소       장

원   고   별지 1 목록 기재와 같습니다.

피   고   1. 주식회사 케이비국민카드

서울 종로구 새문안로3길 30

대표이사 심 재 오

2. 주식회사 케이비금융지주

서울 중구 남대문로 84

대표이사 임  영  록

3. 롯데카드 주식회사

서울 중구 남창동 51-1

대표이사 박  상  훈

4. 농협은행 주식회사

서울 중구 새문안로 16

대표이사 김  주  하

5. 농협금융지주 주식회사

서울 중구 새문안로 16

대표이사 임  종  룡

6. 코리아크레딧뷰로 주식회사

서울 종로구 김상옥로 29

대표이사 김  상  득

손해배상(기)

청  구  취  지

1. 별지 1목록 기재 원고들에게,

가. 피고 주식회사 케이비국민카드와 피고 주식회사 케이비금융지주는 각자 피고 코리아크레딧뷰로 주식회사와,

나. 피고 롯데카드 주식회사는 각자 코리아크레딧뷰로 주식회사와,

다. 피고 농협은행 주식회사와 피고 농협금융지주 주식회사는 각자 피고 코리아크레딧뷰로 주식회사와

각 돈 500,000원 및 이에 대하여 이 사건 소장부본 송달 다음날부터 각 다 갚는 날까지 각 연 20%의 비율에 의한 돈을 각 지급하라.

2. 소송비용은 피고들의 부담으로 한다.

3. 제1항은 가집행할 수 있다.

라는 판결을 구합니다.

청  구  원  인

1. 당사자 등

피고 주식회사 케이비국민카드(이하 피고 국민카드라고 합니다), 피고 롯데카드 주식회사(이하 피고 롯데카드라고 합니다), 피고 농협은행 주식회사(이하 피고 농협은행이라고 합니다)는 각 신용카드, 선불카드, 직불카드 및 전자화폐의 발행, 판매 및 관리업무 등을 목적으로 하는 주식회사이고(갑 제1호증의 1 내지 3 각 법인등기부등본 참조),

피고 농협은행은 그 산하에 NH카드분사를 두고 있고(갑 제1호증의 4 2012년 농협은행 현황 참조), 피고 농협금융지주 주식회사는 지주회사로서 NH농협은행을 자회사로 두고 있습니다(갑 제1호증의 5 2013년 3/4분기 NH농협금융지주 현황 참조).

피고 주식회사 케이비금융지주(이하, ‘피고 케이비금융지주’라고 합니다)는  ㈜KB국민은행, (주)KB국민카드, KB투자증권㈜, KB생명㈜, KB자산운용㈜, KB부동산신탁㈜, KB인베스트먼트㈜, KB신용정보㈜, ㈜KB데이터시스템, ㈜KB저축은행을 국내 계열사로 두고 있는 금융지주회사법상의 금융지주회사이고(갑 제1호증의 6 법인등기부등본 및 제1호증의 7 2013년 3분기 KB금융지주 현황 각 참조), 피고 농협금융지주 주식회사(이하 ‘피고 농협금융지주’라고 합니다)는 피고 농협은행 주식회사를 자회사로 갖는 금융지주회사법상의 금융지주회사이고(갑 제1호증의 8 법인등기부등본 참조),

피고 코리아크레딧뷰로(주)(이하 피고 크레딧뷰로라고만 합니다)는 은행, 신용카드사 등이 출자하여 금융회사로부터 개인의 거래정보를 수집, 가공 및 유통하는 신용정보관리회사입니다(갑 제1호증의 9 법인등기부등본 참조).

한편, 원고들은 피고 국민카드, 롯데카드, 농협은행(이하 ‘피고 카드회사’라고 합니다)과 신용카드 이용약정을 체결한 사람들로서 피고들 회사의 관리부실 등으로 인하여 개인정보를 유출당한 피해자들입니다.

2. 이 사건의 경위

피고 크레딧뷰로(KCB)와 피고 카드회사를 포함한 6개 금융기관이 FDS(부정사용방지시스템 시스템) 구축 용역계약을 체결하고 이를 수행하던 중, 위 FDS 구축을 수행하던 피고 크레딧뷰로 직원인 소외 박시우가 운영하던 4대의 PC 중 2대에 보안프로그램이 설치되지 않아 2012. 초순경부터 원고들의 개인정보를 포함한 피고 카드회사들 이용회원의 개인정보를 이동식저장장치(USB)에 저장하여 반출하는 방법으로 유출하였고(이하 이 사건 개인정보 유출사고라고 합니다), 그 이후 매달 돈 200만 원을 받기로 하는 조건으로 ANR이라는 광고대행업을 운영하는 소외 조민재에게 위 개인정보를 전달하였습니다.

3. 유출된 개인정보의 내용

가. 피고 국민카드의 경우

이 사건 개인정보 유출사고로 인하여 피고 국민카드의 경우 2013. 6.경부터 약 5,300만건의 개인정보 등이 유출되었습니다. 유출된 정보는 구체적으로 확인되지 않고 있으나, 피고 롯데카드와 피고 농협은행과 유사할 것으로 추정되며, 추후 증거자료를 제출하도록 하겠습니다.

나. 피고 롯데카드의 경우

이 사건 개인정보 유출사고로 인하여 피고 롯데카드의 경우 2013. 12.경 약 2,600만건이 유출되었으며, 유출된 정보는 카드 이용자의 이름, 주민번호, 카드번호 및 유효기간, 결제계좌번호, 직장주소, 자택주소, 기타주소, 직장전화, 자택전화, 휴대전화, 2013. 9월과 10월 당시 타사카드 보유상태 등 총 12가지 항목에 이릅니다(갑 제2호증의 1 개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사 경과보고 참조).

