고객 정보 유출로 개인정보위 과징금 처분을 받았다면 — 안전조치를 다했다는 항변이 통한 판결, 관련 매출액·감경으로 다투는 법

해킹 사고를 수습하느라 정신이 없던 회사에 몇 달 뒤 개인정보보호위원회의 처분 사전통지가 도착합니다. 시정명령과 과태료, 그리고 수억 원에서 수십억 원에 이르는 과징금, 처분 사실을 홈페이지에 공표하라는 명령까지 한 장에 적혀 있습니다. 상담에서 가장 많이 듣는 말은 "해커에게 당한 것도 억울한데 왜 우리가 거액을 내야 하느냐", "유출된 건 회원 일부인데 왜 회사 전체 매출로 계산하느냐"입니다. 결론부터 말씀드리면 개인정보 유출 과징금은 유출이 있었다는 사실만으로 확정되는 제재가 아니고, 안전성 확보조치를 다했는지, 관련 매출액과 위반기간을 어떻게 잡았는지, 사고 규모에 비해 금액이 과중한지를 다투어 취소되거나 줄어든 판결이 실제로 있습니다. 개인정보 유출 과징금이란, 개인정보 보호법 제64조의2 제1항 제9호에 따라 개인정보처리자가 처리하는 개인정보가 유출등이 된 경우 보호위원회가 전체 매출액의 100분의 3을 넘지 않는 범위에서 부과하는 금전 제재이고, 같은 호 단서는 제29조의 안전성 확보에 필요한 조치를 다한 경우에는 부과하지 않는다고 정합니다. 이런 사건을 맡아 보면 결론은 네 군데에서 갈립니다. 회사가 당시 기술 수준에서 기대되는 보호조치를 했는지, 처분사유 가운데 일부라도 무너지는지, 관련 매출액과 위반기간이 부풀려지지 않았는지, 그리고 유출 뒤 72시간 안의 신고·통지와 조사 대응이 어땠는지입니다. 판결을 보면 같은 해킹 사고라도 보호조치의 수준과 처분사유의 구성에 따라 과징금이 통째로 취소되기도 하고 그대로 유지되기도 합니다. 아래에서는 해킹·내부 경로·설정 오류로 유출 사고를 겪고 처분을 받은 사업자의 입장에서, 정보통신망법 시절 방송통신위원회 판결부터 2023년과 2026년 개정법까지 과징금 산정, 감경·면제, 신고·통지, 민사·형사 연동, 사전통지부터 소송까지의 시한을 실제 판결을 근거로 차례로 짚어 보겠습니다.

핵심만 먼저 정리하면

1. 해킹을 당했어도 안전조치를 다했다면 과징금을 피할 수 있나요 — 가능합니다. 대법원 2021. 8. 19. 선고 2018두56404 판결은 보호조치 의무를 '사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치'로 보고, 사후 시정이 쉬웠다는 사정만으로 위반을 인정하면 결과책임이 된다며 대형 통신사에 대한 과징금 7,000만 원 취소를 확정했습니다.

2. 위반은 맞는데 금액이 너무 크면 다툴 수 있나요 — 다툴 수 있습니다. 대법원 2023. 10. 12. 선고 2022두68923 판결은 설정 실수로 회원 20명의 정보가 하루 동안 노출된 온라인 쇼핑몰에 부과된 과징금 18억 5,200만 원을 비례원칙 위반으로 취소한 원심을 유지했습니다.

3. 유출과 상관없는 매출은 빼 주나요 — 2023. 9. 15. 시행 개정법부터 전체 매출액에서 관련 없는 매출액을 빼고 산정합니다(현행 제64조의2 제3항). 다만 서울행정법원 2025. 8. 14. 선고 2024구합70753 판결은 인터넷강의 회사가 빼 달라고 한 교재·모의고사·사은품 매출을 모두 관련 매출로 보았습니다.

처분서에서 먼저 볼 것 — 시정명령, 과징금, 과태료, 공표명령은 각각 다른 처분입니다

처분서를 받으면 합계 금액보다 처분이 몇 개로 나뉘어 있는지부터 봐야 합니다. 유출 사고에는 보통 네 가지가 함께 나옵니다. 개인정보 보호법 제64조 제1항의 시정조치 명령, 제64조의2의 과징금, 제75조의 과태료, 그리고 제66조 제2항의 공표명령입니다. 근거 조문과 불복 경로가 다르고, 판결도 이 가운데 일부만 취소하는 식으로 나옵니다.

판결을 보면 시정명령은 남고 과징금만 취소되는 일이 흔합니다. 서울행정법원 2021. 11. 12. 선고 2020구합59628 판결은 온라인 쇼핑몰의 시정명령 취소 청구는 기각하면서 과징금 부과처분만 취소했습니다. 서울고등법원 2020. 11. 4. 선고 2019누43964 판결은 처분사유 일부가 인정되지 않자 시정조치와 공표명령은 그 초과 부분만 취소하고 과징금은 전부 취소했습니다. 시정명령과 공표명령은 처분사유별로 나눌 수 있지만, 과징금은 하나의 재량 판단이어서 기초 사실 일부가 무너지면 전부 취소되는 구조이기 때문입니다.

규모가 큰 사건은 처분 목록이 더 깁니다. 서울행정법원 2018. 7. 5. 선고 2017구합53156 판결의 대형 온라인 쇼핑몰은 시정명령, 시정명령을 받은 사실의 공표, 임직원 교육과 대책 수립 뒤 보고, 과징금 44억 8,000만 원, 과태료 2,500만 원을 한꺼번에 받았습니다. 서울중앙지방법원 2026. 5. 15. 선고 2025나9594 판결에 나온 여행 플랫폼은 안전조치, 파기, 유출 통지 위반으로 과징금 7억 4,700만 원과 과태료 1,020만 원, 공표명령을 함께 받았습니다. 저는 처분서를 받으면 어느 사유가 어느 처분을 떠받치는지부터 연결해 봅니다. 사유 하나가 무너질 때 함께 무너지는 처분이 소송의 설계도가 되기 때문입니다.

'안전조치를 다했다'는 항변 — 결과책임이 아니라는 대법원 기준

유출이 있었다고 곧바로 안전조치 의무 위반이 되는 것은 아닙니다. 대법원 2018두56404 판결은 정보통신망법 시절 보호조치 기준 고시의 의무를 '해킹 등 침해사고에 의해 유출되지 않도록 개인정보처리시스템과 개인정보취급자의 컴퓨터에 취하여야 할 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치'로 해석했습니다. 그리고 이를 다했는지는 다음 사정을 종합해 판단해야 한다고 했습니다.

