제2회 개인정보보호 모의재판

경연대회 문제

2024.  6.

개인정보보호 모의재판 경연대회

운영사무국

[ 문 제 ]

□ 당사자 사이에서 발생한 사실관계는 [첨부 1]과 같음

□ 사실관계에 등장하는 원고 김갑동이 피고 B사를 상대로 제기한 손해배상 청구사건(00지방법원 2024가합123456)에 관하여, 귀하는 원고 및 피고를 위하여 소송대리를 수행하게 될 변호사로서 각 의뢰인의 요구사항에 부합하는 범위 내에서 최선의 결과를 얻을 수 있도록 소장 및 답변서를 각 작성하여야 함

□ 원고의 대리인으로서 소장 및 피고의 대리인으로서 답변서를 모두 작성‧제출 하여야 함(소장의 경우 [첨부 2]의 양식을, 답변서의 경우 [첨부 3]의 양식을 활용하여 작성할 것. 소장은 청구취지를 새롭게 추가하거나 변경하지 말 것)

- 사실관계에 대하여 적용되는 법령은「개인정보 보호법」(법률 제19234호, 2023. 3. 14., 일부개정),「개인정보 보호법 시행령」(대통령령 제34309호, 2024. 3. 12., 일부개정),「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호, 2023. 9. 22., 일부개정, 이하 ‘고시’)으로 하며, 위 법령과 고시 규정 및 이와 직접 관련된 민법상 손해배상 등에 관한 쟁점만 다룸을 원칙으로 함. 단, 개인정보 보호법 제28조의2 가명처리의 적정성 여부 및 개인정보 보호법 제34조 제1항의 “유출등”은 쟁점에서 제외함

원고는 김갑동, 피고는 B사로 한정하고 임의로 추가하지 말 것

B사의 다른 사업자들(A사, C사 포함)에 대한 구상관계를 비롯하여 본건에서 후속하여 발생할 수 있는 분쟁에 관하여는 소장 및 답변서에서 다루지 말 것

□ B사의 법 위반 또는 책임 여부 등에 관한 주장을 소장 및 답변서에 포함하되 행정규칙의 경우 제시된 고시 조항을 기준으로 할 것

□ 원고가 주장하는 손해액은 금 300만원이고, 최대 5배 손해배상 규정(개인정보 보호법 제39조 제3항)이나 법정손해배상 규정(동법 제39조의2)은 적용하지 아니하며, 손해액의 입증과 다과에 대한 쟁점은 주된 부분이 아니므로 소장 및 답변서에서 주되게 다루지 않도록 할 것

□ 쟁점에 관하여 대법원 판결이 존재하는 경우 이를 존중하되 이와 다른 입장을 따르고자 하는 경우 적절한 논거를 제시할 것

확정되지 않은 하급심 판결은 인용하여서는 아니됨

□ 주어진 사실관계에 대해서 당사자 사이에 다툼이 없으며 모두 사실임을 전제로 할 것(사실관계에 나타나지 않은 것은 현재로서 증명이 없다고 보되, 다만 증명이 필요하지 않은 공지의 사실 등은 원용할 수 있으며, 민사소송법 제202조의 논리와 경험의 법칙에 따라 논증을 전개할 수 있음)

각 당사자의 주장을 강화하기 위하여 추가로 입증해야 할 사실관계가 있다면 각 서면 내에서 ‘향후 입증계획’ 등을 통하여 제시하여도 무방함

[ 유의사항 ]

□ 제출하는 서면의 원고 소송대리인은 “변호사 김정보”로, 피고의 소송대리인은 “변호사 이보호”로 각 표기하되, 서면 자체에는 참가팀의 소속 학교/법전원 등 인적사항이 드러나지 않도록 유의할 것

□ 문제 제목은 ‘팀명-원고소장’, ‘팀명-피고답변서’로 작성(예 : 변론의신-원고소장.hwp, 변론의신-피고답변서.hwp)

□ 서면은 A4 각 15장 이내로 함

작성 기준 : 글씨체 휴먼명조, 글자크기 13 포인트, 줄간격 160%, 장평 100%, 자간 0, 여백 : 위 20mm, 왼쪽 30mm, 오른쪽 30mm, 머리말 15mm, 꼬리말 15mm

