고객 개인정보가 유출되면 기업은 어떤 책임을 지게 될까 — 안전조치의무부터 72시간 통지, 손해배상과 과징금까지

어느 날 "고객님의 개인정보가 유출되었음을 알려드립니다"라는 문자를 받는 쪽도, 그 문자를 보내야 하는 쪽도 당황스럽기는 마찬가지입니다. 기업 입장에서는 "우리도 해킹을 당한 피해자인데 왜 책임까지 져야 하느냐"는 생각이 먼저 들고, 고객 입장에서는 "사과 문자 한 통으로 끝인가"라는 의문이 남습니다. 개인정보 유출 사고에서 기업의 책임은 하나가 아니라 여러 갈래가 동시에 진행되며, 갈래마다 판단 기준도 대응 시한도 다릅니다. 특히 2023년 9월 시행된 개정 개인정보 보호법은 과징금의 상한과 징벌적 손해배상의 배수를 크게 올려 놓았기 때문에, 예전에 알고 있던 감각으로 대응하면 낭패를 보기 쉽습니다. 이 글에서는 법이 기업에 어떤 책임을 지우는지, 책임 유무를 가르는 결정적인 기준은 무엇인지, 그리고 사고가 터졌을 때 어떤 순서로 움직여야 하는지를 정리해 드립니다.

기업의 책임은 네 갈래로 동시에 진행됩니다

개인정보 유출 사고가 발생하면 기업은 다음 네 가지를 한꺼번에 마주하게 됩니다. 서로 별개의 절차이므로 하나를 막았다고 나머지가 자동으로 정리되지 않습니다.

• 민사 손해배상책임 — 정보주체(고객)가 개인정보 보호법 제39조, 제39조의2 또는 민법 제750조를 근거로 제기하는 손해배상청구입니다.

• 행정제재 — 개인정보보호위원회의 조사, 시정명령, 과징금과 과태료 부과, 위반사실 공표가 이어집니다.

• 형사책임 — 안전조치의무를 다하지 않아 유출당한 경우 담당자와 법인이 함께 처벌될 수 있습니다.

• 통지·신고 등 사후의무 — 유출 사실을 알린 방식과 시점 자체가 별개의 제재 대상이 됩니다.

이 네 갈래를 관통하는 질문은 하나입니다. "그 회사가 개인정보 보호법이 요구하는 안전조치를 다했는가." 이 질문에 대한 답이 민사 배상책임, 과징금 액수, 형사처벌 여부를 사실상 함께 결정합니다.

법이 요구하는 안전조치는 구체적으로 무엇인가

개인정보 보호법 제29조는 개인정보처리자에게 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 기술적·관리적·물리적 조치를 할 의무를 지우고 있습니다. 추상적으로 들리지만 그 내용은 시행령과 개인정보보호위원회 고시(개인정보의 안전성 확보조치 기준)에 상당히 구체적으로 정해져 있습니다. 실제 사고에서 문제가 되는 항목은 대개 아래에 모여 있습니다.

• 내부 관리계획의 수립·시행 — 개인정보 보호책임자 지정, 담당자 교육, 정기적인 점검 체계

• 접근 권한의 관리 — 업무에 필요한 최소 범위로만 권한을 주었는지, 퇴직·부서 이동 즉시 계정을 말소했는지, 권한 부여·변경·말소 기록을 보관했는지

• 접근 통제 — 침입 차단·탐지 시스템 운영, 외부에서 접속할 때의 안전한 인증수단 적용, 일정 시간 미사용 시 자동 접속 차단

• 암호화 — 주민등록번호 등 고유식별정보와 계좌·카드번호의 저장·전송 시 암호화, 비밀번호의 일방향 암호화 저장

• 접속기록의 보관과 점검 — 접속기록을 정해진 기간 이상 보관하고 정기적으로 점검할 것. 대량의 개인정보를 다루거나 고유식별정보·민감정보를 처리하는 경우에는 보관 기간이 더 길어집니다.