• 침해사고 당시 보편적으로 알려져 있던 정보보안의 기술 수준

• 사업자의 업종과 영업 규모

• 설계 단계에 반영한 보안대책과, 운영하면서 실시한 보안기술의 적정성 검증과 개선 조치

• 정보보안에 필요한 경제적 비용과 효용

• 실제 쓰인 해킹 기술의 수준과 그에 따른 피해 회피 가능성

• 수집한 개인정보의 내용과 유출로 이용자가 입는 피해의 정도

이 사건에서 해커는 홈페이지 요청값을 바꾸는 파라미터 변조 수법으로 1,170만여 건을 빼 갔습니다. 대법원은 방대한 소스코드에서 이런 예외 상황을 개발 단계에서 모두 막기는 쉽지 않고, 사후 시정 조치가 비교적 손쉽게 이루어졌다는 사정에만 주목하면 결과책임을 묻게 될 우려가 크다고 했습니다. 회사가 오랜 기간 자동화된 점검 도구와 모의해킹으로 웹 취약점을 줄여 왔다는 점이 결정적이었습니다. 원심인 서울고등법원 2018. 8. 24. 선고 2016누64533 판결은 네 개 처분사유 가운데 퇴직자 계정의 접근권한을 제대로 말소하지 않은 한 가지만 인정되는데도 '중대한 위반행위'로 평가해 산정한 과징금은 재량권 일탈·남용이라고 보았고, 대법원이 이를 유지했습니다.

같은 흐름의 판결이 하나 더 있습니다. 대법원 2021. 9. 30. 선고 2020두55220 판결의 소프트웨어 회사는 크리덴셜 스터핑 공격으로 이용자 16만여 명의 비밀번호 관리 정보가 유출되었고, 해커는 5억 원 상당의 비트코인을 요구하며 회사를 협박했습니다. 원심 2019누43964 판결은 회사가 웹 방화벽 관제 등을 운영하고 있었으므로 침입차단·탐지시스템 '설치' 의무 위반은 아니라고 보았습니다. 다만 인가받지 않은 접근을 제한하고 유출 시도를 탐지하는 '운영' 의무는 소홀했다고 판단했습니다. 처분사유 일부가 빠지자 과징금은 재량의 기초 사실을 잘못 인정한 것이 되어 전부 취소되었고, 대법원은 양쪽 상고를 모두 기각했습니다. 제 경험으로도 이 유형의 사건에서는 처분사유를 하나씩 떼어 각각에 대해 당시 기술 수준과 실제 운영 기록을 맞춰 보는 작업이 가장 효과가 큽니다.

항변이 통하지 않은 판결 — 비용이 거의 들지 않는 조치를 하지 않았다면

반대로 법원이 '할 수 있었는데 하지 않았다'고 본 사건에서는 처분이 유지됩니다. 공통점은 그 조치가 당시 보편적인 기술이었고 비용도 거의 들지 않았다는 점입니다.

서울행정법원 2025. 3. 28. 선고 2023구합81091 판결의 채용정보 사이트는 크리덴셜 스터핑으로 3만 6천여 명의 계정이 뚫려 이력서가 열람되었습니다. 회사는 침입탐지·방지시스템을 운영했고 해설서의 권고를 모두 이행했으며, 사고는 여러 사이트에 같은 비밀번호를 쓴 이용자의 부주의 탓이라고 주장했습니다. 법원은 받아들이지 않았습니다. 회사가 사고 5일 뒤에야 휴면계정 해제 때 추가 인증을 요구하는 정책을 적용했는데, 그 조치는 사고 당시에도 보편적인 기술 수준이었고 비용이 거의 들지 않는다는 이유였습니다. 과징금 7,060만 9,000원이 유지되었습니다.

관리자 계정 관리는 더 엄격하게 봅니다. 서울중앙지방법원 2023. 10. 25. 선고 2022나62088 판결의 화장품 판매사는 멤버십 서버의 관리자 계정명과 비밀번호를 관리자를 뜻하는 같은 단어로 설정해 두었습니다. 해커는 흔히 쓰이는 관리자 페이지 주소로 들어와 12초 만에 로그인했고, 8만 1천여 건이 유출되었습니다. 접속 IP 제한도 추가 인증도 없었다는 점이 그대로 책임 근거가 되었습니다. 서울행정법원 2023. 1. 13. 선고 2022구합61564 판결의 초등 온라인학습 서비스는 다른 회사와 DB 접근제어 솔루션을 함께 쓰면서 모든 출발지의 접속을 허용하는 규칙을 두었고, 이전에도 웹셸로 유출 사고를 겪은 적이 있었습니다. 법원은 이 사정을 고의나 중과실의 근거로 삼았습니다.

이미 알고 있던 취약점을 방치한 경우도 불리합니다. 2024구합70753 판결의 인터넷강의 회사는 해커가 크리덴셜 스터핑으로 회원 계정에 들어온 뒤 게시판에 악성 스크립트를 올리고, 이를 열어 본 직원의 세션 정보를 탈취해 회원 9만 5천여 명의 정보를 빼 간 사건이었습니다. 회사는 모의해킹으로 그 취약점을 알고 있었는데도 입력값 검증을 적용하지 않았습니다. 항소심인 서울고등법원 2025. 12. 24. 선고 2025누8058 판결은 로그인 실패 횟수 제한 의무가 고시 부칙에 따라 2024. 9. 14.까지 유예되었다는 주장도 배척했습니다. 해설서상 접근 제한 대상인 'IP주소 등'에는 과도한 접속 실패 같은 이상행위가 포함되고, 대량의 로그인 실패에도 대응하지 못했다는 이유였습니다.

그래서 의견제출 단계에서 '보안 장비가 있었다'는 말만으로는 부족합니다. 장비가 무엇을 탐지하도록 설정되어 있었는지, 사고 무렵의 경보와 대응 기록, 사후에 바꾼 설정이 당시에도 보편적이던 조치인지를 함께 설명해야 합니다. 2018두56404 판결과 2023구합81091 판결 사이에서 회사의 사정이 어느 쪽에 가까운지를 증거로 보여 주는 것이 핵심입니다.

유출 경로마다 쟁점이 다릅니다 — 해킹, 내부 PC 경유, 설정 오류

유출 경로를 정확히 특정하는 것이 다툼의 출발점입니다. 경로에 따라 어떤 조치 의무가 문제 되는지, 어떤 항변이 가능한지가 달라지기 때문입니다.