□ 각 서면의 제출기한은 2024년 7월 17일(수) 18:00까지이고, 이메일(pipccourt@gmail.com)로 제출할 것

□ 이 사건의 사실관계는 가상의 것으로 실존하는 특정인물, 기업, 단체 등과 전혀 관계없음

□ 원‧피고 소송대리인 모두 특정한 일부 쟁점에 대해서만 변론이 집중되지 않도록 유의할 것

□ 관련 자료는 개인정보보호위원회(www.pipc.go.kr), 개인정보 포털 (www.privacy.go.kr), 한국인터넷진흥원(www.kisa.or.kr)에서 찾아 활용 가능함

[첨부 1]

사 실 관 계

1. A사는 공개된 웹문서들에서 텍스트들을 스크레이핑(scraping)하여 대규모의 말뭉치(corpus)를 만든 후 이를 학습데이터(training data)로 투입하여 인공지능(이하 “AI”) 기반 언어모델(language model)인 “온세상”을 사전학습(pretrain)하였다. A사는 훈련데이터를 가명처리하지는 못한 상태에서 “온세상”의 훈련에 투입하였다. A사는 “온세상” 모델을 일정 대가를 받고 다른 사업자들에게 제공하고 있다.

※ A사는 (Llama처럼 모델을 오픈소스로 공개하거나 GPT-3, 4나 하이퍼클로바 X처럼 비공개 모델을 API 형태로 서비스하는 형태가 아니라) 비공개 모델 전체를 라이선스 계약에 기해 그대로 전송하는 형태로 제공함

2. B사는 A사로부터 “온세상” 모델을 제공받은 후 C사로부터 실제 상담사들이 고객 상담을 한 대화 내용 데이터를 추가 투입하여 “온세상” 모델을 추가 훈련함으로써 고객 상담 특화 언어모델인 “응대박사”를 개발하였다.

C사의 직원인 상담사들은 C사의 모바일 앱을 통해 C사의 고객들과 채팅으로 고객 상담을 해 왔고, 이 과정에서 C사가 상담사와 고객 간 대화 내용 데이터를 수집하였는데, B사는 정상가격에 상응하는 대가를 지불하고 이 데이터를 C사로부터 제공받아 모델의 추가 훈련에 투입하였다.

C사는 고객 상담 대화 내용을 수집하기 전 모바일 앱 인터페이스를 통해 다음 사항을 고지하고 고객들로부터 동의를 받았으며, B사에 대화 내용 데이터를 제공하기 전에 성명·주민등록번호 등 다른 정보와 결합하지 않더라도 그 자체로 개인을 알아볼 수 있는 정보(식별정보)만 삭제 처리하였다.

C사의 고객에 대한 개인정보 고지 문구

1. 개인정보의 수집·이용에 관한 사항

(1) 개인정보의 수집·이용목적: [앞부분 생략] 인공지능 학습 등 서비스 고도화 [뒷부분 생략]

(2) 수집하려는 개인정보의 항목: [앞부분 생략] 귀하와 당사 상담사 간의 대화내용 [뒷부분 생략]

(3) 개인정보의 보유 및 이용 기간: 수집한 날로부터 5년간 보유 및 이용하며, 기간이 경과할 경우 폐기합니다.

(4) 귀하는 동의를 거부할 권리가 있습니다. 단, 동의 거부 시 개인정보 기반 서비스 이용에 제한이 있을 수 있습니다.

2. 개인정보의 제3자 제공에 관한 사항

(1) 개인정보를 제공받는 자: 인공지능 개발사

(2) 개인정보를 제공받는 자의 개인정보 이용 목적: 인공지능 학습 등 서비스 고도화

(3) 제공하는 개인정보의 항목: 귀하와 당사 상담사 간의 대화내용

(4) 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간: 제공받은 날로부터 5년간 보유 및 이용하며, 기간이 경과할 경우 폐기합니다.

(5) 귀하는 동의를 거부할 권리가 있으며, 동의 거부에 따른 불이익은 없습니다.