다. 피고 농협은행의 경우

이 사건 개인정보 유출사고로 인하여 피고 농협은행의 경우 약 2,500만건이 유출되었으며, 유출된 정보는 카드 이용자의 이름, 주민번호, 여권번호, 카드번호 및 유효기간, 결제계좌번호, 카드정보, 이메일, 직장주소, 자택주소, 직장정보, 직장전화, 자택전화, 휴대전화, 신용한도, 연소득 등 총 16개 항목에 이릅니다(갑 제2호증의 2 개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사 경과보고 참조).

라. 유출된 개인정보의 중요성

특히, 이 사건 개인정보 유출사고로 유출된 정보는 위 개인정보 이외에도 카드 사용자가 평소 얼마나, 어디에서 주로 물건을 구매하는지를 보고 이상 패턴을 감지해 문자로 알려주는 ‘부정사용방지시스템’ 개발에 활용됐던 자료로서 고급 신용정보까지 포함하고 있습니다(갑 제2호증의 3 2014. 1. 8.자 한겨례 신문기사 참조).

4. 손해배상책임

가. 피고 국민카드, 피고 롯데카드, 피고 농협은행의 경우

(1) 개인정보보호법 위반

(가) 법률 규정

■ 제3조(개인정보 보호 원칙)

① 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그      목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수     집하여야 한다.

②, ③ (각 생략)

④ 개인정보처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체     의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안     전하게 관리하여야 한다.

(이하 생략)

■ 제26조(업무위탁에 따른 개인정보의 처리 제한) ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적·관리적 보호조치에 관한 사항

3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

(이하 생략)

■ 제28조(개인정보취급자에 대한 감독)

① 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자(이하 "개인정보취급자"라 한다)에 대하여 적절한 관리·감독을 행하여야 한다.

② 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다.

■ 제29조(안전조치의무) 개인정보처리자는 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다.

■  제34조(개인정보 유출 통지 등)

① 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사실을 알려야 한다.

1. 유출된 개인정보의 항목

2. 유출된 시점과 그 경위

3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

4. 개인정보처리자의 대응조치 및 피해 구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

②, ③ (생략)

④ 제1항에 따른 통지의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

■ 제39조(손해배상책임)

① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.

② 개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리하지 아니한 경우에는 개인정보의 분실·도난·유출·변조 또는 훼손으로 인한 손해배상책임을 감경받을 수 있다.

(나) 개인정보처리자로서의 의무 위반

피고 카드회사들은 개인정보처리자로서, 개인정보보호법 제3조 제4항에 따라 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 하고, 제26조에 따라 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, 개인정보의 기술적·관리적 보호조치에 관한 사항, 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항 등을 포함한 문서에 의하여야 하며, 제28조 제1항에 따라 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자에 대하여 적절한 관리·감독을 행하여야 할 의무가 있으며, 제29조에 따라 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 할 의무가 있습니다. 그럼에도 불구하고 피고 카드회사들은 개인정보처리자로서의 의무를 게을리하여 피고 크레딧뷰로 직원인 소외 박시우가 원고들의 개인정보를 포함한 피고 카드회사들 이용회원의 개인정보를 이동식저장장치(USB)에 저장하여 반출하는 방법으로 유출하도록 하였습니다.

(다) 개인정보 유출 통지 의무

피고 카드회사들은 개인정보처리자로서 개인정보보호법 제34조 제1항에 따라 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 ① 정보주체에게 유출된 개인정보의 항목, ② 유출된 시점과 그 경위, ③ 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, ④ 개인정보처리자의 대응조치 및 피해 구제절차, ⑤ 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 등의 사실을 알려야 하며, 제34조 제4항 및 시행령 제40조 제3항에 따라 개인정보가 유출되었음을 알게 되었을 때에는 서면등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 법 제34조제1항 각 호의 사항을 7일 이상 게재하는 등의 방법으로 지체 없이 정보주체에게 알려야 할 의무가 있습니다. 그럼에도 불구하고 피고 카드회사들은 원고들에게 서면등의 방법으로 통지를 하지 않았으며, 피해 구제절차에 대한 사실을 알리지도 않았습니다.

(라) 개인정보보호법 제39조에 따른 손해배상책임

피고 카드회사들은 개인정보처리자로서 위와 같이 개인정보보호법을 위반하여 정보주체인 원고들에게 손해를 입혔으므로 피고 카드회사들은 개인정보보호법 제39조에 따라 원고들에게 그 손해를 배상할 책임이 있다고 할 것입니다.

(2) 신용정보의 이용 및 보호에 관한 법률 위반

(가) 법률 규정

■ 제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

1. "신용정보"란 금융거래 등 상거래에 있어서 거래 상대방의 신용을 판단할 때 필요한 다음 각 목의 정보로서 대통령령으로 정하는 정보를 말한다.