• 외부 해킹 — 웹셸 업로드, 크리덴셜 스터핑, 악성 스크립트, 지능형 지속 공격이 판결에 나오는 대표적 수법입니다. 접근통제, 접속기록 점검, 인증 강화가 주로 문제 됩니다.

• 내부 PC 경유 — 2017구합53156 사건에서 해커는 직원 PC를 거쳐 데이터베이스 서버에 들어갔습니다. 망분리 프로그램과 서버 접근제어 프로그램의 접속이 종료되지 않은 PC를 통해 비밀번호 없이 DB에 접속할 수 있었다는 점에서 최대 접속시간 제한 위반이 인정되었습니다. 유출 규모는 피고 조사 기준 2,665만여 건이었습니다.

• 설정 오류·노출 — 2022두68923 사건은 이벤트 페이지의 캐시 정책을 잘못 설정해 회원 20명의 정보가 다른 이용자 29명에게 보인 사고였습니다. 해커가 없어도 유출등에 해당하지만, 규모와 경위가 금액 판단에서 크게 작용합니다.

범위를 좁히려는 주장 가운데 판례로 막힌 것도 있습니다. 대법원 2018두56404 판결과 2020두55220 판결은 개인정보처리시스템에 데이터베이스와 연동되어 처리에 관여하는 웹서버와 응용프로그램도 포함되고, 유출 방지 조항은 외부의 불법 접근까지 대상으로 한다고 했습니다. 2024구합70753 판결은 일부가 가려진 이름·전화번호와 함께 유출된 아이디도 다른 정보와 쉽게 결합할 수 있어 개인정보라고 보았습니다. 서울고등법원 2019. 11. 1. 선고 2018누56291 판결은 정보통신망법 개정 이후에는 조치 미이행과 유출 사이의 인과관계가 과징금 요건이 아니라고 했습니다. 이런 주장에 기대기보다는 처분사유 하나하나의 사실관계를 다투는 쪽이 현실적이라고 봅니다.

과징금은 어떻게 계산되나 — 2023년 개정과 2026년 개정

과징금 계산은 위반행위가 언제 끝났는지에 따라 적용 법이 달라집니다. 정보통신망법 시절과 2023. 9. 15. 전에는 정보통신서비스 제공자에게 '위반행위와 관련한 매출액'의 100분의 3 이하를 부과했고(구 정보통신망법 제64조의3, 구 개인정보 보호법 제39조의15), 주민등록번호 유출은 5억 원 이하의 별도 과징금이 있었습니다(구 개인정보 보호법 제34조의2). 서울행정법원 2021. 6. 24. 선고 2020구합3618 판결의 항공권 판매업체가 받은 2,437만 5,000원이 이 주민등록번호 과징금입니다.

2023. 3. 14. 개정되어 2023. 9. 15. 시행된 개인정보 보호법은 과징금을 제64조의2로 모았습니다. 모든 개인정보처리자에게 전체 매출액의 100분의 3 이하를 부과하되, 위반행위와 관련 없는 매출액을 빼고 산정합니다(당시 제2항, 현행 제3항). 부칙 제8조는 시행 전에 끝난 위반행위에는 종전 규정을, 시행 당시 끝나지 않은 위반행위에는 개정 규정을 적용하게 합니다. 2020년 사고에 대해 2023. 8. 30. 처분이 내려진 2023구합81091 사건에는 종전 규정이 적용되었습니다.

2026. 3. 10. 개정되어 2026. 9. 11. 시행된 개정법은 제재를 한층 키웠습니다. 다음 경우에는 전체 매출액의 100분의 10 이하까지 부과할 수 있습니다(제64조의2 제2항).

1. 과징금 부과처분을 받은 날부터 3년이 지나기 전에 같은 호의 위반행위를 다시 한 경우(각각 고의나 중과실이 있는 경우로 한정)

2. 고의나 중과실로 위반하고 정보주체의 피해 규모가 1천만 명 이상인 경우

3. 시정조치 명령을 따르지 않아 유출이 일어난 경우

반복 위반 가중은 개정법 시행 뒤의 위반으로 처분을 받은 다음 다시 위반한 경우부터, 1천만 명 가중은 시행 당시 끝나지 않은 위반행위에도 적용됩니다(부칙 제3조). 같은 개정으로 개인정보 보호에 예산·인력·설비를 투자해 온 경우의 필요적 감경(제6항, 고의·중과실은 제외)이 신설되었고, 2023년 개정 때 생긴 면제 사유는 제7항으로 옮겨졌습니다. 면제 사유는 과징금을 낼 능력이 없는 경우, 위법하지 않다고 잘못 알 만한 정당한 사유, 경미하거나 소액인 경우, 피해가 없거나 경미한 경우입니다.

전체 매출액은 시행령 제60조의2 제1항이 정합니다. 현행 규정은 사업을 시작한 지 3년 이상이면 직전 사업연도 매출액과 직전 3개 사업연도 연평균 매출액 가운데 큰 금액을 씁니다. 2024구합70753 사건의 처분 당시에는 3개 사업연도 연평균으로 계산했습니다. 전체 매출액 1,822억여 원에서 관련 없는 매출액 748억여 원을 빼 관련 매출액 1,074억여 원을 기준으로 삼았고, 최종 과징금은 6억 1,300만 원이었습니다. 산정 단계마다 숫자가 하나씩 들어가므로, 저는 처분서의 산식을 회사 재무자료와 한 줄씩 대조하는 일부터 합니다.

관련 매출액과 위반기간 — 금액을 키우는 두 변수

과징금 다툼에서 가장 자주 등장하는 변수는 관련 매출액과 위반기간입니다. 결론부터 말씀드리면 둘 다 법원이 행정청에 유리하게 넓게 보는 경향이 있으므로, 막연히 '유출과 관계없다'고 주장하기보다 서비스 구조를 근거로 선을 그어야 합니다.

관련 매출액의 기준은 대법원 2022두68923 판결이 세웠습니다. 과징금은 제재이면서 부당이득 환수의 성격도 갖는데(헌법재판소 2022. 5. 26. 선고 2020헌바259 결정 인용), 보호조치를 하지 않았다고 매출이 늘지는 않습니다. 그래서 박탈할 이득은 보호조치를 하지 않은 개인정보를 영업에 보유·이용하며 얻은 이득이고, 서비스 범위는 유출된 개인정보를 보유·관리하는 서비스가 기준이 됩니다. 이 판결은 이벤트 매출로 한정한 원심 판단은 잘못이라고 했습니다. 서비스 가입 방법, 개인정보 데이터베이스를 관리하는 조직·인력·시스템 운영 방식이 판단 요소입니다.

