한 채 FDS 용역계약을 체결하여 진행하였다. AT 등을 비롯한 BV 직원 4명이 FDS 운영체제 계정 및 데이터베이스 계정('BW')을 공유하면서 사용하였고, 위 데이터베이스 계정을 이용하여 고객 개인정보를 추출한 후 인가받지 아니한 하드디스크에 복사하여 I 직원들에 제공하였다. 그로 인하여 판시와 같이 2회에 걸쳐 H에 의하여 고객 개인정보를 유출당하였다."는 것이다. 피고인 B에 대한 부분의 요지는 "피고인 B 개인정보보호책임자 E 등은 내부관리계획을 수립·시행하면서 개인정보 암호화에 관한 내용을 누락하는 등 이를 적절히 수립·시행하지 아니하였다. 회원탈퇴, 카드발급 심사탈락 등의 원인으로 처리 목적이 소멸한 약 2,518만 건(2013. 2. 기준)의 고객 개인정보를 별도로 보관하거나 삭제하지 아니하였다. H에게 개인정보보호에 관한 교육을 실시하지 아니하였다. H로부터 보안서약서를 제출받지 아니하였다. FDS 용역계약 업무를 담당하던 IT기획부 BX 부장 등이 내부 보안성 검토 등을 거치지 아니하고 개인정보 유출 방지 대책을 수립하지 아니한 채 FDS 용역계약을 체결하여 진행하였다. 정보개발부 과장 AI, 외주 용역업체 직원 BY, BZ 등이 FDS 운영체제 계정 및 데이터베이스 계정('CA')을 공유하면서 사용하고 있음에도, FDS 운영서버 내 개인정보에 대한 접근권한 부여·변경 현황을 점검하거나 그 내역을 저장·보관하지 아니하였다. FDS 가동상황 모니터링을 위한 단말기를 중요 단말기로 지정하지 아니하여 주기적인 점검 등 보안조치가 취해지도록 하지 아니하였다. 위 AI 등이 위 단말기 내에 FDS 운영체제 계정('CA')의 비밀번호를 저장하여, 지정된 아이콘만 클릭하면 계정이름과 비밀번호를 입력하지 않고 FDS 운영서버에 자동으로 접속되도록 관리하였다. 2013. 2.경부터 2013. 8.경까지 AI, BY 등이 FDS 운영서버에 접속하여 대량의 고객 개인정보를 조회하고 이를 I 직원들에게 제공하였음에도 이러한 접속기록을 보관·관리하지 아니하여 이를 정기적으로 확인·감독할 수 없도록 하였다. 그로 인하여 판시와 같이 2회에 걸쳐 H에 의하여 고객 개인정보를 유출당하였다."는 것이다. 피고인 C에 대한 부분의 요지는 "피고인 C 개인정보보호책임자 G 등은 내부관리계획을 수립·시행하면서 개인정보처리자의 역할 및 책임에 관한 사항을 누락하는 등 이를 적절히 수립·시행하지 아니하였다. 회원탈퇴, 카드발급 심사탈락 등의 원인으로 처리 목적이 소멸한 약 661만 건(2013. 1. 기준)의 고객 개인정보를 별도로 보관하거나 삭제하지 아니하였다. H에게 개인정보보호에 관한 교육을 실시하지 아니하였다. H로부터 보안서약서를 제출받지 아니하였다. 2012. 8. 2.경 자체감사결과 정보기획팀이 전산장비 반출·입 통제를 소홀히 하고 있음을 지적받았음에도 외부 용역업체 직원에 의한 고객 개인정보 유출 방지를 위한 대책을 강구하지 아니하였다. FDS 용역계약 업무를 담당하던 정보기획팀 AX 팀장 등이 내부 보안성 검토 등을 거치지 아니하고 개인정보 유출 방지 대책을 수립하지 아니한 채 FDS 용역계약을 체결하여 진행하였고, 그럼에도 개인정보파일을 적절히 관리·감독하지 아니하였다. H, L에게 CB CC, CD, 외주 직원 CE이 공유하며 사용하던 FDS 운영체제 계정 및 데이터베이스 계정('CF')을 사용하도록 하여 FDS 운영서버 및 개발서버에 있는 고객 개인정보에 대한 조회 권한을 부여하여 그에 대한 불필요한 접근을 최소화하지 못하고, FDS 개발서버의 접속권한 부여·변경 현황을 기록·보관하지 아니하여 접근권한 관리 등에 대한 점검을 어렵게 하였다. 2013. 