제2조(정의)

① 「신용정보의 이용 및 보호에 관한 법률」(이하 "법"이라 한다) 제2조제1호 각 목 외의 부분에서 "대통령령으로 정하는 정보"란 다음 각 호의 어느 하나에 해당하는 정보를 말한다.(중략)

1. 법 제2조제1호가목의 특정 신용정보주체를 식별할 수 있는 정보: 생존하는 개인의 성명, 주소, 주민등록번호, 외국인등록번호, 국내거소신고번호, 여권번호, 성별, 국적 및 직업 등과 기업(사업을 경영하는 개인 및 법인과 이들의 단체를 말한다. 이하 같다) 및 법인의 상호, 법인등록번호, 사업자등록번호, 본점 및 영업소의 소재지, 설립연월일, 목적, 영업실태, 종목, 대표자의 성명 및 임원 등에 관한 사항(제2호부터 제5호까지의 어느 하나에 해당하는 정보와 결합되는 경우만 해당한다)

2. 법 제2조제1호나목의 신용정보주체의 거래내용을 판단할 수 있는 정보: 대출, 보증, 담보제공, 당좌거래(가계당좌거래를 포함한다), 신용카드, 할부금융, 시설대여와 금융거래 등 상거래와 관련하여 그 거래의 종류, 기간, 금액 및 한도 등에 관한 사항

3. 법 제2조제1호다목의 신용정보주체의 신용도를 판단할 수 있는 정보: 금융거래 등 상거래와 관련하여 발생한 연체, 부도, 대위변제, 대지급과 거짓, 속임수, 그 밖의 부정한 방법에 의한 신용질서 문란행위와 관련된 금액 및 발생ㆍ해소의 시기 등에 관한 사항. 이 경우 신용정보주체가 기업인 경우에는 다음 각 목의 어느 하나에 해당하는 자를 포함한다.

가. 「국세기본법」 제39조제2항에 따른 과점주주로서 최다출자자인 자

나. 「국세기본법」 제39조제2항에 따른 과점주주인 동시에 해당 기업의 이사 또는 감사로서 그 기업의 채무에 연대보증을 한 자

다. 해당 기업의 의결권 있는 발행주식총수 또는 지분총액의 100분의 30 이상을 소유하고 있는 자로서 최다출자자인 자

라. 해당 기업의 무한책임사원

4. 법 제2조제1호라목의 신용정보주체의 신용거래능력을 판단할 수 있는 정보: 금융거래 등 상거래에서 신용거래능력을 판단할 수 있는 다음 각 목의 어느 하나에 해당하는 정보

가. 개인의 재산ㆍ채무ㆍ소득의 총액 및 납세실적

나. 기업의 연혁ㆍ주식 또는 지분보유 현황 등 기업의 개황(槪況), 판매명세ㆍ수주실적 또는 경영상의 주요 계약 등 사업의 내용, 재무제표(연결재무제표 및 결합재무제표를 포함한다. 이하 같다) 등 재무에 관한 사항과 「주식회사의 외부감사에 관한 법률」에 따른 감사인의 감사의견 및 납세실적

5. 법 제2조제1호마목에 따른 정보로서 다음 각 목의 어느 하나에 해당하는 정보

가. 법원의 금치산선고ㆍ한정치산선고ㆍ실종선고의 재판, 회생ㆍ개인회생과 관련된 결정, 파산선고ㆍ면책ㆍ복권과 관련된 결정, 채무불이행자명부의 등재ㆍ말소 결정 및 경매개시결정ㆍ경락허가결정 등 경매와 관련된 결정에 관한 정보

나. 국세ㆍ지방세ㆍ관세 또는 국가채권의 체납 관련 정보

다. 벌금ㆍ과태료ㆍ과징금 또는 추징금 등의 체납 관련 정보

라. 사회보험료ㆍ공공요금 또는 수수료 등 관련 정보

마. 기업의 영업에 관한 정보로서 정부조달 실적 또는 수출ㆍ수입액 등의 관련 정보

바. 개인의 주민등록 관련 정보로서 출생ㆍ사망ㆍ이민ㆍ부재에 관한 정보, 주민등록번호ㆍ성명의 변경 등에 관한 정보

사. 기업등록 관련 정보로서 설립, 휴업ㆍ폐업, 양도ㆍ양수, 분할ㆍ합병, 주식 또는 지분 변동 등에 관한 정보

아. 다른 법령에 따라 국가, 지방자치단체 또는 공공기관으로부터 받은 행정처분에 관한 정보 중에서 금융거래 등 상거래와 관련된 정보

자. 그 밖에 신용정보주체의 신용등급, 신용조회회사의 신용정보 제공기록 또는 신용정보주체의 신용회복 등에 관한 사항으로서 금융위원회가 정하여 고시하는 정보

② 법 제2조제2호에서 "대통령령으로 정하는 정보"란 제1항에 따른 신용정보 중 기업 및 법인에 관한 정보를 제외한 개인에 관한 신용정보를 말한다.

가. 특정 신용정보주체를 식별할 수 있는 정보

나. 신용정보주체의 거래내용을 판단할 수 있는 정보

다. 신용정보주체의 신용도를 판단할 수 있는 정보

라. 신용정보주체의 신용거래능력을 판단할 수 있는 정보

마. 그 밖에 가목부터 라목까지와 유사한 정보

2. "개인신용정보"란 신용정보 중 개인의 신용도와 신용거래능력 등을 판단할 때 필요한 정보로서 대통령령으로 정하는 정보를 말한다.

■ 제19조(신용정보전산시스템의 안전보호)

① 신용정보회사등은 신용정보전산시스템(제25조제6항에 따른 신용정보공동전산망을 포함한다. 이하 같다)에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대하여 대통령령으로 정하는 바에 따라 기술적·물리적·관리적 보안대책을 세워야 한다.

② (생략)

■ 제42조(업무 목적 외 누설금지 등)

① 신용정보회사등과 제17조제2항에 따라 신용정보의 처리를 위탁받은 자의 임직원이거나 임직원이었던 자(이하 "신용정보업관련자"라 한다)는 업무상 알게 된 타인의 신용정보 및 사생활 등 개인적 비밀(이하 "개인비밀"이라 한다)을 업무 목적 외에 누설하거나 이용하여서는 아니 된다.