• 악성프로그램 방지, 물리적 안전조치, 출력·복사물 관리, 보유기간 경과 개인정보의 파기

사고가 난 뒤 조사에서 가장 자주 지적되는 것은 화려한 보안 설비의 부재가 아니라 기본기의 공백입니다. 퇴사자 계정이 살아 있었다거나, 개발용 서버에 실제 고객 데이터가 암호화 없이 올라가 있었다거나, 접속기록은 쌓아 두었지만 아무도 들여다보지 않아 몇 달간의 대량 조회를 놓친 경우가 대표적입니다.

법원이 책임 유무를 가르는 기준

여기서 중요한 것은 법이 '완벽한 보안'을 요구하지는 않는다는 점입니다. 판례는 침해사고 당시 보편적으로 알려져 있던 정보보안 기술의 수준, 해당 기업의 업종과 영업 규모, 기업이 실제로 취하고 있던 전체적인 보안조치의 내용, 그러한 조치에 드는 비용과 효용, 공격 기법의 수준에 비추어 피해를 피할 수 있었는지, 수집한 개인정보의 성격과 유출 시 이용자가 입는 피해의 정도 등을 종합하여 "사회통념상 합리적으로 기대 가능한 정도의 보호조치를 다했는지"를 기준으로 판단한다는 법리를 제시하고 있습니다.

이 기준 때문에 결과가 갈립니다. 대규모 해킹 사고 중에서도 당시 기술 수준에서 예견하기 어려운 새로운 공격 기법이 사용되었고 기업이 법령상 요구되는 조치를 대체로 이행하고 있었던 사안에서는 배상책임이 부정된 예가 있습니다. 반대로 고시가 명시적으로 요구하는 조치를 이행하지 않았고 그 미비점이 유출로 직접 이어진 사안에서는 책임이 인정됩니다. 협력업체 직원이 작업 과정에서 고객 데이터를 통째로 빼내 간 사건들처럼, 외부 침입이 아니라 내부자·수탁자 관리의 허술함이 원인인 경우에 책임이 인정되는 비율이 특히 높습니다.

즉 "해킹을 당했다"는 사실 자체는 면책 사유가 아닙니다. 반대로 사고가 났다는 이유만으로 자동으로 책임이 인정되는 것도 아닙니다. 결론은 사고 당시 회사가 무엇을 하고 있었는지를 기록으로 보여 줄 수 있느냐에서 갈립니다.

유출을 알게 된 때부터 72시간 — 통지와 신고 의무

사고 직후 가장 먼저 작동하는 것은 손해배상이 아니라 통지·신고 의무입니다. 여기서의 실수가 이후 모든 절차의 인상을 좌우합니다.

정보주체에 대한 통지

개인정보 보호법 제34조 제1항은 개인정보가 분실·도난·유출되었음을 알게 되었을 때 지체 없이 해당 정보주체에게 알리도록 하고 있습니다. 시행령은 이 '지체 없이'를 정당한 사유가 없는 한 유출을 알게 된 때부터 72시간 이내로 못 박고 있습니다. 과거 정보통신서비스 제공자에게 적용되던 24시간 특례는 2023년 개정으로 정리되어 현재는 72시간 기준으로 일원화되어 있습니다.

통지에 반드시 담아야 하는 항목도 정해져 있습니다. 유출된 개인정보의 항목, 유출된 시점과 경위, 피해를 최소화하기 위해 정보주체가 할 수 있는 방법, 기업의 대응조치와 피해 구제절차, 피해 신고·상담을 접수할 부서와 연락처입니다. "일부 정보가 외부에 노출된 정황이 확인되었습니다" 정도로 두루뭉술하게 보낸 통지는 의무를 이행한 것으로 평가받지 못할 수 있습니다.

개인정보보호위원회·한국인터넷진흥원에 대한 신고

일정 규모 이상이거나 성격이 중한 유출은 정보주체 통지와 별도로 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다. 시행령이 정한 신고 대상은 ① 1천 명 이상의 정보주체에 관한 개인정보가 유출된 경우, ② 민감정보 또는 고유식별정보가 유출된 경우, ③ 정보통신망 침입 등 외부의 불법적인 접근에 의해 유출된 경우이며, 기한은 마찬가지로 72시간 이내입니다. ②와 ③에는 인원수 요건이 없다는 점을 놓치기 쉽습니다. 단 한 사람의 주민등록번호가 해킹으로 빠져나갔어도 신고 대상이 될 수 있습니다.