5.경부터 2013. 12.경까지 H 등 I 직원들이 수회에 걸쳐 FDS 개발서버에 접속하여 대량의 고객 개인정보를 조회하였음에도 이러한 접속기록을 보관·관리하지 아니하여 이를 정기적으로 확인·감독할 수 없도록 하였다. 그로 인하여 판시와 같이 H에 의하여 고객 개인정보를 유출당하였다."는 것이다. 그러나 설령 피고인 회사들이 위 각 조치의무를 이행하지 아니하였다고 하더라도, 위 각 조치의무는 검사가 적용한 법조가 부과하거나 이를 구체화한 의무가 아니라 개인정보보호법의 다른 규정 또는 전자금융감독규정 등에 근거한 것으로서 이 사건 적용법조에 규정된 범죄의 성립과는 무관한 것이거나, 또는 그 조치의무 불이행과 개인정보 유출의 결과 사이에 상당인과관계가 있다고 보기 어렵다. 그렇다면 이 부분 공소사실은 모두 범죄의 증명이 없는 경우에 해당하여 형사소송법 제325조 후단에 의하여 무죄를 선고하여야 할 것이나, 이들과 일죄 관계에 있는 각 개인정보보호법위반죄를 유죄로 인정한 이상 따로 주문에서 무죄를 선고하지 아니한다. 4. 각 정보통신망이용촉진및정보보호등에관한법률위반 및 신용정보의이용및보호에관한법률위반의 점 가. 공소사실의 요지 피고인 A, B에 대한, 주위적 공소사실 중 각 정보통신망이용촉진및정보보호등에관한법률위반 및 신용정보의이용및보호에관한법률위반의 점은 "피고인 회사의 사용인 H가 피고인 회사의 업무에 관하여 판시와 같이 2회에 걸쳐 고객 개인정보를 빼내고 제3자에게 전달함으로써 정보통신망에 의하여 처리·보관·전송되는 타인의 비밀을 침해·누설함과 동시에 업무상 알게 된 타인의 신용정보를 업무 목적 외에 누설하였다."는 것이고, 예비적 공소사실인 각 정보통신망이용촉진및정보보호등에관한법률위반 및 신용정보의이용및보호에관한법률위반의 점은 "피고인 회사의 사용인 H가 위와 같이 정보통신망에 의하여 처리·보관·전송되는 타인의 비밀을 침해·누설함과 동시에 신용정보회사등으로부터 제공받은 개인신용정보를 타인에게 제공하였다."는 것이다. 피고인 C에 대한 공소사실 중 정보통신망이용촉진및정보보호등에관한법률위반의 점은 "피고인 회사의 사용인 H가 피고인 회사의 업무에 관하여 판시와 같이 고객 개인정보를 빼냄으로써 정보통신망에 의하여 처리·보관·전송되는 타인의 비밀을 침해하였다."는 것이다. 나. 판단 1) 법리 위 각 공소사실은 모두, H가 각 피고인 회사 사용인으로서 그 업무에 관하여 위법행위를 하였음을 전제로 피고인 회사들에 양벌규정인 정보통신망법 제75조 또는 구 신용정보법(2015. 3. 11. 법률 제13216호로 개정되기 전의 것, 이하 같다) 제51조를 적용하고 있다. 법인의 형사처벌은 형법상 행위자책임 원칙에 대한 예외로서, 현행 형법도 법인의 처벌은 법률상 특별규정이 있는 경우에 한하여 정책적으로 인정하는 입장에 입각하고 있음에 비추어, 손해의 공평한 분담이라고 하는 이념을 실현하기 위하여 인정되는 민사상 사용자 책임의 경우와는 달리 엄격하게 해석함이 타당하다(대법원 1983. 