시스템 운영 사업자의 데이터 분실 위험과 법적 책임

기업이 데이터베이스에 보관하는 중요한 기업 정보가 예기치 못한 사정으로 분실되는 문제가, 시스템 부서에서 발생할 수 있습니다. 이런 경우에, 시스템 운영 업무를 외부 업체에 위탁하고 있다면, 그 책임을 외부 업체에게 물을 수 있는지 법적으로 가능한지에 대해 알아보겠습니다.

본 글에서는 기업에서 정보 분실 사고에 대해, 그 법적 책임이 어디에 속하는지에 대해 설명하겠습니다.

IT 시스템에서의 ‘운영’이란

IT 시스템에서의 ‘운영’이란, 간단히 말하자면, IT 시스템과 관련된 업무 중에서 ‘현재 있는 시스템을 계속해서 사용하는 업무’라고 할 수 있습니다. IT 엔지니어나 프로그래머가 새롭게 만든(=개발) 시스템은, 한 번 만들면 그것으로 끝나는 것이 아닙니다. 예를 들어, 화면에서 실행할 수 없는 작업을 실행하려면, 데이터베이스에 컴퓨터를 연결하고, 직접 컴퓨터 언어(SQL 등)를 입력해야 하는 경우가 생길 수 있습니다(예를 들어 화면에서는 실행할 수 없는 데이터의 추출·변경 등).

이러한 운영 업무는, 새로운 프로그램을 구현하는 등의 업무와 비교하면, 절차서를 작성하는 등으로 정형화하기 쉬운 경우가 많으며, 외부 업체에 위탁하기 쉬운 경우도 많습니다.

그러나, 정형화하기 쉬운 업무라 하더라도, 그것이 기업이 관리하는 데이터베이스를 직접 조작하는 업무라면, 대규모 사고와 가까워질 수 있다는 것을 염두에 두어야 합니다. 기업이 보유한 정보의 유출이나 손실 등의 위험은, 업무의 책임성에 대해 무심코 외주를 진행하면, 어느새 크게 부풀어 오를 수 있습니다.

정보의 손실 위험은 생각보다 가까이에 있다

기업이 사용하는 데이터베이스는 여러 종류가 있지만, 그 본질은 소프트웨어입니다. 그리고 그곳에서 관리되는 데이터의 추출, 변경, 추가, 삭제 등의 처리는 기본적으로 SQL이라는 컴퓨터 언어가 사용됩니다.

법무의 중요성

IT 시스템에 관련된 기술자의 업무에는 개발, 운영, 유지보수 등 다양한 종류가 있지만, 그들의 업무 방식에 공통적인 것은 ‘데이터’와 ‘컴퓨터 언어’와 같은 추상적인 사물을 다루는 것이 중심이라는 점입니다. 따라서, 수행하는 작업의 외관만으로 본다면, 단지 한 번의 버튼 조작의 오류나 사소한 입력 실수일 뿐이지만, 그 실수의 영향 범위는 사전에 예상할 수 없을 정도로 넓게 확산될 수 있습니다. 이러한 전제는 IT 전문가인지 아닌지에 관계없이, 기본적으로 시스템에 관련된 업무를 수행하는 모든 사람이 인식해야 할 것입니다. 시스템에 관련된 업무는 그 특성상, 문제가 발생하면 그 영향 범위는 해당 부서를 넘어서, 또한 회사 내의 장벽을 넘어서, 순식간에 확산되는 경우가 많습니다. 시스템에 왜 법무가 중요한지는, 발주자 측에서도, 수주자 측에서도, 이러한 관점에서 일관되게 설명될 수 있습니다.