(이하 생략)

■ 제43조(손해배상의 책임)

① 신용정보회사등과 그 밖의 신용정보 이용자가 이 법을 위반하여 신용정보주체에게 피해를 입힌 경우에는 해당 신용정보주체에 대하여 손해배상의 책임을 진다. 다만, 신용정보회사등과 그 밖의 신용정보 이용자가 고의 또는 과실이 없음을 증명한 경우에는 그러하지 아니하다.

② 채권추심회사 또는 위임직채권추심인이 이 법을 위반하여 채무자 및 그 관계인에게 손해를 입힌 경우에는 그 손해를 배상하여야 한다. 다만, 채권추심회사 또는 위임직채권추심인이 자신에게 고의 또는 과실이 없음을 증명한 경우에는 그러하지 아니하다.

③ 제4조제1항의 업무를 의뢰받은 신용정보회사가 자신에게 책임 있는 사유로 의뢰인에게 손해를 입힌 경우에는 그 손해를 배상하여야 한다.

④ 제17조제2항에 따라 신용정보의 처리를 위탁받은 자가 이 법을 위반하여 신용정보주체에게 피해를 입힌 경우에는 위탁자는 수탁자와 연대하여 손해배상책임을 진다.

⑤ 위임직채권추심인이 이 법 또는 「채권의 공정한 추심에 관한 법률」을 위반하여 채무자나 채무자의 관계인에게 손해를 입힌 경우 채권추심회사는 위임직채권추심인과 연대하여 손해배상책임을 진다. 다만, 채권추심회사가 자신에게 고의 또는 과실이 없음을 증명한 경우에는 그러하지 아니하다.

(나) 신용정보이용자 등으로서의 의무 위반

피고 카드회사들은 신용정보의 이용 및 보호에 관한 법률(이하 ‘신용정보보호법’이라 합니다) 제15조에서 규정한 신용정보회사등으로서, 제19조에 제1항에 따라 신용정보전산시스템(제25조제6항에 따른 신용정보공동전산망을 포함한다. 이하 같다)에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대하여 대통령령으로 정하는 바에 따라 기술적·물리적·관리적 보안대책을 세워야 하며, 제42조 제1항에 따라 제17조제2항에 따라 신용정보의 처리를 위탁받은 자의 임직원이거나 임직원이었던 자(이하 "신용정보업관련자"라 한다)는 업무상 알게 된 타인의 신용정보 및 사생활 등 개인적 비밀(이하 "개인비밀"이라 한다)을 업무 목적 외에 누설하거나 이용하여서는 안될 의무가 있습니다. 그럼에도 불구하고 피고 카드회사들은 신용정보회사등으로서의 의무를 게을리하여 피고 크레딧뷰로 직원인 소외 박시우가 원고들의 개인신용정보(주소, 주민등록번호, 신용카드의 종류 및 한도 등)를 포함한 피고 카드회사들 이용회원의 개인신용정보를 이동식저장장치(USB)에 저장하여 반출하는 방법으로 유출하도록 하였습니다.

(다) 신용정보보호법 제43조에 따른 손해배상책임

피고 카드회사들은 신용정보회사등과 그 밖의 신용정보 이용자로서 위와 같이 신용정보보호법을 위반하여 신용정보주체인 원고들에게 손해를 입혔으므로 피고 카드회사들은 신용정보보호법 제43조에 따라 원고들에게 그 손해를 배상할 책임이 있다고 할 것입니다.

(3) 전자금융거래법 제21조 위반

전자금융개법 제21조 제1항은 “금융회사·전자금융업자 및 전자금융보조업자(이하 "금융회사등"이라 한다)는 전자금융거래가 안전하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하여야 한다”고 규정하고 있고, 제2항은 “금융회사등은 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치, 소요경비 등의 정보기술부문 및 전자금융업무에 관하여 금융위원회가 정하는 기준을 준수하여야 한다.”고 규정하고 있습니다. 이를 위하여 전자금융감독규정과 금융위원회 고시 금융회사 정보기술부문 보호업무 모범 규준 등에는 전자금융거래의 안전성 확보 및 이용자 보호를 위하여 전살실 통제, 단말기 통제, 전산자료 보호 등 각종 기술적·물리적·관리적 안정성 확보조치 사항을 규정하고 있고, 금융회사는 자체적으로 고객정보보호를 위한 자체 규정 등 내부통제절차를 마련하여 운영하고 있습니다(갑 제3호증의 1 내지 4 각 국정조사 자료 참조). 그러나, 피고 카드회사들은 전산실 통제·단말기 통제·전산자료 보호 등을 위한 기술적·물리적·관리적 안정성 확보조치 의무를 게을리하여 피고 크레딧뷰로 직원인 소외 박시우가 원고들의 개인신용정보(주소, 주민등록번호, 신용카드의 종류 및 한도 등)를 포함한 피고 카드회사들 이용회원의 개인신용정보를 이동식저장장치(USB)에 저장하여 반출하는 방법으로 유출하도록 하였으므로 민법 제750조에 따라 원고들에게 그 손해를 배상할 책임이 있다고 할 것입니다.

나. 피고 크레딧뷰로의 경우

(1) 피고 크레딧뷰로는 2005. 2. 17개 금융회사들이 개인신용평가 선진화를 위해 설립한 기관입니다.

(2) 피고 크레딧뷰로는 2012. 5. 1. 위 박시우를 채용하여 FDS 컨설팅 프로젝트에 종사하도록 한 사용자로서 피용자가 개인정보 및 신용정보를 담당하는 사무집행을 함에 있어 정보유출이 일어나지 않도록 지도, 감독할 지위에 있음에도 불구하고 컨설팅 업무시 활용되는 PC에 보안 프로그램이 설치되지 않았고, USB 등 외부저장 매체를 원천적으로 사용할 수 없도록 차단하여야 함에도 불구하고 이를 하지 않았으며, 컨설팅 업무 현장에서의 제반 보안관리 수칙의 준수 여부에 대한 철저한 확인 및 점검을 하지 않음으로서 이 사건 개인정보 유축사고가 발생하였으므로 사용자로서 민법 제756조에 따른 사용자책임을 부담한다고 할 것입니다(갑 제4호증의 1 개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사 경과보고 참조).

