과징금부과처분등취소청구의소

인터넷강의 웹사이트를 운영하며 개인정보처리자로서 113만 건의 개인정보를 수집·보유하고 있던 甲 주식회사가 크로스 사이트 스크립팅(Cross Site Scripting, 이하 'XSS'라 한다) 명령어가 포함된 해커의 게시글에 의하여 직원계정의 세션정보를 탈취당한 뒤 직원 및 회원 약 9만 5천 명의 개인정보를 유출당한 사실에 대하여, 甲 회사가 개인정보 보호법 제29조에 따른 안전조치의무를 다하지 않았다는 이유로 개인정보보호위원회가 甲 회사에 과징금 부과처분 등을 한 사안이다.

XSS 공격은 대표적인 해킹 기법 중 하나로 이를 예방하기 위한 보안대책들이 널리 알려져 있고, 게시물 작성 단계에서부터 입력값을 검증하여 악의적인 명령어가 등록되지 않도록 차단하는 방식은 개인정보 유출을 막기 위한 대표적인 안전성 확보조치라고 할 수 있는 점, 甲 회사는 불법이용신고 게시판에 관하여 입력값 검증 조치를 시행하지 않아 해커가 게시글 작성 시 악의적인 명령어를 등록했는데도 이를 차단하지 못한 점, 입력값 검증 등의 XSS 자동차단 정책의 경우 당시 기술수준으로 충분히 구현 가능하고, 보편적으로 알려져 있는 XSS 공격에 관한 예방방법일 뿐만 아니라 다수의 인터넷 사이트에서도 이를 적용해 오고 있어 입력값 검증이 甲 회사 인터넷강의 웹사이트의 이용에 막대한 지장을 가져올 정도의 기대하기 어려운 조치라고 보기 어려운 점 등을 종합하면, 甲 회사가 IP 주소 등을 분석하여 개인정보 유출시도를 탐지·대응하거나 개인정보가 유출되지 않도록 개인정보처리시스템에 조치를 취하는 등의 사회통념상 합리적으로 기대 가능한 정도의 안전성 확보조치를 다했다고 보기 어려우므로, 甲 회사는 개인정보 보호법 제29조, 같은 법 시행령 제30조 제3항 등에서 정한 안전성 확보조치를 제대로 이행하지 않았고, 개인정보 보호법의 입법 취지와 목적, 개정연혁과 이유, 법질서 전체와의 조화 등을 고려하면, 개인정보 보호법 제64조의2 제1항 제9호는 개인정보 유출이 발생한 경우 개인정보처리자의 안전조치의무 위반을 제재하기 위한 규정으로서 그 위반기간은 개인정보처리자가 안전조치의무를 위반한 기간을 의미하므로, 개인정보가 유출된 기간이 아니라 甲 회사가 안전조치의무를 위반한 기간을 위반기간으로 하여 산정한 과징금 부과처분이 적법하다고 한 사례이다.