전산 자료 보호 대책 을 수립 · 운용 하 여야 한다 ’ 고 규정 하 고 제 7 호 에서 ‘ 정기 적 으로 보조 기억 매체 의 보유 현황 및 관리 실태 를 점검 하 고 관리 책임자 의 확인 을 받 을 것 ’ 이라고 규정 하 고 있 다 . 
 피 고 는 전자 금융 감독 규정 시행 세칙 제 9 조 의 문언 은 ‘ 금융 기관 등 이 직접 보유 , 관리 하 는 보조 기억 매체 ’ 를 규제 하 고 있 음 이 분명 하 므로 , 위 규정 이 2010 . 4 . 유출 사고 와 무관 하 다고 주장 한다 . 그러나 피고 가 주장 하 는 바 와 달리 위 제 9 조 제 1 항 제 7 호 의 문언 은 금융 기관 이 반드시 ‘ 직접 ’ 해당 보조 기억 매체 를 보유 · 관리 하 여야 한다는 제한 을 두 고 있 지 아니하 다 . 나아가 비록 위 문언 이 “ 정기 적 으로 ” 이루어지 는 점검 및 관리 책임자 의 확인 을 요구 하 고 있 다고 하 더라도 , 금융 기관 의 업무 상 필요 에 따라 일정 기간 에 걸쳐 반복 · 계속 적 으로 수행 되 는 작업 에 사용 되 고자 외부 로부터 반입 된 보조 기억 매체 역시 위 금융 기관 의 지배 영역 에서 관리 되 고 있 으므로 , 금융 기관 이 직접 보유 하 는 보조 기억 매체 와 마찬가지 의 주의 를 기울여 정기 적 인 점검 및 관리 책임자 의 확인 을 받 을 필요 가 있 다 . 앞서 본 인정 사실 에 의하 면 , 2010 . 4 . 당시 비 아이 랩 직원 들 이 FDS 개발 작업 을 위하 여 반입 한 내 · 외장 하드 디스크 는 피고 의 업무 상 필요 에 따라 피고 의 사무실 에 반입 되 었 으므로 피고 의 지배 영역 에서 관리 되 고 있 었 다 . 결국 피고 가 위 하드 디스크 의 수량 을 파악 하 거나 포맷 작업 을 수행 하 거나 감독 하 지 않 은 것 은 전자 금융 감독 규정 시행 세칙 제 9 조 제 1 항 제 7 호 의 위반 에 해당 한다 . 따라서 피고 의 위 주장 은 받아들이 지 아니한다 . 
 4 ) 암호 화 되 지 않 은 카드 고객 정보 제공 과 관련 된 규정 위반 여부 
 구 전자 금융 거래법 제 21 조 제 2 항 및 이 를 구체 화 한 전자 금융 감독 규정 시행 세칙 제 9 조 제 1 항 은 앞서 본 바 와 같 고 , 위 제 9 조 제 1 항 제 10 호 에서 ‘ 이용자 정보 의 조회 · 출력 통제 및 테스트 시 주요 이용자 정보 를 변환 하 여 사용 할 것 ’ 이라고 규정 하 고 있 다 . 한편 , 정보 통신망 법 시행령 제 15 조 제 4 항 은 ‘ 법 제 28 조 제 1 항 제 4 호 에 따라 정보 통신 서비스 제공 자 등 은 개인 정보 가 안 전하 게 저장 · 전송 될 수 있 도록 다음 각 호의 보안 조치 를 하 여야 한다 ’ 고 규정 하 면서 , 제 2 호 에서 ‘ 주민 등록 번호 및 계좌 정보 등 금융 정보 의 암호 화 저장 ’ 을 , 제 4 호 에서 ‘ 그 밖 에 암호 화 기술 을 이용 한 보안 조치 ’ 를 각각 규정 하 고 있 다 . 
 위 규정 들 에 비추 어 볼 때 , 업무 상 필요 를 이유 로 FDS 개발 작업 을 하 는 비 아이 랩 직원 들 에게 피고 가 변환 되 지 않 은 카드 고객 정보 를 제공 하 고 그 사용 에 대한 별다른 관리 · 감독 을 하 지 않 고 방치 한 행위 는 전자 금융 감독 규정 시행 세칙 및 정보 통신망 법 시행령 제 15 조 제 4 항 제 2 호 , 제 4 호 를 위반 한 경우 에 해당 한다 . 』 
 o 제 1 심 판결 제 29 면 제 18 행 이하 에 “ 원고 3 은 당 심 에서 , 피고 의 2013 년 12 월 카드 고객 정보 유출 의 경우 비록 위 정보 가 범인 들 사이 에 만 유통 되 고 일반 제 3 자 에게 노출 되 지 않 았 다고 하 더라도 위 원고 에게 손해 가 발생 하 였 다고 보 아야 한다는 취지 로 주장 한다 . 그러나 소외 1 이 2013 년 12 월 유출 한 피고 회원 약 2 , 689 만 명 의 카드 고객 정보 를 보관 하 였으나 소외 2 를 만나 지 못하 여 위 정보 를 다른 사람 에게 유출 하 지 아니한 상태 에서 수사 기관 에 의하 여 위 정보 를 그대로 압수 당한 사실 은 앞서 살펴본 바 와 같 은 바 , 이 에 비추 어 2013 년 12 월 유출 된 피고 의 카드 고객 정보 는 소외 1 만 보관 하 고 있 었 고 일반 제 3 자 뿐 아니 라 범인 들 사이 에서 도 유통 된 사정 이 확인 되 지 아니하 는 바 , 원고 3 의 위 주장 을 받아들이 기 어렵 다 . “ 를 추가 한다 . 
 4 . 손해 배상 책임 의 범위 
 가 . 위 에서 살펴본 바 와 같 은 피고 의 카드 고객 정보 관리 실태 와 그 유출 의 구체 적 인 경위 , 유출 된 개인 정보 의 전파 및 확산 범위 , 개인 정보 유출 로 인한 피해 발생 및 확산 을 방지 하 기 위하 여 피고 가 마련 한 사후 적 조치 의 내용 등 과 더불 어 이 사건 에서 유출 된 개인 정보 에 는 각 개인 에게 유일 하 고 영구 적 이 며 일신전속 적 인 성격 을 지닌 주민 등록 번호 가 포함 되 어 있 고 , 이 를 도용 한 2 차 적 피해 발생 과 확대 의 가능 성 을 배제 하 기 어려운 점 , 다만 이 사건 에서 유출 된 카드 고객 정보 의 내역 이나 이 를 취득 한 사람 들 의 카드 고객 정보 취득 목적 등 에 비추 어 유출 된 카드 고객 정보 를 이용 한 카드 위 · 변조 나 부정사 용 으로 인