서울중앙지방법원-2014고정1961

공소사실의 요지 피고인은 인터넷 상의 D라는 홈페이지를 통하여 학회 회원을 모집하고 학술대회 개최 및 학술정보 전달 등의 업무를 하는 사람이다. 정보통신서비스 제공자 등이 개인정보를 취급할 때에는 개인정보의 분실·도난·누출·변조 또는 훼손을 방지하기 위하여 개인정보에 대한 침입차단시스템을 설치 운영하여야하며 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한 보안조치, 백신 소프트웨어의 설치·운영 등 컴퓨터 바이러스에 대한 침해 방지조치, 그밖에 개인정보의 안전성 확보를 위한 기술적·관리적 조치를 하여야 한다. 그럼에도 불구하고, 피고인은 2014. 1. 24.경 서울 서초구 E빌딩 301호에서 정보통신서비스 목적으로 만들어진 'D' 인터넷 홈페이지(D) 내 접근 권한 및 인증을 받은 이용자만 접근이 가능한 관리자(admin) 페이지(D/admin/)에 기술적·관리적 조치를 취하지 않아 위 홈페이지에 회원리스트 페이지(D/admin/semi_sin_list.asp?search=name&amp;searchstr=&amp;amp;sort=name&amp;sc=)가 접근 권한 및 인증 없이 접속되게 하여 별지 범죄일람표와 같이 개인정보를 제공한 F 외 22명의 이름, 주민번호, 의사면허번호, 이메일주소, 핸드폰번호 등의 개인정보가 누출되게 하였다. 2. 판단 가. '정보통신서비스 제공자 등'에의 해당 여부에 대한 판단 '정보통신서비스 제공자 등'의 정의 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법'이라 한다)은 '정보통신서비스 제공자 등'을, '정보통신서비스 제공자' 즉, 전기통신사업법에 따른 허가를 받거나 등록 또는 신고를 하고 전기통신역무를 제공하는 전기통신사업자 및 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자와 위와 같은 정보통신서비스 제공자로부터 그가 제공하는 정보통신서비스를 이용하는 이용자의 개인정보를 제공받은 자로 정의하고 있다(정보통신망법 제2조 제1항 제3호, 제4호, 제25조 제1항). 피고인이 '정보통신서비스 제공자 등'에 해당하는지 여부에 대한 판단 (가) 먼저, 기록에 의하면 피고인이 전기통신사업자가 아님은 명백하다. (나) 다음으로, 피고인이 '영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자'에 해당하는지에 대하여 보건대, 검사가 제출한 증거들에 의하면, 피고인이 회장으로 있는 D의 이용약관 제23조가 '위 학회 운영에 소요되는 경비는 다음의 수입금으로 충당한다. 1. 입회금, 2. 연회비, 평생회비 및 부담금, 3. 보조금 및 찬조금, 4. 기타 수입금'이라고 규정하고 있는 사실, 위 학회가 그 인터넷 홈페이지의 '학술정보자료실'에 위 학회와 관련된 학술정보 등을 게재하고 있는 사실은 인정되나, 위 증거들만으로는 위 학회가 위 입회금 등을 학술정보 등의 제공에 대한 대가로 받았다거나, 학술정보 등을 '영리 목적'으로 제공하였다고 인정하기에 부족하고, 달리 이를 인정할 만한 증거가 없다. (다) 마지막으로, 검사가 제출한 증거들에 의하면, 공소사실 기재 개인정보(이하 '이 사건 개인정보'라고 한다)는 위 학회가 F 등 별지 범죄일람표 기재 각 사람들로부터 위 학회의 2011년 춘계학술대회에 대한 참가 접수를 받으면서 제공받은 것 등으로 보일 뿐, 위 증거들만으로는 위 개인정보가 정보통신서비스 제공자로부터 제공받은 정보라고 인정하기에 부족하고, 달리 이를 인정할 만한 증거가 없다. 소결론 결국, 검사가 제출한 증거들만으로는 피고인이 정보통신망법 제73조 제1호, 제28조 제1항 제4호 위반죄의 주체인 '정보통신서비스 제공자 등'에 해당한다고 인정하기에 부족하고, 달리 이를 인정할 만한 증거가 없다. 나. '개인정보 누출' 여부에 대한 판단 '개인정보 누출'의 의미 정보통신망법으로 보호되는 '개인정보의 누출'이란, 개인정보가 해당 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미하는바, 어느 개인정보가 정보통신서비스 제공자의 관리·통제하에 있고 그 개인정보가 제3자에게 실제 열람되거나 접근되지 아니한 상태라면, 정보통신서비스 제공자의 기술적·관리적 보호조치에 미흡한 점이 있어서 제3자가 인터넷상 특정 사이트를 통해 정보통신서비스 제공자가 보관하고 있는 개인정보에 접근할 수 있는 상태에 놓여 있었다고 하더라도 그것만으로 바로 개인정보가 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 되었다고 할 수는 없다(대법원 2014. 5. 16. 선고 2011다24555, 24562 판결 참조). 공소사실 기재 개인정보의 누출 여부에 대한 판단 (가) 인정사실 이 사건 증거들에 의하면, 다음 사실이 인정된다. D의 인터넷 홈페이지(D)는 G이라는 웹호스팅(Web Hosting) 회사가 H이라는 회사를 대행자로 하여 관리하고 있는데, 위 홈페이지의 웹 서버(Web Server)와 데이터베이스(DB) 서버는 분리되어 관리되고 있다. 