기업 데이터의 손실 위험

조금 더 구체적인 예를 들어 보겠습니다. SQL에서 하나의 테이블이 가진 데이터를 모두 삭제하는 쿼리(명령)는 단 한 줄의 ‘TRUNCATE’를 작성하는 것뿐입니다. 기업이 가진 데이터의 손실 위험에 대해 생각할 때, SQL의 문법이나, 데이터베이스 소프트웨어의 조작 방법을 숙지하는 것은 그리 중요하지 않을 수 있습니다. 그러나, 기업이 보관하는 데이터 전체를 삭제하는 것에 대해서도, 방법론에 한정한다면, 이렇게 간단한 것일 뿐이라는 점을 인식해야 할 것입니다. 이러한 현실 인식이 바로 기업의 데이터 손실 위험에 대해 생각할 때의 출발점이 아닐까요.

확실히 운영 업무는 정형화하기 쉽고, 절차대로 진행하면 문제가 없는 경우가 많습니다. 그러나 동시에, 절차대로 진행되지 않아 비정상적인 상황을 초래하는 경우를 가정한다면, 법무의 중요성은 자연스럽게 명확해질 것입니다.

정보의 손실은 법적으로 누구의 책임인가

운영 사업자의 업무의 법적 성격

그렇다면, 이렇게 예기치 않은 사건으로 인해 데이터를 잃어버리고, 복구 방법도 없는 경우, 그 법적 책임은 어디에 속하는 것일까요. 다음으로, 법적 관점에서 이러한 사건을 분석해 보겠습니다.

예치 계약에 기반한 보관 의무를 추구하는 것은 어렵다

데이터 운영 업무를 대행하는 사업자의 책임을 묻는 데 고려할 수 있는 이론 구성 중 하나는, 유상의 예치 계약에 기반한 선관주의 의무를 추구하는 것입니다. 이는 간단히 말하면, 유료 코인 락커 등에서 물품의 예치를 받은 사업자가 그 물품을 손실한 경우에 원칙적으로 손해배상 책임을 물는 것과 같이, ‘데이터’의 손실 책임을 추구할 수 있는지에 대한 문제입니다. 그러나, ‘물건’에 대한 보관 의무의 이야기와 마찬가지로, ‘데이터의 보관 의무’가 당연히 발생한다고 생각하는 것은 현행 법상에서는 현실적이지 않습니다.

개별 계약 내용에 따라 다르다

결국, ‘데이터의 보관 의무를 누가 지는가’라는 문제는, 민법상의 규정을 바탕으로 일률적인 해답을 도출하는 것은 어렵다고 말해야 할 것입니다. 따라서, 그 대답은 ‘개별 계약 내용에 어떻게 정해져 있는가에 따라 다르다’라는 것이 타당한 곳일 것입니다.

그리고, ‘계약의 내용은 무엇이었는가’라는 점은, 반드시 계약서만이 아니라, 회의록 등도 함께 판단되게 됩니다. 회의록의 중요성에 대해서는 아래 기사에서 자세히 설명하고 있습니다.

https://monolith.law/corporate/the-minutes-in-system-development[ja]

계약자 이외의 제3자로부터의 불법행위 책임 추구는 어렵다

또한, 계약 관계가 없는 제3자로부터의 불법행위 책임 추구는 불가능하다는 것이 판례상 명확하게 되어 있습니다. 판례에서는, 렌탈 서버 서비스에서의 데이터 손실 사고에서, 위탁자가 불법행위에 기반한 손해배상 청구의 가능성이 문제가 되었습니다.

불법행위의 전형적인 예로는, 예를 들어 교통사고가 있습니다. 예를 들어, 자동차 사고에서 운전자의 과실로 인해 사람을 부상시킨 경우, (형사는 물론) 민사상으로도 책임을 지게 됩니다. 낯선 사람과의 사이에서 ‘사람을 차로 치지 않겠다는 계약’을 체결하는 것은 아니지만, 개인 간에도 손해배상 책임이 발생할 수 있다는 것을 생각할 수 있습니다. 이러한 불법행위 책임의 구조에 기반하여, 직접적으로 계약 관계가 없는 상대방이었더라도, 데이터를 손실시킨 것에 대한 책임 추구가 가능한지가 논의되었습니다.

그러나, 법원은 디지털 정보의 특성을 지적한 후, 이러한 의무의 존재를 당연히 이끌어내는 것은 어렵다는 것을 판시하였습니다.

