개인정보처리시스템의 의미와 유출 방지 조치의무의 범위

교차 계열 AI 독립 판독 및 축별 대조

8개 축 중 8개 축 일치 GPT-6 Astra (OpenAI, codex CLI) · 2026-10-25

다른 계열 AI(GPT-6 Astra)가 1차 판독을 보지 않고 원문만 읽은 독립 판독과 대조한 결과 8개 축이 모두 일치했습니다.

원 응답과 대조 기록: 실행 조건 · 블라인드 판독 원본(JSONL) · 축별 대조 원본(JSONL) · SHA-256 목록(JSON)

심급별 판단 구조 및 선례 적용 범위(Distinguishing)

원심 판단과 대법원 법리의 대조

심급별 쟁점 배경: 원심인 서울고등법원 2020. 11. 4. 선고 2019누43964 판결은 원고가 이용자에게 제공한 응용프로그램인 알툴즈(알툴바)가 이용자의 개인정보가 저장된 데이터베이스와 연결되어 정당한 권한을 가진 이용자가 접근하면 그 개인정보를 불러와 조회할 수 있으므로, 그 응용프로그램이 이 사건 보호조치 기준 제4조 제5항의 개인정보처리시스템에 해당한다고 보았습니다. 이를 바탕으로 원고가 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 인가받지 않은 접근을 제한하고 불법적인 개인정보 유출 시도를 탐지하는 기능을 포함한 시스템을 운영하도록 한 제4조 제5항의 의무를 소홀히 하였다고 판단했습니다. 다만 구 정보통신망법 제28조 제1항 제2호와 구 정보통신망법 시행령 제15조 제2항 제2호에서 정한 침입차단·탐지시스템의 설치의무를 위반한 것으로는 볼 수 없으므로, 이 사건 과징금납부명령에는 과징금부과 재량행사의 기초가 되는 사실인정에 오류가 있어 재량권 일탈·남용의 위법이 있다고 판단했습니다.

대법원의 판단 기준: 대법원은 양쪽 상고이유 모두에서 잘못이 없다고 보았습니다. 원고의 상고이유에 대하여는 개인정보처리시스템의 개념과 제4조 제9항의 적용 범위에 관한 원심 판단이 법리에 부합하고 법리를 오해한 잘못이 없다고 하였으며, 피고의 상고이유에 대하여는 침입차단·탐지시스템 설치의무 위반이 인정되지 않는다는 원심 판단이 기록에 비추어 정당하고 필요한 심리를 다하지 않은 잘못이 없다고 하였으며, 과징금납부명령의 사실인정에 오류가 있다는 결론도 정당하다고 하였습니다. 관여 대법관의 일치된 의견으로 상고를 모두 기각했습니다.

선례 적용 시 구별할 사안의 경계(Distinguishing)

• 개인정보처리시스템의 의미에 관한 판단 전제인, 개인정보의 처리 과정에 관여하면서 데이터베이스와 연동되어 있지 않은 응용프로그램인 경우
• 구 정보통신망법 제28조 제1항 제2호와 구 정보통신망법 시행령 제15조 제2항 제2호가 직접 정하는 침입차단·탐지시스템의 설치의무 자체가 다투어지는 경우
• 판결이 개정 전 기준을 적용했으므로, 2020. 1. 2. 방송통신위원회 고시 제2019-13호로 개정된 보호조치 기준에 따른 조치인 경우

기록 대조 및 검토 사항

조치 당시 시행되던 보호조치 기준과 시행령의 버전을 확인합니다. 대법원의 판단이 모두 개정 전 문언을 전제로 하기 때문입니다. 이어 조치의 근거를 나눕니다. 제4조 제5항의 보호조치 의무인지, 제4조 제9항의 의무인지, 구 정보통신망법 제28조 제1항 제2호의 설치의무인지에 따라 결론이 갈리며, 원심은 첫째는 위반으로 보고 셋째는 위반으로 보지 않았고 그 차이에서 과징금의 위법성이 나왔습니다. 마지막으로 응용프로그램이 데이터베이스에 실제로 어떻게 연결되어 있고 접근 통제장치가 무엇인지 기록과 대조합니다.

