'고객정보 1억 건 유출' 카드 3사, 벌금형 확정

2013년 발생한 고객정보 1억 건 유출 사건으로 재판에 넘겨진 카드사에 벌금형이 확정됐다.

대법원 2부(주심 박상옥 대법관)는 개인정보보호법 위반 등 혐의로 기소된 KB국민카드, 농협은행, 롯데카드 등에 각 벌금형을 선고한 원심을 확정했다.

지난 2013년 신용정보 조회 업체 코리아크레딧뷰로(KCB) 소속 직원 박모 씨가 보안프로그램이 설치되지 않은 컴퓨터 등을 사용해 카드 3사 고객정보 1억 건을 유출하는 사건이 발생했다.

당시 카드사들은 KCB와 신용카드 부정사용 방지시스템(FDS) 모델링 개발용역 계약을 체결한 상태였다.

박 씨가 빼돌린 고객정보는 KB국민카드 5378만 건, 농협은행 2259만 건, 롯데카드 2689만 건 등 총 1억326만 건에 달했다. 박 씨는 이 중 일부를 대부중개업자에게 돈을 받고 팔아넘기기도 했다.

박 씨는 정보통신망법 위반 등 혐의로 기소돼 징역 3년이 확정됐다.

카드 3사는 박 씨에게 개인정보를 암호화 없이 주고, USB 반출을 통제하지 않는 등 고객 개인정보의 안전성 확보에 필요한 조치를 하지 않은 혐의 등으로 재판에 넘겨졌다.

1심은 “지금까지 발생한 개인정보 유출 사건 중 가장 규모가 크고, 어느 정도로 퍼져 악용될지 가늠하기 어렵고 피해회복이 사실상 불가능하다”며 KB국민카드, 농협은행에 벌금 1500만 원, 롯데카드에 벌금 1000만 원을 선고했다.

1심 재판부는 개인정보보호법 위반 혐의를 유죄로 보면서도 정보통신망법, 신용정보법 등 위반 혐의는 무죄 판단했다. 박 씨의 범행이 카드사들의 ‘업무에 관해’ 한 행위라고 인정하기 어려워 처벌 요건이 성립되지 않는다는 취지다.

2심은 “안전성 확보조치의무 불이행과 개인정보 유출 등 결과 발생 사이에 상당인과관계가 있어야 하나 카드사들의 의무 위반행위가 개인정보 유출을 발생하게 한 유일하거나 직접적인 원인일 필요까지는 없다”며 개인정보보호법 위반을 유죄로 본 1심 판단을 유지했다.

대법원도 하급심 판단이 옳다고 결론 내렸다.

한편 이 사건으로 피해를 본 고객들이 카드 3사 등을 상대로 제기한 손해배상 청구소송에서 2018년 12월 대법원은 10만 원의 위자료를 지급하도록 선고했다. 이후 대법원 판결에 따라 같은 내용의 소송들에 대해 하급심 재판부가 위자료를 지급하라는 화해 권고 결정을 했다.