통지·신고 의무를 이행하지 않거나 기한을 넘긴 경우에는 3천만 원 이하의 과태료가 부과될 수 있습니다. 금액 자체보다 무서운 것은 그 다음입니다. 은폐하거나 늦게 알린 정황은 이후 과징금 산정과 손해배상 사건의 위자료 판단에서 기업에 불리한 사정으로 거듭 반영됩니다. 원인 규명이 끝나지 않았다는 이유로 통지를 미루는 것은 실무상 가장 흔하면서도 가장 값비싼 선택입니다.

민사 손해배상책임 — 입증책임이 기업 쪽에 있습니다

일반적인 손해배상 사건에서는 피해자가 가해자의 고의·과실을 증명해야 합니다. 그러나 개인정보 사건은 구조가 다릅니다. 개인정보 보호법 제39조 제1항은 "개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다"고 정하여 입증책임을 기업에 넘겨 두었습니다.

고객은 유출 사실과 자신의 정보가 그 안에 포함되어 있다는 점만 보이면 되고, "우리는 요구되는 안전조치를 모두 다했다"는 점은 기업이 증명해야 합니다. 사고가 난 뒤에 자료를 만들 수는 없으므로, 평소의 내부 관리계획·교육 기록·점검 결과·권한 관리 대장·접속기록 점검 이력이 그대로 소송 자료가 됩니다. 개인정보 사건에서 "평소의 기록이 곧 방어력"이라고 말하는 이유입니다.

법정손해배상 — 손해액을 증명하지 못해도 300만 원 이하

개인정보 보호법 제39조의2는 정보주체가 구체적인 손해액을 증명하지 않더라도 300만 원 이하의 범위에서 상당한 금액을 손해액으로 청구할 수 있도록 하고 있습니다. 이 경우에도 고의·과실이 없음을 증명할 책임은 기업에 있습니다. 법원은 변론 전체의 취지와 증거조사 결과를 고려해 상당한 손해액을 인정할 수 있고, 일반 손해배상으로 청구했던 정보주체가 사실심 변론이 종결되기 전까지 법정손해배상 청구로 변경하는 것도 가능합니다.

기업에게 이 조항이 위협적인 이유는 액수가 아니라 곱셈입니다. 한 사람당 인정액이 10만 원이라 해도 원고가 수만 명이면 전체 규모는 완전히 달라집니다. 유출 규모가 클수록 개별 배상액보다 참여 인원을 늘리는 쪽으로 사건이 설계되는 것이 실무의 흐름입니다.

징벌적 손해배상 — 손해액의 5배까지

기업의 고의 또는 중대한 과실로 개인정보가 유출되어 정보주체에게 손해가 발생한 때에는, 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다(제39조 제3항). 2023년 개정 전에는 3배가 상한이었으나 5배로 올라갔습니다. 다만 기업이 고의나 중대한 과실이 없음을 증명하면 적용되지 않습니다.

배상액을 정할 때 법원이 고려하는 사정에는 위반행위로 기업이 얻은 경제적 이익, 피해 규모, 위반행위의 기간과 횟수, 부과된 벌금·과징금, 기업의 재산 상태, 유출된 개인정보를 회수하기 위해 기울인 노력, 피해 구제를 위해 기울인 노력 등이 포함됩니다. 뒤의 두 항목은 사고 이후에 기업이 어떻게 행동했는지를 그대로 반영하는 부분입니다. 사고 직후의 대응이 최종 배상액을 실제로 깎아 준다는 뜻입니다.

위자료가 인정되는 사건과 부정되는 사건

개인정보 유출로 재산상 손해가 곧바로 발생하는 경우는 오히려 드뭅니다. 그래서 실제 다툼은 대부분 정신적 손해에 대한 위자료를 둘러싸고 벌어집니다. 판례는 위자료 인정 여부를 판단하면서 유출된 개인정보의 종류와 성격, 유출 정보가 확산된 범위, 제3자가 실제로 열람했거나 열람할 수 있는 상태였는지, 2차 피해가 발생할 가능성, 유출로 침해되는 이익의 내용, 피해 확산을 막기 위해 취해진 조치 등을 종합적으로 고려한다는 기준을 제시하고 있습니다.