이 기준 때문에 매출 일부를 빼 달라는 주장은 대체로 받아들여지지 않았습니다. 서울행정법원 2024. 4. 18. 선고 2023구합66443 판결의 건강기능식품 쇼핑몰은 외부 간편결제로 결제한 고객 정보는 쇼핑몰 데이터베이스에 저장되지 않으니 그 매출을 빼야 한다고 주장했습니다. 법원은 유출된 정보를 보유·관리하던 쇼핑몰 서비스의 매출이면 매출 발생에 개인정보가 쓰였을 필요가 없다며 4억 6,457만 3,000원을 유지했고, 서울고등법원 2025. 12. 12. 선고 2024누41993 판결이 항소를 기각했습니다. 2024구합70753 판결도 강사에게 넘어가는 교재 대금, 배송비, 외부 교재와 오프라인 모의고사, 수강 촉진용 사은품 매입원가가 모두 인터넷강의 서비스에 딸린 매출이라고 했습니다. 제 견해로는 개정법의 '관련 없는 매출액'을 주장하려면 데이터베이스와 회원 체계가 실제로 분리된 별도 사업부라는 점을 시스템 구성도와 회원 가입 경로로 보여 주어야 합니다.

위반기간도 넓게 잡힙니다. 위반기간이 1년 이내면 기준금액을 유지하고, 1년 초과 2년 이내면 100분의 25, 2년 초과면 100분의 50을 가산하는 것이 종전 부과기준이었습니다. 2022구합61564 판결은 위반기간은 유출사고 기간이 아니라 법 위반행위의 기간이라며 늦어도 해커가 웹셸을 올린 시점부터 위반이 있었다고 보았습니다. 2023구합81091 판결은 회사 설립 무렵부터, 2023구합66443 판결은 관리용 도메인과 웹서버가 구축된 때부터 위반이 시작되었다고 보았습니다. 2024구합70753 판결에서 회사는 유출이 일어난 5일만 위반기간이라고 주장했지만, 법원은 안전조치를 하지 않은 8년 전체를 위반기간으로 보았습니다. 해커의 공격이 얼마나 이어졌는지, 언제 발견했는지 같은 우연한 사정으로 금액이 달라지면 불합리하다는 이유였습니다. 반대로 말하면 위반 시작 시점을 늦출 자료가 있다면 그것이 가장 큰 감액 요인이 됩니다. 문제 된 설정이 언제 도입되었는지 보여 주는 변경 이력, 보안 점검 보고서의 날짜가 그런 자료입니다.

과징금이 취소·감경된 판결과 유지된 판결 — 무엇이 갈랐나

판결을 나란히 놓으면 기준이 보입니다. 취소된 사건은 처분사유 일부가 무너졌거나 사고의 실질에 비해 금액이 지나쳤던 경우입니다. 유지된 사건은 반복 사고, 쉬운 조치의 미이행, 조사 비협조가 있었던 경우입니다.

취소된 쪽부터 보겠습니다. 2022두68923 사건에서 대법원은 캐시 정책이 단 하루 적용되었고 회사가 다음 날 바로 신고했다는 점을 들었습니다. 주민등록번호나 비밀번호는 노출되지 않았고, 구조적 문제가 아니라 담당 직원의 단순한 실수였으며, 29명에게 개별적으로 노출되어 추가 피해 우려가 작았습니다. 이런 소규모 사고에 거액 과징금을 부과한 사례도 찾기 어려웠습니다. 대법원은 특히 판결 당시 시행 중이던 부과기준(2022. 10. 20. 개정 고시)이라면 '사소한 부주의나 오류'와 '유출된 정보주체 100명 미만'에 해당해 과징금 면제 사유에도 해당한다는 점을 짚었습니다. 1심 2020구합59628 판결, 항소심 서울고등법원 2022. 11. 18. 선고 2021누73975 판결과 결론이 같았습니다. 2016누64533 판결과 2019누43964 판결은 앞에서 본 것처럼 처분사유 일부가 인정되지 않아 전부 취소된 경우입니다.

유지된 쪽은 사정이 다릅니다. 2022구합61564 사건의 과징금 9억 335만 3,000원은 관련 매출액 537억여 원에 부과기준율 1천분의 21을 곱한 기본 과징금에서 출발했습니다. 행정청은 조사 협력과 자진신고를 이유로 이미 100분의 20을 감경해 준 상태였습니다. 회사는 피해 규모가 보유 개인정보의 100분의 5 이내라 감경 대상이라고 다투었지만, 법원은 관련 서비스의 보유 정보 42만 7,221건 가운데 2만 3,624건, 즉 5.5퍼센트라서 해당하지 않는다고 했습니다. 서울고등법원 2023. 11. 2. 선고 2023누34486 판결이 항소를 기각했습니다. 2020구합3618 판결의 회사는 시정조치를 모두 이행했고 코로나로 매출이 급감했다고 호소했습니다. 법원은 행정청이 이미 최대한 감경했고 유사 사례와 비교해 과다하지 않으며 납부기한 연장과 징수유예도 해 주었다는 이유로 처분을 유지했습니다. 2024구합70753 사건은 행정청이 위반 정도를 가장 가벼운 '약한 위반행위'로 평가했는데도 유지되었습니다. 회사가 내세운 다른 회사들의 과징금 사례는 사안이 달라 같은 선상에서 비교할 수 없다고 했습니다.

조사 단계의 태도는 금액을 직접 올립니다. 2018누56291 판결의 쇼핑몰은 유출의 핵심 경로였던 PC를 1차 현장조사 기간에 내지 않다가 노후를 이유로 폐기했고, 경찰이 접속권한자 PC만 초기화하라고 권고했는데도 사내 전체 PC를 초기화했습니다. 법원은 조사방해를 이유로 한 15퍼센트 추가 가중이 정당하다고 했습니다. 2017구합53156 사건에서는 휴면회원과 제휴사 회원에 대한 유출 통지를 늦춘 점도 피해 확산 방지 노력을 게을리한 가중 사정으로 처분에 반영되었고, 법원은 처분을 유지했습니다. 제 견해로는 감경을 받으려면 소송보다 의견제출 단계에서 자진신고, 조사 협조, 피해 확산 방지 조치, 보호 투자 내역을 숫자와 날짜로 정리해 내는 것이 훨씬 효과적입니다.