(3) 특히 피고 크레딧뷰로의 직원 소외 박시우는 피고 카드회사들 이외에도 신한카드와 삼성카드의 프로젝트에도 참여를 하였으나(갑 제4호증의 2 참조), 위 2개 회사는 내부 보안지침 등을 준수하여 위 박시우가 개인정보 유출을 할 수 없었습니다. 신한카드는 위 박시우가 보안지침 등을 준수하지 않아 피고 크레딧뷰로에 담당직원의 교체 등을 요구하였음에도 불구하고 피고 크레딧뷰로는 이에 대해 아무런 조치를 취하지 않는 등 감독의무를 게을리하였습니다.

다. 피고 케이비금융지주 및 피고 농협금융지주의 경우

(1) 관련 규정

<금융지주회사법>

제15조(업무) 금융지주회사는 자회사의 경영관리업무와 그에 부수하는 업무로서 대통령령이 정하는 업무를 제외하고는 영리를 목적으로 하는 다른 업무를 영위할 수 없다.

제48조의2(고객정보의 제공 및 관리)

① 금융지주회사등은 「금융실명거래 및 비밀보장에 관한 법률」 제4조제1항 및 「신용정보의 이용 및 보호에 관한 법률」 제32조·제33조에도 불구하고 「금융실명거래 및 비밀보장에 관한 법률」 제4조에 따른 금융거래의 내용에 관한 정보 또는 자료(이하 "금융거래정보"라 한다) 및 「신용정보의 이용 및 보호에 관한 법률」 제32조제1항에 따른 대통령령으로 정하는 개인신용정보(이하 "개인신용정보"라 한다)를 그가 속하는 금융지주회사등에게 영업상 이용하게 할 목적으로 제공할 수 있다.  ② (생략)

③ 제1항 및 제2항에 따라 자회사등이 금융거래정보·개인신용정보 및 증권총액정보등(이하 "고객정보"라 한다)을 제공하는 경우에는 「신용정보의 이용 및 보호에 관한 법률」 제32조제7항을 적용하지 아니한다.  ④ 금융지주회사등은 고객정보의 엄격한 관리를 위하여 그 임원 중에 1인 이상을 고객정보를 관리할 자(이하 "고객정보관리인"이라 한다)로 선임하여야 한다.

⑤ (생략)

⑥ 금융지주회사등은 대통령령이 정하는 바에 따라 고객정보의 취급방침을 정하여야 하며, 이를 당해 금융지주회사등의 거래상대방에게 통지하거나 공고하고 영업점에 게시하여야 한다.

⑦ (생략)

시행령

제11조(금융지주회사의 업무 등)

① 법 제15조에서 "대통령령이 정하는 업무"라 함은 다음 각호의 업무를 말한다.  <개정 2010.1.18>

1. 경영관리에 관한 업무

가. 자회사등에 대한 사업목표의 부여 및 사업계획의 승인

나. 자회사등의 경영성과의 평가 및 보상의 결정

다. 자회사등에 대한 경영지배구조의 결정

라. 자회사등의 업무와 재산상태에 대한 검사

마. 자회사등에 대한 내부통제 및 위험관리 업무

바. 가목부터 마목까지의 업무에 부수하는 업무

2. 경영관리에 부수하는 업무 (각호 생략)

제27조의2(고객정보의 취급방침)

① 법 제48조의2제6항에 따라 금융지주회사등이 정하는 고객정보 취급방침(이하 이 조에서 "정보취급방침"이라 한다)에는 다음 각 호의 사항이 포함되어야 한다.

1. 제공되는 고객정보의 종류

2. 고객정보의 제공처

3. 고객정보의 보호에 관한 내부방침

② 금융지주회사등은 정보취급방침을 최초로 정하거나 변경한 경우에는 지체없이 기존의 거래상대방에게 통지하거나 일간신문 등에 공고하고 본점ㆍ지점 등 영업점과 컴퓨터통신에 게시하여야 한다.

③ 금융지주회사등은 금융거래를 개시한 경우에는 거래상대방에게 정보취급방침을 교부ㆍ설명(컴퓨터통신으로 거래를 개시한 경우에는 통지)하여야 하고, 연 1회 정기적으로 이를 통지 또는 일간신문 등에 공고하여야 한다.

④ 제2항 및 제3항의 정보취급방침의 통지는 우편ㆍ전자우편 등의 방법으로 할 수 있다.

⑤ 금융위원회는 제1항의 정보취급방침에 포함되는 내용에 관한 구체적인 사항을 정할 수 있다.

⑥ (생략)

나. 금융지주회사법 제15조 및 시행령 제11조 제1항 제1호 마목 위반

피고 케이비금융지주 및 피고 농협금융지주는 금융지주회사법 제15조에 따라 “자회사의 경영관리업무와 그에 부수하는 업무로서 대통령령이 정하는 업무를 제외하고는 영리를 목적으로 하는 다른 업무를 영위할 수 없”고, 시행령 제11조 제1항 제1호에 따라 경영관리에 관한 업무로서 자회사등에 대한 사업목표의 부여 및 사업계획의 승인, 자회사등의 경영성과의 평가 및 보상의 결정, 자회사등에 대한 경영지배구조의 결정, 자회사등의 업무와 재산상태에 대한 검사, 자회사등에 대한 내부통제 및 위험관리 업무 등을 수행하여야 합니다.