서버는 완전무결하지 않으며 장애가 발생하여 저장되어 있는 프로그램 등이 소멸할 수 있다는 것이다. 프로그램 등은 디지털 정보로서, 쉽게 복제할 수 있으며, 위탁자는 프로그램 등이 소멸하더라도, 이를 기록·저장하고 있다면, 프로그램 등을 다시 작동시킬 수 있다는 것이다. 그것은 널리 알려져 있다(변론의 전체 취지)에서, 원고들은 본건 프로그램이나 본건 데이터의 소멸 방지책을 쉽게 강구할 수 있었다는 것이다. 이러한 원고들과 피고 양측의 이익 상황을 비추어 보면, 본건 서버를 설치하고 관리하는 피고에게, 원고들의 위의 기록을 보호하기 위해 그 소멸 방지 의무까지 부과하는 이유나 필요성은 없다고 말해야 할 것이다. (중략), 원고들은, 렌탈 서버 계약은 제3자의 프로그램 또는 데이터에 관한 예치 계약의 성격을 가지고 있다고 하고, 이를 근거로, 피고는 렌탈 서버 사업자로서 본건 서버 위에 기록을 보관하는 모든 사람에 대해 선관주의 의무를 지며, 구체적으로는 본건 서버의 기록을 소멸시키지 않도록 하는 의무를 지는 것이라고 하고, 그 전제에 입각하여, 피고가 본건 서버에 저장된 원고들의 기록을 소멸시킨 것은 위의 소멸 방지 의무에 위반하는 것이라고 주장한다.

그러나, 피고는 위탁자 A와의 사이에서 공용 서버 호스팅 서비스의 이용 계약을 체결하고 있을 뿐이며, 원고들과의 사이에는 계약 관계가 없으며, 본건 서버에 저장된 본건 프로그램이나 본건 데이터의 보관에 대해 예치 계약적 성격이 있다고 할 수 없다는 것이다. 따라서, 피고가 계약 관계에 없는 원고들에게 본건 서버에 저장된 기록에 대해 불법행위법상의 선관주의 의무를 지는 것을 근거로 하는 것은 찾아보기 어렵다. 그렇게 되면, 피고가 렌탈 서버 사업자인 것을 이유로, 계약 관계에 없는 제3자에 대한 관계에서 당연히 본건 서버에 보관된 기록에 대해 선관주의 의무를 지거나, 기록의 소멸 방지 의무를 지는 것은 불가능하다.

도쿄지판 헤이세이 21년(2009년) 5월 20일

이 판결은, 계약 관계가 직접적으로 존재하지 않는 제3자(원고)에 대해, ‘데이터를 지우지 않는 의무’라는 것을 가정하는 것이 타당하지 않다는 것을 지적한 것입니다. 이 판결은, 이후 유사한 사건이 발생했을 때의 리딩 케이스가 될 수 있는 것으로, 일정한 주목을 받게 되었습니다.

결론적으로, 책임 추구는 ‘어렵다’는 것이 일반적이다

또한, 실무에서 자주 사용되는 계약의 이야기로 말하면, 데이터의 보관이나 백업까지를, 운영 사업자의 책임으로 하는 계약이 사용되는 경우는 수로서 그리 많지 않으며, 오히려 그것은 이용자(즉, 위탁자가 되는 고객 측의 회사)의 책임인 것을 정한 것이 압도적으로 많습니다.

따라서, 특별히 어떤 합의가 이루어진 경우를 제외하면, 시스템 운영 사업자가, 데이터의 손실을 방지하는 조치를 취하는 의무까지 지고 있다고 생각하는 것은 법률상으로도 매우 어렵다고 말해야 할 것입니다.

정보의 손실 위험에 대비해야 할 것들

결국, 기업이 가지고 있는 정보의 손실 위험은 그 기업 자체가 보관하는 정보에 관한 이야기입니다. 따라서, 그 손실 위험을 어떻게 고려하고, 어떤 보관 체계를 구축할지에 대한 문제도 그 기업 자체가 결정해야 할 사항이라고 말할 수 있을 것입니다.