유출 신고와 통지 — 72시간을 넘기면 과태료와 가중 사유가 됩니다

사고를 알게 된 순간부터 시계가 돌아갑니다. 개인정보 보호법 제34조 제1항은 유출등을 알게 되면 지체 없이 정보주체에게 유출 항목, 시점과 경위, 피해 최소화 방법, 회사의 대응조치와 피해 구제 절차, 신고 접수 부서, 손해배상·분쟁조정 등 법적 권리를 알리게 합니다. 시행령 제39조 제1항은 이를 72시간 이내로 정합니다. 다만 접속경로 차단이나 취약점 보완 같은 긴급 조치가 필요하거나 천재지변 등 부득이한 경우에는 그 사유가 해소된 뒤 즉시 알릴 수 있습니다. 구체적 내용을 다 확인하지 못했더라도 그때까지 확인된 내용을 먼저 통지하고 추가 내용은 확인되는 즉시 알려야 합니다(제2항).

보호위원회나 한국인터넷진흥원에 대한 신고도 72시간 이내입니다(법 제34조 제4항, 시행령 제40조). 1천 명 이상의 정보가 유출된 경우, 민감정보나 고유식별정보가 유출된 경우, 외부의 불법 접근으로 유출된 경우가 대상입니다. 2026. 9. 11. 시행 개정으로 유출 '가능성'이 있음을 알게 된 경우의 통지 의무(제34조 제2항)가 신설되었습니다. 이 의무는 시행 뒤에 그 가능성을 알게 된 경우부터 적용됩니다. 통지나 신고를 하지 않으면 3천만 원 이하의 과태료 대상입니다(제75조 제2항 제17호·제18호).

판결에서도 통지 시점은 따로 따져집니다. 2025나9594 사건의 여행 플랫폼은 보안관제업체의 웹셸 탐지 연락을 받고 4일 뒤 한국인터넷진흥원에 알렸습니다. 분석 결과로 유출을 확인한 것은 다시 한 달쯤 뒤였는데, 이용자 통지는 그로부터 약 2개월 뒤에야 했습니다. 개인정보보호위원회는 통지 의무 위반을 포함해 과징금과 과태료를 부과했습니다. 반대로 2022구합61564 사건에서는 유출 흔적을 감지한 다음 날 한국인터넷진흥원에 신고한 점이 자진신고 감경으로 이어졌습니다. 저는 사고 직후 첫 72시간에 무엇을 확인했고 무엇을 아직 모르는지를 문서로 남기도록 권합니다. 그 기록이 나중에 '지체 없이'를 다투는 거의 유일한 증거가 됩니다.

정보통신망법 시절 판결은 지금도 기준이 됩니다 — 그리고 형사처벌은 사라졌습니다

2020. 8. 5. 개정 개인정보 보호법 시행으로 방송통신위원회의 개인정보 보호 사무가 개인정보보호위원회로 넘어갔습니다. 그 전에 내려진 방송통신위원회 처분은 보호위원회의 행위로 봅니다(부칙 제3조). 2019누43964 사건처럼 소송 도중 피고가 보호위원회로 경정된 사건도 있습니다. 판결에 나오는 고시 이름도 '개인정보의 기술적·관리적 보호조치 기준'에서 '개인정보의 안전성 확보조치 기준'으로 바뀌었습니다. 하지만 2023구합81091, 2024구합70753 같은 최근 판결은 여전히 2018두56404, 2020두55220, 2022두68923 판결의 법리를 그대로 인용합니다. 보호조치의 판단 기준, 처리시스템의 범위, 관련 매출액의 기준은 정보통신망법 시절 판결에서 이어지고 있다고 보면 됩니다.

형사 쪽은 크게 달라졌습니다. 구 정보통신망법 제73조 제1호는 보호조치를 하지 않아 이용자의 개인정보를 유출한 자를 2년 이하의 징역 또는 2천만 원 이하의 벌금으로 처벌했고, 제75조로 법인도 처벌했습니다. 그런데 2020. 2. 4. 개정으로 이 조항이 삭제되었고 경과규정도 없었습니다. 서울동부지방법원 2025. 1. 16. 선고 2020노343 판결은 이 점을 들어 대법원 2022. 12. 22. 선고 2020도16420 전원합의체 판결에 따라 면소를 선고했습니다. 가상자산 거래소와 관계자가 1심(서울동부지방법원 2019고단1838)에서 각 벌금 3,000만 원을 받은 사건이었습니다. 개인정보 보호법에도 안전조치 위반으로 유출당한 자를 처벌하는 구 제73조 제1호가 있었지만, 2023. 9. 15. 시행 개정법의 제73조에는 그 조항이 없습니다. 지금 안전조치 위반 그 자체는 과징금과 과태료(제75조 제2항 제5호)의 영역입니다.

다만 조사를 방해하면 형사처벌이 따라옵니다. 현행 제73조 제1항 제4호와 제5호는 법 위반사항을 은폐하거나 축소할 목적으로 자료 제출을 거부하거나 거짓 자료를 내는 행위를 처벌합니다. 출입·검사 때 자료를 은닉·폐기하거나 위조·변조해 조사를 방해하는 행위도 같습니다. 법정형은 2년 이하의 징역 또는 2천만 원 이하의 벌금입니다. 2018누56291 사건 같은 PC 폐기·초기화가 지금 일어난다면 가중 사유를 넘어 형사 문제로 번질 수 있다는 뜻입니다.

민사 손해배상 — 법정손해배상과 실제 위자료의 수준

과징금과 별개로 정보주체의 손해배상 청구가 들어옵니다. 개인정보 보호법 제39조 제1항은 손해를 입은 정보주체가 배상을 청구할 수 있게 하고, 회사가 고의·과실 없음을 증명하지 못하면 책임을 면하지 못하게 합니다. 제39조의2 제1항은 손해를 증명하지 않아도 300만 원 이하의 범위에서 상당한 금액을 청구할 수 있는 법정손해배상을 둡니다. 제39조 제3항은 고의·중과실로 유출된 경우 손해액의 5배까지 배상액을 정할 수 있게 하고, 제4항은 그 판단에 위반행위에 따른 과징금을 고려하게 합니다.