이 기준에 따르면, 유출된 정보가 회수되었고 제3자가 열람한 정황이 확인되지 않는 사안에서는 위자료가 부정될 수 있습니다. 반대로 주민등록번호·계좌정보·진료기록·성생활 정보처럼 되돌릴 수 없거나 민감한 정보가 불특정 다수에게 확산된 사안에서는 인정 가능성이 높아집니다. 특히 주민등록번호는 개인이 임의로 바꿀 수 없다는 점 때문에 무겁게 평가됩니다. 위자료 산정의 구체적인 기준과 실제 인정 액수는 별도의 글(개인정보 유출 피해자 위자료)에서 더 자세히 다룹니다.

과징금·과태료와 형사책임

민사소송에서 이겨도 행정·형사 절차는 별도로 진행됩니다. 오히려 기업의 존립에 더 큰 영향을 주는 쪽은 이쪽인 경우가 많습니다.

과징금은 2023년 개정으로 체계가 근본적으로 바뀌었습니다. 개정 전에는 '위반행위와 관련된 매출액'의 3%가 기준이었지만, 현행법은 '전체 매출액'의 100분의 3을 초과하지 않는 범위에서 과징금을 부과하도록 하고 있습니다(제64조의2). 위반행위와 관련이 없는 매출액은 제외되지만, 그 입증 부담은 사실상 기업이 지게 됩니다. 매출액이 없거나 산정이 곤란한 경우에는 20억 원 이하의 범위에서 부과됩니다.

안전조치의무를 위반하여 개인정보를 유출한 경우가 과징금 부과 대상에 포함되어 있고, 실제로 최근 몇 년 사이 수십억 원대 과징금이 부과된 사례가 이어지고 있습니다. 여기에 시정명령과 위반사실 공표가 더해지면 매출 규모가 큰 기업일수록 타격이 커집니다. 개인정보보호위원회의 조사 단계에서 어떤 조치를 이행하고 있었는지, 사고 후 어떤 개선을 했는지를 자료로 정리해 제출하는 작업이 과징금 액수를 실질적으로 좌우합니다.

형사책임도 별도로 따라옵니다. 안전조치의무를 다하지 않아 개인정보를 분실·도난·유출·위조·변조 또는 훼손당한 자는 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처해질 수 있습니다(제73조). 나아가 정당한 권한 없이 개인정보를 유출하거나 업무상 알게 된 개인정보를 누설·제공한 경우, 부정한 수단으로 개인정보를 취득한 경우 등에는 5년 이하의 징역 또는 5천만 원 이하의 벌금이라는 더 무거운 법정형이 적용됩니다(제71조).

여기에 양벌규정이 붙습니다. 법인의 대표자나 종업원이 법인의 업무에 관하여 위반행위를 하면 행위자를 처벌하는 외에 법인에도 벌금형이 부과됩니다(제74조). 다만 법인이 위반행위를 막기 위해 상당한 주의와 감독을 게을리하지 않았음을 보이면 면책될 수 있으므로, 여기서도 평소의 교육·점검 기록이 결정적 역할을 합니다.

협력업체가 유출해도 책임은 위탁한 기업에 남습니다

실제 사고의 상당수는 회사 본체가 아니라 고객센터 운영사, 마케팅 대행사, 시스템 유지보수 업체 등 수탁자에게서 발생합니다. "우리가 흘린 것이 아니라 협력업체가 흘린 것"이라는 항변이 통할까요. 결론은 통하지 않습니다.