또한, 가령 사업자의 책임이 인정되더라도 과실 상계로 인해 손해배상이 전액 인정되지 않을 수도 있습니다. 과거의 판례 중에는, 원고의 데이터를 서버에서 보관하고 있던 피고가 데이터를 소멸시킨 사건에서, 원고 측이 백업을 하지 않았던 것이 ‘과실’에 해당한다고 판단하여 과실 상계를 인정한 판결도 있습니다.

원고는, 본건 파일의 내용에 대해 간단히 백업 등의 조치를 취할 수 있었으며, 그로 인해 (중략)의 손해 발생을 방지하고, 또는 손해 발생을 극히 미미하게 유지할 수 있었음에도 불구하고, 본건 소멸 사고 당시, 원고 측에서는 본건 파일의 데이터 내용을 전혀 남기지 않았다고 인정된다.

그리고, 본건에서는, 피고의 손해배상 책임 부담액을 결정하는 데 있어, 이 점을 고려하여 과실 상계의 규정을 적용하는 것이, 손해배상법상의 형평의 이념에 적합하다고 말해야 할 것이다. (중략)

이에 대해, 원고는, 프로바이더 업체인 피고에 의해 본건 파일이 서버 내에서 소멸되는 것을 원고가 예견할 수 없었으며, 그것을 예견해야 했다고는 말할 수 없으므로, 백업을 취하는 행위 의무를 법적 의무로 인정할 수 없고, 그 불행위를 법적 의미에서의 과실로까지 말할 수 없다고 주장하며, 과실 상계의 적용은 부인되어야 한다고 주장한다.

그러나, 과실 상계를 적용하는 데 있어서는, 원고에게 본건 파일의 소멸이라는 결과 발생에 대한 예견 가능성이 인정되면 충분하며, 그 결과에 이르는 원인 경과로서, 피고의 본건 주의 의무 위반으로 인해 본건 파일이 소멸된 것에 대한 예견 가능성까지는 필요하지 않다고 해석해야 할 것이다.

본건에서는, (중략), 홈페이지에 해커 등이 침입하는 위험을 인식하고 있었던 것이 명백하며, 또한, 원고는, 인터넷 통신에는 정보의 변경, 파괴의 위험이 있으며, 그 위험은 예견 가능했다고 인정하고 있으므로, 원고는, 인터넷 통신 고유의 원인으로 인해 본건 파일이 소멸하는 위험을 예견하고 있었다고 판단되며, 본건 파일의 소멸이라는 결과 발생에 대한 예견 가능성이 충분히 긍정되고, 과실 상계의 적용을 긍정하는 데 있어서의 장애는 결코 인정될 수 없는 것으로 해석된다.

도쿄지판 헤이세이 13년(2001년) 9월 28일

이 사건에서는, “백업을 하지 않았다면, 해커 등의 침입 등, 어떤 이유로든 파일이 소멸할 위험을 예견 가능했으므로, 그렇다면 과실 상계의 적용이 있다”라고 판단하여, 손해배상 금액이 절반으로 결정되었습니다.

요약

데이터 손실 위험에 한정된 문제는 아니지만, 시스템을 외주로 맡길 때 위탁자들은 대부분 화면 측의 조작감에만 신경을 쓰는 경향이 있어, 그 뒷배경에 있는 데이터베이스 영역까지 조직의 거버넌스가 미치지 못하는 경우가 많습니다.

그러나, 이러한 문제들 역시 결코 ‘타인의 문제’로 봐서는 안된다는 것을 과거의 판례들이 시사하고 있습니다. 다시 말해, 백업을 하는 등의 정보 손실 위험을 고려한 관리 체계를 구축하는 것은 결국 위탁자 측(회사 내부)의 문제라는 인식을 가져야 한다는 것입니다.

과거의 판례들은 이러한 위험에 대비하지 않는 것이 되돌릴 수 없는 상황을 초래할 수 있다는 것을 시사하며, 예방의 필요성을 경고하는 것으로 이해해야 할 것입니다.