최근 대법원은 법정손해배상에 선을 그었습니다. 대법원 2025. 12. 4. 선고 2023다311184 판결은 정보주체가 유출 사실만 증명하면 되고 손해 발생은 증명할 필요가 없다고 했습니다. 다만 회사가 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 증명하면 책임을 면할 수 있다고 보았습니다. 그 판단에는 유출된 정보의 종류, 식별 가능성, 제3자의 열람 여부와 확산 범위, 추가 피해 가능성, 회사의 관리 상황과 유출 경위, 피해 확산 방지 조치를 고려합니다. 이 사건은 지식거래 사이트 해킹으로 40만여 명이 유출되었는데, 원고의 유출 정보는 암호화된 비밀번호와 이메일 주소였습니다. 원심(서울남부지방법원 2023. 12. 7. 선고 2023나55205 판결)의 청구 기각이 유지되었습니다.

인정되더라도 금액은 크지 않은 편입니다. 2022나62088 판결은 이름·생년월일·휴대전화번호 유출에 위자료 3만 원을 인정했습니다. 회사가 자진해서 수사에 협조했고 2년 동안 확산 정황이 없었다는 사정이 반영되었습니다. 2025나9594 판결은 통지가 2개월 늦었는데도 취약점 개선과 신고로 확산을 막으려 노력했다며 10만 원을 인정했습니다. 회사로서는 1인당 금액보다 원고 수가 문제이므로, 유출 직후의 확산 방지 조치와 통지 내용이 민사 방어의 핵심 자료가 됩니다.

방향을 바꾸면 회사도 피해자입니다. 서울중앙지방법원 2024. 5. 30. 선고 2022가합556084 판결의 매칭 앱 운영사는 회원으로 가입했다가 서버를 해킹하고 처음에 약 25억 원 상당의 가상화폐를 요구하며 협박한 해커를 상대로 소송을 냈습니다. 법원은 갈취당한 돈, 회원들에게 사과 차원에서 지급한 앱 내 화폐, 보도 뒤 줄어든 매출 등을 손해로 보아 9억 6,953만여 원의 배상을 명했습니다. 해커는 같은 법원 2021고단7115 사건에서 징역 3년, 항소심 2022노1291 사건에서 징역 2년 10개월을 선고받았습니다. 해커가 특정된 사건이라면 처분 대응과 함께 형사 고소와 손해배상 청구를 설계해 볼 가치가 있습니다.

사전통지부터 소송까지 — 시한으로 본 대응 순서

이 사건은 단계마다 기한이 있고, 앞 단계에서 낸 자료가 뒤 단계의 증거가 됩니다.

1. 사고 인지 후 72시간 — 정보주체 통지와 보호위원회·한국인터넷진흥원 신고(법 제34조, 시행령 제39조·제40조). 확인된 범위부터 먼저 알리고 추가로 확인되는 대로 보완합니다.

2. 자료 제출과 현장조사 — 보호위원회는 자료 제출을 요구하고 사업장에 출입해 검사할 수 있습니다(제63조). 매출액 산정자료 제출을 거부하거나 거짓으로 내면 전체 매출액을 기준으로 추정할 수 있으니(제64조의2 제4항) 관련 매출 구분 자료는 이때 함께 정리해야 합니다.

3. 사전통지와 의견제출 — 행정절차법 제21조는 처분 원인 사실과 법적 근거, 의견제출 기한을 미리 알리게 하고, 기한은 10일 이상으로 정하게 합니다. 처분사유별 반박, 위반 개시 시점, 관련 없는 매출, 감경·면제 사유를 이때 서면으로 냅니다.

4. 전체회의 심의·의결과 처분서 — 의결 결과가 처분서로 송달됩니다. 처분별 금액, 납부기한, 공표 방법을 확인합니다.

5. 과태료 이의제기 — 과태료 부과 통지를 받은 날부터 60일 안에 서면으로 이의제기하면 부과처분은 효력을 잃고 법원의 과태료 재판으로 넘어갑니다(질서위반행위규제법 제20조).

6. 행정심판 또는 취소소송 — 과징금·시정명령·공표명령은 처분이 있음을 안 날부터 90일 안에 행정심판을 청구하거나(행정심판법 제27조), 취소소송을 제기합니다(행정소송법 제20조). 행정심판을 거쳤다면 재결서 정본을 송달받은 날부터 90일입니다.

7. 집행정지와 납부 — 소송을 내도 처분의 효력은 그대로이고, 회복하기 어려운 손해를 예방할 긴급한 필요를 소명해야 집행정지를 받습니다(행정소송법 제23조).

제 견해로는 과징금은 금전 처분이어서 회복하기 어려운 손해를 소명하기가 쉽지 않습니다. 대신 한꺼번에 내기 어려운 사정이 있으면 행정기본법 제29조에 따른 납부기한 연기나 분할 납부를 신청할 수 있습니다. 소송에서 이기면 낸 날부터의 환급가산금이 붙습니다(개인정보 보호법 제64조의2 제11항). 반면 공표명령은 한 번 이행하면 되돌릴 수 없으므로 집행정지를 신청할 실익이 상대적으로 큽니다. 사실관계와 기술 쟁점이 복잡한 사건은 감정과 사실조회를 쓸 수 있는 소송을 염두에 두고 처음부터 증거를 모으는 편이 낫다고 봅니다.

판결에 남은, 하면 안 되는 대응

• 유출 경로가 된 PC나 서버를 정리해 버리는 것 — 2018누56291 사건에서는 PC 폐기와 전체 초기화가 15퍼센트 가중으로 돌아왔고, 지금은 제73조 제1항 제5호의 형사처벌 대상이 될 수 있습니다.

• '이용자가 비밀번호를 재사용한 탓'이라고만 주장하는 것 — 2023구합81091 판결과 2025누8058 판결은 크리덴셜 스터핑 대응이 사업자의 몫이라고 보았습니다.

• 통지를 미루고 내부 분석부터 끝내려는 것 — 2025나9594 사건처럼 통지 지연은 별도 처분 사유가 되고 가중 사정으로도 쓰입니다.

• 알고 있던 취약점을 다음 개편 때 고치기로 미루는 것 — 2024구합70753 판결에서 모의해킹으로 확인한 취약점을 방치한 점이 고의·과실 평가를 올렸습니다.

• 같은 사고를 두 번 겪는 것 — 2022구합61564 판결은 이전 사고 뒤에도 의무를 다하지 못한 점을 무겁게 보았고, 2026. 9. 11. 시행 개정법은 3년 안의 반복 위반에 전체 매출액 100분의 10까지 부과할 수 있게 했습니다.