3. C사가 보유한 양질의 고객 상담 데이터 덕에 B사의 “응대박사”는 자연스러운 상담과 고객 만족으로 업계에서 호평을 받게 되었고, B사는 이 모델을 API 형태로 여러 업체에 제공할 수 있었다. 이에 따라 C사도 비용이 많이 드는 상담사들의 상담보다는 B사의 “응대박사”를 도입하기로 결정하였고, 역시 B사의 “응대박사” 모델을 API로 호출하는 앱을 통해 AI 기반 고객 상담을 제공하게 되었다.

다만, C사는 자신의 데이터로 이미 “응대박사”가 훈련된 상황에서 추가적으로 경쟁사와 차별화하기 위해 좀 더 맞춤형 모델이 필요하다고 판단하였다. 따라서 C사는 “응대박사” 솔루션을 이용하여 고객 상담을 하는 과정에서 C사 고객들의 프롬프트(prompt) 내용을 수집하여, 이를 B사로 보내 C사에 제공하는 모델만 추가 훈련하여 이와 같이 좀 더 맞춤형으로 고도화된 모델을 API 형태로 C사에 제공하도록 하였다. 이 과정에서 C사는 고객 정보와는 결합하지 않았지만, 프롬프트 내용을 비식별처리하지는 않았다.

C사는 이를 위해 (1) 고객에 대한 개인정보 고지 문구 중 “개인정보의 수집·이용에 관한 사항”, 이 중에서 “수집하려는 개인정보의 항목”의 “귀하와 당사 상담사 간의 대화내용”을 “귀하와 당사 상담사 또는 인공지능 간의 대화내용”으로 수정하였고, (2) 이러한 대화내용의 처리와 관련하여 “인공지능 학습 등 서비스 고도화”를 목적으로 B사에 업무위탁을 한다는 점을 개인정보 처리방침에 공개하는 한편, (3) B사와 업무위탁에 관한 문서를 작성, 체결하였다.

C사가 B사와 체결한 문서에는 (1) C사는 B사에게 본 계약에 따른 업무 수행에 대한 대가(정상가격에 상응함)를 지급하며, (2) 본 계약의 이행으로 고도화된 모델은 B사 및 C사가 50:50의 비율로 공동으로 소유한다는 내용이 포함되어 있었다.

4. 김갑동은 C사의 고객으로서 C사의 AI 기반 고객 상담을 이용하는 과정에서, 대화 내용상 자신의 개인정보가 다음 세 가지 방식으로 노출된다는 점을 알게 되었고, 다른 사람들과의 상담 과정에서도 마찬가지로 자신의 개인정보가 노출된다는 점도 확인하였다.

김갑동의 여권번호가 고객 상담 대화 내용에 노출되었다. 김갑동은 D여행사의 공개된 Q&A게시판에 항공권 발급 관련 문의를 하면서 실수로 자신의 여권번호를 별명과 함께 입력한 적이 있다. 이때의 김갑동의 별명은 D여행사에서만 사용했다. (D여행사의 Q&A게시판은 A사가 스크레이핑한 공개된 웹문서에 포함된다.)

김갑동이 C사의 “응대박사” 솔루션 도입 전 C사의 직원인 상담사들과 앱에서 채팅으로 고객상담을 할 때 자신의 명함 정보를 입력했었는데, 이와 유사한 정보가 “응대박사”가 출력하는 대화 내용에 노출되고 있었다. 김갑동이 상담사와의 상담 과정에서 입력한 자신의 명함 정보와 “응대박사”가 출력하는 대화에 포함된 정보는 각각 다음과 같다. X사에는 정보보안팀이 있으나 X사 내에 김갑동과 같은 이름을 가진 직원은 없으며, “응대박사”에서 출력한 이메일 주소는 김갑동의 것이 아니다.