개인정보 보호법 제26조는 위탁자에게 수탁자가 개인정보를 안전하게 처리하는지를 감독할 의무를 지우고, 나아가 수탁자가 위탁받은 업무를 처리하는 과정에서 법을 위반해 발생한 손해배상책임에 관하여는 수탁자를 개인정보처리자의 소속 직원으로 본다고 정하고 있습니다. 즉 고객에 대한 배상책임은 일단 위탁한 기업이 지고, 그 뒤에 계약 관계에 따라 수탁자에게 구상하는 구조가 됩니다. 고객 입장에서는 협력업체가 누구인지 알 필요 없이 자신의 정보를 맡긴 회사에 곧바로 청구할 수 있다는 뜻입니다.

따라서 위탁계약서에 손해배상·구상 조항과 보안 준수 의무를 명확히 넣고, 연 1회 이상 실제로 수탁자를 점검하고 그 결과를 문서로 남기는 것이 형식적인 절차가 아니라 실질적인 방어 수단이 됩니다. 점검을 했다는 기록이 없으면 감독의무를 다했다는 주장을 뒷받침할 방법이 없습니다.

유출 사고가 발생했을 때의 실무 대응 순서

사고 인지 후 며칠간의 대응이 이후 몇 년의 결과를 결정합니다. 순서를 정리하면 다음과 같습니다.

1. 확산부터 차단합니다. 해당 계정·접근권한을 즉시 차단하고, 취약점이 확인된 서버와 경로를 격리합니다. 이때 서버 로그와 접속기록을 절대 삭제하거나 덮어쓰지 않도록 별도로 보존해야 합니다. 원인 규명과 방어의 유일한 근거이자, 나중에 은폐 의혹을 방어할 자료이기도 합니다.

2. 유출 범위를 특정합니다. 유출된 항목(이름·연락처·주민등록번호·계좌·비밀번호 등), 대상 인원수, 기간, 경로를 확정합니다. 항목에 고유식별정보나 민감정보가 포함되었는지에 따라 신고 의무와 위험도 평가가 달라집니다.

3. 72시간 안에 통지와 신고를 마칩니다. 원인 조사가 끝나지 않았더라도 확인된 범위까지 먼저 알리고, 이후 밝혀진 내용을 추가 통지하는 방식이 안전합니다. 법정 통지 항목 다섯 가지가 빠짐없이 들어갔는지 문안을 확인해야 합니다.

4. 피해 확대 방지 조치를 시행하고 기록합니다. 비밀번호 강제 초기화, 이상거래 모니터링 강화, 전용 상담 창구 개설, 필요하다면 명의도용 방지 서비스 지원까지 검토합니다. 이 조치들은 위자료와 과징금 산정에서 기업에 유리하게 반영되는 항목입니다.

5. 재발방지대책을 수립해 실제로 이행합니다. 취약점 조치, 암호화 범위 확대, 권한 재정비, 접속기록 점검 주기 단축 등을 계획과 실행 결과가 함께 남도록 문서화합니다.

6. 조사·소송 대응을 하나의 그림으로 설계합니다. 개인정보보호위원회 조사에 제출한 자료, 형사절차에서의 진술, 민사소송에서의 주장이 서로 어긋나면 어느 절차에서도 신뢰를 얻기 어렵습니다. 세 절차의 대응을 처음부터 함께 맞추어야 합니다.

자주 묻는 질문

우리도 해킹을 당한 피해자인데 왜 배상책임을 지나요?

해킹을 당했다는 사실 자체가 면책 사유가 되지는 않습니다. 법은 고객의 정보를 수집·보관하기로 한 이상 그에 상응하는 보호조치를 할 의무를 기업에 지우고 있고, 그 의무를 다했는지를 다투게 됩니다. 다만 요구되는 조치를 모두 이행하고 있었고 당시 기술 수준으로 막기 어려운 공격이었다는 점을 증명하면 배상책임이 부정될 수 있습니다. 실제로 그렇게 결론이 난 대규모 해킹 사건들이 있습니다. 관건은 그 증명을 뒷받침할 기록이 남아 있는지입니다.

유출된 정보가 이름과 휴대전화번호뿐인데도 배상해야 하나요?

항목이 적다는 사정은 위자료 인정 여부와 액수 모두에 유리하게 작용합니다. 그러나 자동으로 면책되지는 않습니다. 이름과 연락처만으로도 스미싱·보이스피싱 같은 2차 피해로 연결될 가능성이 있고, 다른 곳에서 유출된 정보와 결합될 위험도 고려됩니다. 유출 정보가 실제로 확산되었는지, 제3자가 열람할 수 있는 상태였는지가 실무상 가장 크게 작용합니다.