이 경우는 다투는 실익이 크지 않습니다, 그리고 변호사가 필요한 구간

모든 처분을 소송으로 가져갈 필요는 없습니다. 과태료만 나왔고 금액이 수백만 원 수준이며 통지 지연 같은 사실관계에 다툼이 없다면, 이의제기로 재판까지 가는 비용이 더 클 수 있습니다. 2020구합3618 판결처럼 위반 사실을 인정하면서 매출 감소만을 이유로 감경을 구하는 사건도, 행정청이 이미 감경해 준 상태라면 소송에서 더 얻기 어렵습니다. 이런 사건은 의견제출 단계에서 감경·면제 자료를 충실히 내고 납부 방식을 정리하는 편이 낫습니다.

반면 다음은 설계가 필요한 구간입니다.

• 처분사유가 여러 개이고 그중 하나라도 당시 기술 수준이나 실제 운영 기록으로 반박할 수 있는 사건 — 2016누64533, 2019누43964 판결처럼 과징금 전부가 취소될 수 있습니다.

• 유출 규모가 작고 단순 실수인데 과징금이 억 단위로 나온 사건 — 2022두68923 판결의 논리가 그대로 쓰입니다.

• 여러 사업을 하는 회사여서 관련 없는 매출의 범위, 위반 개시 시점에 따라 금액이 크게 달라지는 사건

• 2026. 9. 11. 시행 개정법의 100분의 10 가중(반복 위반, 1천만 명 이상, 시정조치 불이행)이 거론되는 사건

• 집단 손해배상 청구나 해커에 대한 형사 고소·민사 청구가 함께 진행되는 사건

자주 묻는 질문

개인정보 유출 과징금, 해킹당한 회사도 내야 하나요?

안전성 확보에 필요한 조치를 다했다면 내지 않습니다. 개인정보 보호법 제64조의2 제1항 제9호 단서가 그렇게 정하고, 대법원 2018두56404 판결은 사회통념상 합리적으로 기대 가능한 보호조치를 했는지로 판단한다고 했습니다. 다만 2023구합81091 판결처럼 사고 당시에도 보편적이고 비용이 거의 들지 않는 조치를 하지 않았다면 해킹 피해자라는 사정만으로는 면책되지 않습니다.

개인정보 과징금 전체 매출액 기준이면 다른 사업 매출까지 들어가나요?

위반행위와 관련 없는 매출은 빼고 계산합니다(제64조의2 제3항, 시행령 제60조의2 제3항). 다만 대법원 2022두68923 판결은 유출된 개인정보를 보유·관리하는 서비스의 매출 전체를 관련 매출로 보고, 2023구합66443 판결은 간편결제 매출도 포함했습니다. 별도 사업이라는 점은 데이터베이스와 회원 체계가 분리되어 있다는 자료로 보여 주어야 합니다.

개인정보 유출 72시간 안에 신고하지 못하면 어떻게 되나요?

통지·신고 의무 위반으로 3천만 원 이하의 과태료 대상이 되고(제75조 제2항 제17호·제18호), 과징금 산정에서 피해 확산 방지 노력이 부족했다는 가중 사정으로도 쓰입니다. 긴급한 차단 조치가 필요했거나 부득이한 사유가 있었다면 해소 뒤 즉시 통지할 수 있으므로(시행령 제39조 제1항), 늦어진 이유를 기록으로 남겨 두어야 합니다.

개인정보위 처분 사전통지를 받았는데 의견제출 때 무엇을 내야 하나요?

처분사유별 반박 자료, 위반이 시작된 시점을 보여 주는 설정 변경 이력, 관련 없는 매출을 구분한 재무자료, 자진신고와 조사 협조와 피해 확산 방지 조치 내역, 개인정보 보호 투자 내역입니다. 2022구합61564 사건에서는 자진신고와 조사 협력으로 100분의 20 감경이 이루어졌습니다. 의견제출 기한은 행정절차법 제21조에 따라 10일 이상으로 정해집니다.

개인정보 과징금 취소소송 중에도 과징금을 먼저 내야 하나요?

원칙적으로 그렇습니다. 소송을 내도 처분의 효력은 유지되고, 집행정지는 회복하기 어려운 손해를 소명해야 받을 수 있습니다(행정소송법 제23조). 한꺼번에 내기 어렵다면 행정기본법 제29조에 따라 납부기한 연기나 분할 납부를 신청할 수 있고, 판결로 취소되면 환급가산금과 함께 돌려받습니다(제64조의2 제11항).

고객이 법정손해배상을 청구하면 1인당 얼마나 물어주나요?

법정 상한은 300만 원이지만(제39조의2) 판결에서 인정된 금액은 훨씬 낮은 편입니다. 2022나62088 판결은 3만 원, 2025나9594 판결은 10만 원을 인정했습니다. 대법원 2023다311184 판결은 유출된 정보의 성격과 확산 여부 등에 비추어 정신적 손해가 없음을 회사가 증명하면 책임을 면할 수 있다고 했습니다.

직원 실수로 고객정보가 몇 명에게 노출됐는데도 과징금이 나오나요?

나올 수 있지만 다툴 여지가 큽니다. 대법원 2022두68923 판결은 캐시 설정 실수로 20명의 정보가 하루 노출된 사건에서 18억 5,200만 원 과징금을 과중하다고 보았습니다. 판결 당시 부과기준상 사소한 부주의와 100명 미만 유출은 면제 사유가 될 수 있다는 점도 짚었습니다. 현행법도 위반이나 피해가 경미하면 과징금을 부과하지 않을 수 있습니다(제64조의2 제7항).

안전조치 의무 위반으로 대표자나 회사가 형사처벌도 받나요?

현행법상 안전조치 위반으로 유출된 것 자체를 처벌하는 조항은 없습니다. 구 정보통신망법 조항은 2020. 2. 4. 개정으로 삭제되어 서울동부지방법원 2020노343 판결이 면소를 선고했습니다. 구 개인정보 보호법 제73조 제1호의 같은 취지 조항도 2023. 9. 15. 시행 개정법에는 없습니다. 다만 조사 때 자료를 은닉·폐기하거나 거짓 자료를 내면 제73조 제1항 제4호·제5호로 처벌될 수 있습니다.

공표명령만 따로 다툴 수 있나요?

다툴 수 있습니다. 공표명령은 제66조 제2항에 따른 별개 처분이고, 2019누43964 판결은 인정되지 않은 처분사유에 해당하는 공표명령 부분을 취소했습니다. 다만 2024구합70753 판결처럼 과징금이 적법하고 다수 유출과 장기 위반이 인정되면 공표명령도 유지되는 경우가 많으므로, 이행 전에 집행정지를 함께 검토해야 합니다.