그러나 피고 케이비금융지주 및 피고 농협금융지주는 자회사인 카드회사들이 고객정보 보호를 위한 내부통제 규정을 마련하고 전자금융감독규정 제12조 및 제13조 등에 따라 자회사인 카드회사 직원들로 하여금 자료 접근 통제, 인터넷 차단 등을 통해 정보유출사고가 발생하지 않도록 감독하여야 하고, 자회사인 카드회사가 외주용역을 줄 경우에는 전자금융감독규정 제13조 및 제60조에 따라 외부 용역직원의 작업권한을 최소로 부여하고, 전산장비 반출입을 통제하여야 하며 고객정보가 유출되지 않도록 하여야 함에도 불구하고 통제 및 감독업무를 게을리하여 피고 크레딧뷰로 직원인 소외 박시우가 자회사인 카드회사에서 원고들의 개인신용정보(주소, 주민등록번호, 신용카드의 종류 및 한도 등)를 포함한 개인신용정보를 이동식저장장치(USB)에 저장하여 반출하는 방법으로 유출되게 하였으므로 민법 제760조에 따라 각 카드사와 공동으로 원고들이 입은 손해를 배상할 의무가 있다고 할 것입니다.

5. 정신적 손해의 발생 및 그 범위

가. 대법원 판례

대법원은 개인정보 유출에 의한 정신적 손해의 발생 및 그 범위에 관하여, “개인정보를 처리하는 자가 수집한 개인정보를 그 피용자가 해당 개인정보의 정보주체의 의사에 반하여 유출한 경우, 그로 인하여 그 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하였는지 여부는, 유출된 개인정보의 종류와 성격이 무엇인지, 개인정보의 유출로 정보주체를 식별할 가능성이 발생하였는지, 제3자가 유출된 개인정보를 열람하였는지 또는 제3자의 열람 여부가 밝혀지지 않았다면 제3자의 열람 가능성이 있었거나 앞으로 그 열람 가능성이 있는지, 유출된 개인정보가 어느 범위까지 확산되었는지, 개인정보의 유출로 추가적인 법익침해의 가능성이 발생하였는지, 개인정보를 처리하는 자가 개인정보를 관리해온 실태와 개인정보가 유출된 구체적인 경위는 어떠한지, 개인정보의 유출로 인한 피해의 발생 및 확산을 방지하기 위하여 어떠한 조치가 취하여졌는지 등 여러 사정을 종합적으로 고려하여 구체적 사건에 따라 개별적으로 판단하여야 한다.”라고 판시하고 있습니다(대법원 2012.12.26. 선고 2011다60797 판결 참조).

나. 본 사안의 경우

(1) 유출된 개인정보의 종류와 성격이 무엇인지

피고들이 유출한 원고들의 개인정보는 성명, 이메일, 휴대전화번호, 직장 및 자택전화번호, 주민번호, 직장정보, 주거상황, 카드이용실적금액, 카드 결제계좌, 연 소득, 카드 신용한도 금액, 카드 신용등급 등 원고들의 개인식별정보나 신용정보로서 중요하고 민감한 정보가 모두 유출되었다고 할 것입니다.

(2) 개인정보의 유출로 정보주체를 식별할 가능성이 발생하였는지 여부

위에서 살펴본 바와 같이 이 사건 개인정보 유출 사태로 인하여 원고들의 경우 원고들이 식별될 수 있는 정보들이 대량으로 유출되었다고 할 것입니다.

(3) 제3자가 유출된 개인정보를 열람하였는지 또는 제3자의 열람 여부가 밝혀지지 않았다면 제3자의 열람 가능성이 있었거나 앞으로 그 열람 가능성이 있는지 여부

이 사건 개인정보유출사태에 관한 검찰이 발표한 수사결과에 의하면 개인정보가 담긴 이동식저장장치(USB)가 압수되었다는 점, 2014. 2. 18. 국회 국정조사 청문회에 참석한 소외 박시우는 “실데이터를 수시로 요청해 받았다. 보안규정이 있긴 했지만 형식적으로 하는 서약서였다”라고 말했고, “정보 제공 대가로 비정기적으로 월 200만원 정도를 받았다”고 말했다는 점, 시외 박시우로부터 개인정보를 받은 소외 조민재는 “받은 정보 중 103만 건은 대출영업을 하는 이모씨에게 2,300만원을 받고 넘겼고, 나머지 정보는 그냥 갖고 있었다”고 말했다는 점, 참고인으로 나온 문송천 카이스트 교수는 “USB를 여러 번 카피하고 여러 곳에 배포했을 가능성이 크다”고 말했다는 점, 임종인 고려대 정보보호대학원장도 “피의자는 정보의 가치를 충분히 알고 있고 기술적 능력도 있다. 그대로 소지만 하고 있었다는 건 말이 안된다”고 말했다는 점, 이 사건 개인정보 유출자인 소외 박시우가 지난 2012.부터 정보를 외부로 불법 유출한 점, 그 대가로 2012. 10.부터 지금까지 1,650만원을 수령한 점 등의 사실을 종합하면, 원고들의 개인정보를 제3자가 열람하였을 가능성은 매우 높다고 할 것이고 앞으로도 그 열람 가능성은 상당하다고 할 것입니다(갑 제5호증의 1 2014. 2. 18.자 경향신문 기사 참조).