3. 22. 선고 80도1591 판결 등 참조). 정보통신망법 제75조 또는 구 신용정보법 제51조에서 말하는 법인의 사용인에는 법인과 정식 고용계약이 체결되어 근무하는 자뿐만 아니라 그 법인의 업무를 직접 또는 간접으로 수행하면서 법인의 통제·감독 하에 있는 자도 포함된다고 할 것이나(대법원 2012. 9. 13. 선고 2012도8676 판결, 2012. 5. 24. 선고 2011도11391 판결 등 참조), 사용인의 범칙행위에 의하여 법인을 처벌하기 위한 요건으로서 '법인의 업무에 관하여' 행한 것으로 보기 위해서는 객관적으로 법인의 업무를 위하여 하는 것으로 인정할 수 있는 행위가 있어야 하고, 주관적으로는 사용인이 법인의 업무를 위하여 한다는 의사를 가지고 행위함을 요한다. '업무관련성'을 판단함에 있어서는 법인의 적법한 업무의 범위, 사용인의 직책이나 직위, 사용인의 범법행위와 법인의 적법한 업무 사이의 관련성, 사용인이 행한 범법행위의 동기와 사후처리, 사용인의 범법행위에 대한 법인의 인식 여부 또는 관여 정도, 사용인이 범법행위에 사용한 자금의 출처와 그로 인한 손익의 귀속 여하 등 여러 사정을 심리하여 결정하여야 한다(대법원 2006. 6. 15. 선고 2004도1639 판결, 1997. 2. 14. 선고 96도2699 판결 등 참조). 2) 업무관련성 판단 검사가 제출한 증거에 의하면, H가 I와 피고인 회사들의 각 용역계약에 따라 피고인 회사들에 파견되어 각 회사의 통제·감독 하에서 각 회사 FDS 개발업무를 수행한 사실, 위 업무수행 기회에 판시와 같이 고객 개인정보를 유출한 사실을 인정할 수는 있다(정보통신망법 제25조 제4항 참조). 그러나 기록에 의하여 인정되는 다음과 같은 사정에 의하면, H의 판시 각 고객 개인정보 유출행위는 피고인 회사들의 '업무에 관하여' 한 행위라고 인정하기 어렵고, 달리 이를 인정할 만한 증거가 없다. 가) H의 판시 각 고객 개인정보 유출행위는 H의 고의적인 범죄행위로서, 객관적 외형상으로 각 피고인 회사의 업무를 위하여 한 것이라고 볼 수 없고, 주관적으로도 H가 각 피고인 회사를 위하여 한다는 의사를 가지고 고객 개인정보를 유출하였다고 볼 수 없다. H는 위 범행으로 2014. 6. 20. 정보통신망이용촉진및정보보호등에관한법률위반(정보통신망침해등)죄 및 신용정보의이용및보호에관한법률위반죄로 징역 3년을 선고받아 2014. 10. 16. 위 판결이 확정되었다. 나) H는 업무상 스트레스 등으로 충동적으로 판시 고객 개인정보를 유출하였다고 진술하였고(1차 녹취록 46, 47면), 그 중 일부를 AA에게 넘기고 1,657만 원가량을 수수하였다(1책 53, 56-1면). 다) 피고인 회사들이 비록 판시와 같이 안전성 확보조치의무를 불이행하기는 하였으나, H의 범행이 피고인 회사들의 인식 하에 일어난 범행은 아니다. 다. 결론 따라서 이 부분 각 공소사실은 나머지 점에 관하여 더 나아가 살펴볼 필요 없이 모두 범죄의 증명이 없는 때에 해당하므로 형사소송법 제325조 후단에 의하여 무죄를 선고한다.