1. 피고의 항소를 기각한다.

2. 항소비용은 피고가 부담한다.

청구취지 및 항소취지

1....

1. 인정 사실

가. 피고는 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2016. 3. 22. 법률 제14080호로 개정되기 전의 것, 이하 ‘정보통신망법’이라 한다)에 따른 정보통신서비스 제공자로서, 온라인 커뮤니티 사이트 ‘C’(D, 이하 ‘이 사건 사이트’라 한다)를 운영하고 있다.

원고는 2013. 2. 20. 이 사건 사이트 회원으로 가입하였다.

나. 신원 불명의 해커는 2015. 9. 11. 01:04~02:10경 이 사건 사이트 중 로또 당첨번호 알림 게시판(E)을 대상으로 SQL 인젝션 Structured Query Language Injection, 데이터베이스 질의어를 조작하여 해커가 원하는 자료를 데이터베이스로부터 유출해가는 사이버 공격 기법 공격을 통해 개인정보처리 데이터베이스(DB) 서버에 저장되어 있던 피고의 회원정보 약 195만 건을 유출하였다

(이하 ‘이 사건 사고’라 한다). 유출된 회원정보(원고의 회원정보 포함)는 회원의 아이디, 암호화된 비밀번호, 생년월일, 이메일, 닉네임, 암호화된 장터 비밀번호, 가입일, 회원점수(마일리지)이다.

다. 방송통신위원회는 민관합동조사단을 구성하여 2015. 9. 12.부터 2015. 10. 8.까지 원고의 개인정보 취급ㆍ운영실태를 조사하였고, 2015. 12. 29. 접근통제장치 미설치, 접속기록 미보관, 암호화 미흡 등 정보통신망법 제28조 제1항 제2호, 제3호, 제4호 제28조(개인정보의 보호조치) ① 정보통신서비스 제공자등이 개인정보를 취급할 때에는 개인정보의 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손을 방지하기 위하여 대통령령으로 정하는 기준에 따라 다음 각 호의 기술적ㆍ관리적 조치를 하여야 한다.

1. 개인정보를 안전하게 취급하기 위한 내부관리계획의 수립ㆍ시행

2. 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의...