(4) 개인정보의 유출로 추가적인 법익침해의 가능성이 발생하였는지

한겨레신문은 ‘이번 개인정보 유출자들의 2차 피해 가능성은 매우 크다. 14일 검찰과 카드업계에 따르면, 카드사 고객정보 1억400만 건 중 주민등록번호, 대출거래 내용, 신용카드 승인 명세 등 민감한 ‘신용정보’가 총 5,391만 건으로 전체의 절반 이상을 차지한 것으로 드러났다. 금융위 관계자는 ‘이 사람이 카드론을 얼마 빌렸는지, 만기가 언제 돌아오는지를 알 수 있는 대출 및 연체기록 정보는 대출모집에 악용될 가능성이 있어 우려하고 있다’고 말했다.’, ‘실제로도 이번 정보유출의 목적은 대출모집이었다. 카드회사에서 정보를 빼낸 코리아크레딧뷰로(KCB) 직원 박아무개씨는 광고대행업을 하는 선배에게 돈을 받고 자료를 넘겼는데, 이들은 대출모집인을 대상으로 하는 ‘대출모집 프로그램’을 만들려 했던 것으로 드러났다. 카드사 관계자는 ‘원데이터를 카드론 만기일이 다가오는 순대로 정렬하거나, 다중채무자 순으로 정렬하는 등 가공할 수 있다면 집중적으로 텔레마케팅해 대출모집 성과를 올릴 수 있다. 전화나 스팸문자는 마케팅 비용도 얼마 들지 않고, 무작정 스팸을 보내는 것보다 성공 가능성이 크기에 대출모집인들은 웃돈을 주고서라도 구하려 할 것’이라고 말했다. 또 저축은행 등 금융사들은 케이시비 등 개인신용정보업체에 대출 신청자의 신용등급 등을 조회할 때마다 일정한 금액을 지급해야 해, 이런 개인정보를 가지고 있다면 조회 비용도 아낄 수 있다.’고 보도하여 이 사건 개인정보유출 사태의 2차 피해에 대한 우려가 심각한 수준임을 알 수 있습니다(갑 제5호증의 2 2014. 1. 14.자 한계레신문 기사 참조).

한편, 개인정보 및 신용정보는 개인정보평가업체 등을 통하여 다양한 방식으로 공유되고 위탁처리되어 순식간에 범죄단체 또는 대부업체등에 유출될 수 있어, 개인정보가 유출된 개인정보는 보이스피싱 뿐만 아니라 불법대부업 등에 의하여 악용될 가능성이 높고(갑 제5호증의 3 2014. 1. 27.자 한겨례21 기사 참조), 이미 이 사건 개인정보유출사고로 인하여 개인정보유출을 가장한 스미싱 피해사례가 발견되고 있어(갑 제5호증의 4 보안뉴스 2014. 2. 11자 기사 참조), 이 사건 개인정보 유출사고로 인하여 피해자들이 추가적인 피해를 입을 가능성이 높다는 사실을 알 수 있습니다.

(5) 개인정보를 처리하는 자가 개인정보를 관리해온 실태와 개인정보가 유출된 구체적인 경위는 어떠한지(피고들의 관리상 주의의무 위반)

이 사건 개인정보 유출사고는 피고 카드회사들이 개인정보보호 시스템을 허술하게 관리하였고, 피고 크레딧뷰로가 전산관리담당자에 대한 관리 감독을 해태하였기 때문에 발생하였습니다. 피고 크레딧뷰로 직원인 소외 박시우가 2011년 삼성카드, 신한카드 등과도 시스템 개발 작업을 수행했으나, 삼성카드사, 신한카드사는 이 사건 개인정보 유출사태를 겪지 않았다는 점에 비추어 피해를 입은 피고 카드회사들의 보안 체계에 문제가 있었다는 사실을 알 수 있습니다. 이는 위 박시우가 2014. 2. 18. 국회 국정조사 청문회에서 “삼성·신한카드는 물리적 보안이나 보안규정이 까다로워 아예 정보를 유출할 생각을 하지 않았다”고 답하였고, 이 자리에서 민주당 김영주 의원은 “지난해 7월 신한카드가 박씨의 교체를 요구하면서 교체 사유로 박씨가 실데이터 원본이나 USB(이동식저장장치) 사용 등을 요구한 것을 든 것으로 나와 있다. 그런데 국민·농협카드는 동일한 요구를 그대로 들어줘 피해를 봤다”고 지적한 사실을 보면 쉽게 알 수 있습니다.

피고 카드회사들 시스템 개발과 관련하여 개인정보 유출을 막을 수 있는 기본 보안 지침인 개인노트북 작업 금지, 이동식저장장치 저장 원천 금지 등의 기본적인 사항의 준수여부를 관리하지 않았고, 시스템 개발업무를 담당한 외부 직원에게 피고 카드회사들의 고객 정보에 접근할 수 있는 권한을 부여하였고, 시스템을 테스트할 때 가상데이터를 사용해야 함에도 피고 크레딧뷰로에 실제 고객정보를 제공하였고, 이마저도 암호화되지 않은 고객정보로서 외부 유출시 자유롭게 사용이 가능한 상태였고(갑 제2호증의 3 2014. 1. 8.자 한겨레신문 기사 참조), 크레딧뷰로의 근로자인 소외 박시우가 이를 이용하여 이 사건 개인정보를 유출하였습니다.

이와 관련하여 소외 신한카드사는 개발자 작업PC에 내장된 PC보안장치로 고객정보등 데이터 외부유출이 차단되도록 관리하고 있고, 데이터 보안관리를 위해 신한카드가 사용하는 모든 PC에 보안 툴을 설치하고, 고객정보를 암호화하여 관리하고 있으며 외부매체 사용을 차단하고 있고, 이러한 조치를 통하여 피고 크레딧뷰로에 의한 고객정보 유출 사고를 예방할 수 있었습니다(갑 제5호증의 5 2014. 2. 11.자 보안뉴스 기사 참조).