원인 파악이 끝나지 않았는데도 72시간 안에 알려야 하나요?

그렇습니다. 통지 기산점은 원인 규명이 끝난 때가 아니라 유출 사실을 알게 된 때입니다. 확인된 범위까지 먼저 통지하고 이후 확인된 내용을 보충 통지하는 것이 원칙적인 방식입니다. 조사 중이라는 이유로 통지를 미루면 통지의무 위반에 따른 과태료뿐 아니라, 이후 과징금과 위자료 판단에서 은폐 정황으로 평가될 위험이 있습니다.

피해자들이 집단소송을 준비한다는데, 우리나라에도 그런 제도가 있나요?

미국식 집단소송(class action)은 도입되어 있지 않지만, 실질적으로 세 가지 경로가 있습니다. 첫째, 개인정보 분쟁조정위원회의 집단분쟁조정으로, 같은 유형의 피해가 다수에게 발생한 경우 일괄 조정을 신청할 수 있고 조정이 성립하면 재판상 화해와 같은 효력을 가집니다. 2023년 개정으로 개인정보처리자는 특별한 사유가 없으면 조정 절차에 응해야 합니다. 둘째, 개인정보 단체소송이 있으나 이는 권리침해 행위의 금지·중지를 구하는 소송이어서 손해배상을 받아내는 수단은 아닙니다. 셋째, 실제로 가장 많이 쓰이는 방식은 다수의 피해자가 공동원고로 참여하는 공동소송입니다.

몇 년 전 사고인데 지금도 청구가 가능한가요?

불법행위에 따른 손해배상청구권은 민법 제766조에 따라 손해 및 가해자를 안 날부터 3년, 불법행위를 한 날부터 10년이 지나면 소멸합니다. 개인정보 유출 사건에서는 통상 기업의 유출 통지를 받은 시점이 '안 날'로 다루어지지만, 통지를 받지 못했거나 유출 사실이 뒤늦게 언론이나 수사 결과로 드러난 경우에는 기산점 자체가 다투어집니다. 오래된 사고라도 기산점부터 따져 볼 여지가 있습니다.

법무법인 도모가 함께하겠습니다

개인정보 유출 사건에서 결과를 가르는 것은 사고의 크기가 아니라 사고 당시 회사가 무엇을 하고 있었는지를 기록으로 보여 줄 수 있는가, 그리고 사고 직후 며칠을 어떻게 썼는가입니다. 같은 규모의 유출이라도 안전조치 이행 내역과 점검 기록이 정리되어 있고 72시간 안에 정확한 통지가 나간 기업은 배상책임이 부정되거나 과징금이 크게 조정되는 반면, 통지를 미루고 로그를 정리해 버린 기업은 민사·행정·형사 세 절차에서 모두 불리한 출발선에 서게 됩니다. 특히 민사에서는 입증책임이 기업에 있고, 과징금 기준이 전체 매출액의 3%로, 징벌적 손해배상이 5배로 올라간 지금은 그 격차가 예전보다 훨씬 벌어져 있습니다.

유출 정황을 막 확인하신 단계라면 로그 보존과 통지 문안 작성이 시급하고, 이미 개인정보보호위원회의 조사나 고객들의 내용증명·소장을 받으신 단계라면 세 절차의 대응을 하나로 맞추는 작업이 먼저입니다. 반대로 정보가 유출된 고객의 입장에서 어디까지 청구할 수 있는지 확인하고 싶으신 경우에도 검토할 지점은 같습니다. 어느 쪽이든 시간이 지날수록 확보할 수 있는 자료가 줄어드는 사건입니다. 비슷한 상황으로 고민하고 계신다면 법무법인 도모로 문의해 주시기 바랍니다. 확보된 자료와 사고 경위를 바탕으로 현재 노출된 책임의 범위와 지금 당장 해야 할 조치를 함께 짚어 드리겠습니다.