김갑동이 상담사와의 상담 과정에서 입력한 정보

X사

개인정보보호팀 김갑동 차장

개인정보관리사 자격 보유

k_k.d.@a-privacy.dom

“응대박사”에서 출력하는 대화에 포함된 정보

X사

정보보안팀 김갑동 차장

개인정보관리사 자격 보유

k_k.d.@cmail.net

김갑동이 C사의 “응대박사” 솔루션 도입 이후 C사의 AI 기반 고객상담 과정에서 프롬프트로 입력했었던 자신의 건강정보가 고객 상담 대화 내용에 노출되었다. 김갑동은 자신의 희귀질환*에 대해 상의했기 때문에 자신이 입력한 건강정보라는 사실을 금세 알 수 있었다. 다만, 대화내용에 위 질환이 김갑동의 질환이라는 점은 적시되지 않고 질환의 증상만 일반적으로 언급되고 있었다.

* 국내에 환자가 10명밖에 없음

5. 김갑동은 C사에 이에 대해 문의하였으나, C사는 B사에 문의할 것을 답변했다. 이후 김갑동은 2024. 5. 1. B사와 C사에 자신의 개인정보를 즉시 모델에서 삭제할 것을 요구했고, B사와 C사는 2024. 5. 9. 다음과 같이 회신하였다.

B사: (1) A사가 공개데이터를 활용해서 “온세상” 모델을 어떻게 훈련했는지는 B사로서는 알지 못하였고 B사로서는 “온세상” 모델이 적법하게 훈련되었다는 인식 하에 제공받음, (2) “응대박사” 훈련을 위해 C사의 상담사 상담 대화 내용을 받았을 때 C사가 제3자 제공 동의를 받았고 식별정보를 삭제했다고 하여 이를 믿고 전달 받아 훈련하였음, (3) C사가 수집한 프롬프트를 받아 C사 전용 모델을 훈련한 것은 C사의 개인정보 업무위탁에 따른 것이므로 적법함, (4) 언어모델의 특성상 개인정보를 곧바로 삭제할 수는 없고 일단 프롬프트를 필터링하여 개인정보가 노출될 가능성을 낮춘 후 6개월 뒤에 있는 다음 모델 업데이트 때 김갑동의 해당 개인정보를 제외한 말뭉치로 모델을 다시 훈련시킬 것임.

C사: (1) B사가 어떻게 “응대박사”를 훈련하였는지 그 과정에서 “온세상” 모델이 어떻게 투입되었고 어떤 데이터가 사용되었는지 C사로서는 전혀 알지 못함, (2) “응대박사” 훈련을 위해 상담사 상담 내용을 B사에 제공하기 전 김갑동을 포함한 이용자들로부터 적법한 제3자 제공 동의를 받았고 식별정보까지 삭제하여 제공되는 데이터를 최소화하였음, (3) 프롬프트의 수집 및 B사에 대한 업무위탁은 적법함, (4) “응대박사” 모델은 B사가 B사의 서버에서 제공하는 것이고 C사는 API를 통해 호출하는 것에 불과하므로 김갑동은 B사에 삭제요구를 해야 하는 것이고 C사가 이를 처리해 줄 수는 없음.

6. 김갑동은 “응대박사” 모델은 B사가 제공하는 것임을 고려해서, B사가 개인정보 보호법을 위반하였다는 이유로 B사를 상대로 손해배상을 청구했다.

[첨부 2]

소  장

원 고  김 갑 동 (199*. *. *.생)

서울 종로구 ___로 ____

소송대리인 변호사 김정보

피 고  B사

서울 중구 ___로 ____

손해배상(기) 청구의 소

청 구 취 지

1. 피고는 원고에게 3,000,000원 및 이에 대한 이 사건 소장 부본 송달 다음날부터 다 갚는 날까지 연 12%의 비율에 의한 돈을 지급하라.

2. 피고는 피고가 보유한 “응대박사” 인공지능 언어모델에서 원고의 개인정보를 삭제하고 그 결과를 원고에 통지하라.

3. 소송비용은 피고가 부담한다.

4. 제1항은 가집행할 수 있다.

청 구 원 인

OO지방법원 귀중

[첨부 3]

답 변 서

사  건  2024가합123456  손해배상(기)

원  고  김 갑 동

피  고  B사     소송대리인 변호사 이보호

위 사건에 관하여 피고 소송대리인은 다음과 같이 답변합니다.

청구취지에 대한 답변

청구원인에 대한 답변

OO지방법원 귀중