한편, 피고 크레딧뷰로는 피고 카드회사들에 부정사용방지시스템 구축을 하면서 피고 카드회사들과 협의하여 개인정보 및 신용정보가 유출되지 않도록 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 할 의무와 피고 크레딧뷰로의 근로자에 대한 관리감독을 할 의무가 있었음에도 이를 해태하여 이 사건 개인정보유출이 발생하도록 하였습니다. 위 신한카드사의 개인정보 유출 방지 대책과 본 피고들의 부실한 개인정보관리에 비추어 이 사건 개인정보 유출사고는 피고들의 관리상 주의의무 위반에 기하여 발생한 것임이 명백합니다.

다. 손해배상의 범위

이 사건 개인정보유출사고로 인하여 ① 원고들의 소중한 개인정보 및 신용정보가 권한없는 자들에게 유출되어 유통되었다는 점, ② 유출된 개인정보 및 신용정보는 이름과 주민등록번호, 직장정보, 주거상황, 카드이용실적금액, 카드 결제계좌, 연 소득, 카드 신용한도 금액, 카드 신용등급 등 고도의 보안을 요하는 원고들의 신용에 관한 정보들을 포함하고 있다는 점, ③ 이와 같은 개인정보 및 신용정보는 범죄단체 또는 대부업체 등에 불법유통되어 원고들이 범죄의 표적이 될 위험 또한 충분히 예상할 수 있다는 점, ④ 유출된 원고들의 개인정보가 고도의 보안을 요하는 신용정보이고, 이후 위 정보가 불법유통되고 원고들이 범죄의 표적이 될 개연성이 충분하다는 점, ⑤ 이 사건 개인정보유출사고가 고도의 기술에 의한 침해로 인해 발생한 것이 아니라 기본적인 정보보안 수칙조차 준수하지 않아 발생한 것이라는 점, ⑥ 개인정보 및 신용정보 유출자인 피고 크레딧뷰로의 직원인 소외 박시우가 이미 제3자에게 개인정보를 유통시킨 점 등을 종합하면, 원고들이 입은 정신적 손해에 대한 배상금으로 각 금 500,000원을 지급하는 것이 적절하다고 할 것입니다.

라. 소결

위와 같이 이 사건 개인정보유출사고는 피고들의 관리의무 해태로 인하여 발생한 것인 바, 원고들에 대하여 개인정보 유출로 인한 위자료로서 각 금 500,000원을 지급할 의무가 있다고 할 것입니다.

6. 결어

원고들은 피고들이 개인정보 및 신용정보를 안전하게 보관할 의무를 해태하여 이 사건 개인정보유출사고를 한 것에 대한 정신적 손해를 배상받고자 이 사건 소를 제기하였는 바, 피고 케이비국민카드 및 피고 케이비금융지주는 피고 크레딧뷰로와 부진정연대책임으로, 피고 롯데카드는 피고 크레딧뷰로와 부진정연대책임으로, 피고 농협은행 및 피고 농협금융지주는 피고 크레딧뷰로와 부진정연대책임으로 원고들에게 각 금 500,000원 및 이에 대하여 이 사건 소장부본 송달일 다음날부터 다 갚는 날까지 소송촉진 등에 관한 특례법 소정의 연 20%의 비율에 의한 지연손해금을 지급할 의무가 있다고 할 것입니다.

입 증 방 법

1. 갑 제1호증의 1	법인등기부 등본(케이비국민카드)

1. 갑 제1호증의 2	법인등기부 등본(롯데카드)

갑 제1호증의 3	법인등기부 등본(농협은행)

갑 제1호증의 4	2012년 농협은행 현황

갑 제1호증의 5	2013년 3/4분기 NH농협금융지주 현황

갑 제1호증의 6	법인등기부 등본(케이비금융지주)

갑 제1호증의 7	2013년 3분기 KB금융지주현황

1. 갑 제1호증의 8	법인등기부 등본(농협금융지주)

1. 갑 제1호증의 9	법인등기부 등본(코리아크레딧뷰로)

1. 갑 제2호증의 1	개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사 경과보고(롯데카드)

1. 갑 제2호증의 2	개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사 경과보고(농협카드)

1. 갑 제2호증의 3	2014. 1. 8.자 한겨례 신문기사

1. 갑 제3호증의 1 내지 4	국정조사 자료

1. 갑 제3호증의 5	금융회사의 개인정보보호 자가진단·조치 매뉴얼

1. 갑 제4호증의 1	개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사 경과보고(코리아크레딧뷰로)

갑 제4호증의 2	국정조사 자료

갑 제5호증의 1	2014. 2. 18.자 경향신문 기사

1. 갑 제5호증의 2	2014. 1. 14.자 한겨레신문 기사

1. 갑 제5호증의 3	2014. 1. 27.자 한겨레 21 기사

1. 갑 제5호증의 4	2014. 2. 11.자 보안뉴스 기사

1. 갑 제5호증의 5	2014. 2. 11.자 보안뉴스 기사

갑 제6호증의 1내지101	개인정보 유출여부 확인(국민카드)

갑 제7호증의 1내지101	개인정보 유출여부 확인(롯데카드)

갑 제8호증의 1내지101	개인정보 유출여부 확인(농협카드)

첨 부 서 류

1. 소송위임장	1부

1. 담당변호사 지정서	1부

1. 소장부본	6부

1. 납부서	1부

2013.    2.   27.

위 원고들의 소송대리인

법무법인 위민 담당변호사 한경수, 임영환, 신명근

참여연대 민생희망본부장 이헌욱 변호사

민변 민생경제위원회 부위원장 김성진 변호사