이 사건 개인정보나 회원정보 등 위 학회가 관리하는 개인정보는 위 홈페이지의 MS SQL 데이터베이스 서버에 저장되어 있고, 위 서버에 저장되어 있는 자료 등에 대한 업로드(Upload)나 수정 등은 H 회사가 FTP 서버에 접속하여 이를 행하고 있는데, 이 사건 당시 위 FTP 서버에의 접속은 위 회사의 직원인 I만이 할 수 있었다. 한편, 위 학회 인터넷 홈페이지 주소 아래의 admin(D /admin) 폴더는 위 홈페이지를 관리하는 관리자 메뉴가 있는 곳으로, 위 폴더에의 접속은 인증된 관리자 아이디(ID) 및 비밀번호를 통한 로그인(log-in) 절차를 거쳐야만 가능하도록 되어 있었고, 위 폴더의 하위 폴더 내지 하위 파일에의 접속 또한 위 절차를 거쳐 관리자 인증을 받은 다음 위 admin 폴더를 거쳐야만 이루어질 수 있었다. 그런데, 경찰은 공소사실 기재 일자에 인터넷 구글(Google) 사이트의 특유한 검색기능을 이용하여 위 사이트 검색창에, "URL 안에 'admin J'이라는 특정단어가 포함된 모든 URL을 검색하라"는 의미의 'inurl:admin J'이라는 검색어를 입력하여, 위 검색어가 포함된 약 95,000개의 결과를 검색하였는데, 그 중에는 위 학회와 관련된 '이름 D/admin/semi_sin_list.asp?search=name.sort.sc. 15개 항목 - NO·회원 구분·이름, 제목, 신청일·입금예정일 입금확인·입금자 . 127 F 2011.03.31. F.126 K 2011.03.28. K.'이라는 검색결과가 포함되어 있었다. 계속하여 경찰은 위 학회 관련 위 검색결과를 통해, 위 학회 인터넷 홈페이지의 admin 폴더를 거치지 않은 채, 직접 위 폴더 하위의 '위 학회 2011년 춘계학술대회 참가 접수자 리스트' 파일 URL(D/admin/semi_sin_list.asp?search= name&amp;searchstr=&amp;sort=name&amp;sc=)에 접속하여, 별지 범죄일람표 기재와 같은 위 학술대회 참가 접수자들의 개인정보를 열람하는 한편, 각 관련 인터넷 화면을 캡쳐·출력하였고, 위 각 인터넷 화면 캡쳐물이 이 사건 공소사실에 대한 증거로 제출되었다. 피고인은 경찰로부터 이 사건에 관한 내용을 고지받고, 위 I을 통해 2014. 1. 29.경 위 인터넷 홈페이지의 관리자 프로그램의 소스코드를 수정하여 관리자 인증절차를 거쳤는지를 검사하는 기능을 추가하고, 회원들의 비밀번호를 암호화하였으며, 위 홈페이지의 웹 서버에 SSL 보안인증서를 설치하는 등으로 위 홈페이지에 대한 기술적·관리적 보호조치를 강화하였고, 그에 따라 구글 사이트 검색을 통한 위와 같은 접속이 불가능하게 되었다. (나) 판단 위 인정사실에 의하면, 위 학회 2011년 춘계학술대회에 대한 참가 접수자들의 개인정보가 담긴 파일이 위 학회 인터넷 홈페이지 관리자의 미흡한 기술적·관리적 보호조치로 인하여 제3자가 그 내용을 알 수 있는 상태에 있었음은 인정된다. 그러나, 같은 사실에 의하면, 위 파일은 여전히 위 홈페이지 관리자의 관리·통제하에 있었고, 위 파일에 담긴 위 참가 접수자들의 개인정보는 경찰 외의 제3자에게는 실제 열람되거나 접근되지 아니한 것으로 보이는바, 위와 같은 미흡한 기술적·관리적 보호조치로 인해 제3자가 구글이라는 특정한 인터넷 사이트를 통해 위 개인정보에 접근할 수 있는 상태에 놓여 있었다고 하더라도, 그것만으로 바로 위 개인정보가 위 홈페이지 관리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 되었다고 할 수는 없다. 한편, 설령 경찰이 '제3자'에 해당한다 하더라도, 위 인정사실에 의하면, 경찰은 인터넷 구글 사이트에서 'inurl:admin J'이라는 검색어를 사용하여 95,000개의 검색결과를 얻어낸 다음 그를 통해, 위 홈페이지의 admin 폴더에 접근하기 위해서 필요한 권한이나 절차가 있는지 여부를 알아보지도 아니한 채 법원의 영장 없이, 그 접속에 위에서 본 것과 같은 관리자 인증절차가 필요한 위 홈페이지 관리자 폴더 하위의 파일에 접속하였는바, 이는 정보통신망 침해행위 등의 금지를 규정한 정보통신망법 제48조 제1항에 위반하는 위법한 수사라 할 것이어서, 그에 의하여 얻은 각 인터넷 화면 캡쳐물(수사기록 제24쪽 및 제25쪽)을 피고인에 대한 유죄의 증거로 삼을 수는 없고, 달리 위 개인정보가 경찰에 누출되었다고 인정할 만한 증거가 없다. 소결론 결국, 검사가 제출한 증거들만으로는 피고인이 공소사실 기재와 같이 개인정보를 '누출'하였다고 인정하기에 부족하고, 달리 이를 인정할 만한 증거가 없다. 3. 결론 그렇다면, 이 사건 공소사실은 범죄의 증명이 없는 경우에 해당하므로 형사소송법 제325조 후단에 의하여 피고인에게 무죄를 선고하고, 형법 제58조 제2항에 의하여 피고인에 대한 판결의 요지를 공시한다.