판결 원문 발췌

판시사항

[1] 방송통신위원회 고시인 구 개인정보의 기술적·관리적 보호조치 기준 제4조 제5항의 ‘개인정보처리시스템’의 의미 및 개인정보처리시스템에 데이터베이스(DB)와 연동되어 개인정보의 처리 과정에 관여하는 응용프로그램 등이 포함되는지 여부(적극) [2] 방송통신위원회 고시인 구 개인정보의 기술적·관리적 보호조치 기준 제4조 제9항이 내부적인 부주의로 개인정보가 외부로 유출되는 사고뿐 아니라 외부로부터의 불법적인 접근에 따른 개인정보 유출 방지를 위한 조치의무까지 포함하는지 여부(적극)

판결요지

[1] 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2018. 9. 18. 법률 제15751호로 개정되기 전의 것) 제28조 제1항 제2호, 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(2020. 8. 4. 대통령령 제30894호로 개정되기 전의 것, 이하 ‘구 정보통신망법 시행령’이라 한다) 제15조 제2항 등 관련 규정의 체계와 입법 목적 및 구 정보통신망법 시행령 제15조 제2항 제1호와 구 개인정보의 기술적·관리적 보호조치 기준(2020. 1. 2. 방송통신위원회 고시 제2019-13호로 개정되기 전의 것, 이하 ‘보호조치 기준’이라 한다) 제2조 제4호에서 모두 ‘개인정보처리시스템’을 ‘개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템’으로 정의하고 있는 점 등에 비추어 볼 때, 위 보호조치 기준 제4조 제5항의 ‘개인정보처리시스템’은 개인정보의 생성, 기록, 저장, 검색, 이용과정 등 데이터베이스시스템(DBS) 전체를 의미하는 것으로, 데이터베이스(DB)와 연동되어 개인정보의 처리 과정에 관여하는 응용프로그램 등을 포함한다. [2] 구 개인정보의 기술적·관리적 보호조치 기준(2020. 1. 2. 방송통신위원회 고시 제2019-13호로 개정되기 전의 것, 이하 ‘보호조치 기준’이라 한다) 제4조 제9항은 “정보통신서비스 제공자 등은 취급 중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의 컴퓨터와 모바일 기기에 조치를 취하여야 한다.”라고 규정하고 있다. 위 보호조치 기준을 마련하도록 위임한 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2018. 9. 18. 법률 제15751호로 개정되기 전의 것) 제28조 제1항 제2호와 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(2020. 8. 4. 대통령령 제30894호로 개정되기 전의 것) 제15조 제2항 제2호가 모두 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영에 관하여 규정하고 있는 점 등에 비추어 보면, 위 보호조치 기준 제4조 제9항은 정보통신서비스 제공자 등의 내부적인 부주의로 개인정보가 외부로 유출되는 사고뿐만 아니라 정보통신서비스 제공자 등이 기술적 보호조치를 충분히 다하지 못하여 해킹과 같이 외부로부터의 불법적인 접근에 의해 개인정보가 외부로 유출되는 사고도 방지하려는 것으로 보아야 한다.

주문

상고를 모두 기각한다. 상고비용 중 원고의 상고로 인한 부분은 원고가, 피고의 상고로 인한 부분은 피고가 각각 부담한다.

참조조문

[1] 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2018. 9. 18. 법률 제15751호로 개정되기 전의 것) 제28조 제1항 제2호, 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(2020. 8. 4. 대통령령 제30894호로 개정되기 전의 것) 제15조 제2항, 제6항 [2] 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2018. 9. 18. 법률 제15751호로 개정되기 전의 것) 제28조 제1항 제2호, 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(2020. 8. 4. 대통령령 제30894호로 개정되기 전의 것) 제15조 제2항 제2호