이 글에서 인용한 판결과 법령

• 대법원 2021. 8. 19. 선고 2018두56404 판결 — 보호조치는 사회통념상 합리적으로 기대 가능한 정도, 결과책임 아님, 웹서버도 처리시스템, 과징금 7,000만 원 취소 확정(원심 서울고등법원 2018. 8. 24. 선고 2016누64533 판결, 1심 서울행정법원 2016. 8. 18. 선고 2014구합15108 판결)

• 대법원 2021. 9. 30. 선고 2020두55220 판결 — 응용프로그램도 처리시스템, 침입차단·탐지시스템 설치의무 위반 불인정, 과징금 취소 유지(원심 서울고등법원 2020. 11. 4. 선고 2019누43964 판결 — 시정조치·공표명령 일부와 과징금 취소)

• 대법원 2023. 10. 12. 선고 2022두68923 판결 — 관련 매출액은 유출 개인정보를 보유·관리하는 서비스 기준, 20명 노출에 18억 5,200만 원은 비례원칙 위반(원심 서울고등법원 2022. 11. 18. 선고 2021누73975 판결, 1심 서울행정법원 2021. 11. 12. 선고 2020구합59628 판결)

• 대법원 2025. 12. 4. 선고 2023다311184 판결 — 법정손해배상은 유출 사실만 증명, 정신적 손해 부존재 증명 시 면책(원심 서울남부지방법원 2023. 12. 7. 선고 2023나55205 판결)

• 헌법재판소 2022. 5. 26. 선고 2020헌바259 결정, 대법원 2022. 12. 22. 선고 2020도16420 전원합의체 판결 — 과징금의 부당이득 환수 성격, 형벌 폐지 시 면소(판결에서 인용)

• 서울행정법원 2025. 8. 14. 선고 2024구합70753 판결, 서울고등법원 2025. 12. 24. 선고 2025누8058 판결 — 개정법 적용, 관련 매출액 1,074억여 원, 위반기간 8년, 과징금 6억 1,300만 원과 공표명령 유지

• 서울행정법원 2024. 4. 18. 선고 2023구합66443 판결, 서울고등법원 2025. 12. 12. 선고 2024누41993 판결 — 간편결제 매출도 관련 매출, 4억 6,457만 3,000원 유지

• 서울행정법원 2023. 1. 13. 선고 2022구합61564 판결, 서울고등법원 2023. 11. 2. 선고 2023누34486 판결 — 피해규모 5.5퍼센트로 감경 요건 불충족, 9억 335만 3,000원 유지

• 서울행정법원 2025. 3. 28. 선고 2023구합81091 판결 — 휴면계정 추가 인증 미적용, 7,060만 9,000원 유지

• 서울행정법원 2021. 6. 24. 선고 2020구합3618 판결 — 주민등록번호 유출 과징금 2,437만 5,000원, 매출 감소·유사 사례 주장 배척

• 서울행정법원 2018. 7. 5. 선고 2017구합53156 판결, 서울고등법원 2019. 11. 1. 선고 2018누56291 판결 — 과징금 44억 8,000만 원 유지, 인과관계 불요, 조사방해 15퍼센트 가중

• 서울동부지방법원 2025. 1. 16. 선고 2020노343 판결 — 구 정보통신망법 제73조 제1호 삭제로 면소(1심 서울동부지방법원 2020. 2. 12. 선고 2019고단1838 판결)

• 서울중앙지방법원 2023. 10. 25. 선고 2022나62088 판결 — 관리자 계정·비밀번호 부실, 위자료 3만 원

• 서울중앙지방법원 2026. 5. 15. 선고 2025나9594 판결 — 통지 2개월 지연, 위자료 10만 원, 과징금 7억 4,700만 원·과태료 1,020만 원 처분 사실

• 서울중앙지방법원 2024. 5. 30. 선고 2022가합556084 판결 — 회사가 해커에게 9억 6,953만여 원 배상 청구 인용(관련 형사 서울중앙지방법원 2021고단7115, 2022노1291)

• 법령 — 개인정보 보호법 제29조, 제34조, 제39조, 제39조의2, 제63조, 제64조, 제64조의2, 제66조, 제73조, 제75조(2026. 9. 11. 시행본, 제64조의2는 2027. 3. 9. 시행 예정본까지 문언 같음) / 법률 제19234호 부칙 제8조, 법률 제21445호 부칙 제2조·제3조 / 개인정보 보호법 시행령 제39조, 제40조, 제60조의2 / 구 정보통신망법 제28조, 제64조의3, 제73조, 제75조 / 행정절차법 제21조 / 행정심판법 제27조 / 행정소송법 제20조, 제23조 / 행정기본법 제29조 / 질서위반행위규제법 제20조

법무법인 도모는 이 사건을 이렇게 진행합니다

첫 상담에서 확인하는 것

첫 상담에서는 지금 어느 단계인지부터 확인합니다. 사고를 막 알게 되어 72시간 안의 통지·신고가 문제인지, 자료 제출 요구나 현장조사를 받고 있는지, 처분 사전통지서를 받았는지, 처분서가 나왔는지에 따라 남은 날짜와 해야 할 일이 전혀 다르기 때문입니다. 사전통지서를 받으셨다면 의견제출 기한을, 처분서를 받으셨다면 과태료 이의제기 60일과 과징금 불복 90일을 먼저 달력에 적습니다. 다음으로 처분서를 시정명령, 과징금, 과태료, 공표명령으로 나누어 처분사유와 근거 조문을 표로 정리합니다. 이어서 유출 경로가 외부 해킹인지, 내부 PC 경유인지, 설정 오류인지를 확인하고, 문제 된 설정이나 취약점이 언제부터 있었는지, 보안 장비와 점검 기록이 어떤 상태였는지를 봅니다. 의뢰인께는 처분 사전통지서와 처분서, 사고 타임라인과 통지·신고 기록, 침해사고 분석 보고서, 보안관제와 로그 기록, 모의해킹·취약점 점검 보고서, 시스템 구성도와 회원 가입 구조, 최근 3개 사업연도 재무제표와 사업부별 매출 자료를 요청드립니다. 고객의 손해배상 청구나 수사기관 연락이 있었다면 그 서류와 날짜도 함께 확인합니다.

김강희 변호사의 대응 방식

김강희 변호사는 사건을 먼저 셋으로 나눕니다. 처분사유 자체를 무너뜨릴 사건, 처분사유는 일부 인정하되 금액의 기초가 된 관련 매출액·위반기간·중대성 평가를 다툴 사건, 위반을 인정하고 감경·면제와 납부 방식으로 정리할 사건입니다. 첫째 유형에서는 처분사유를 하나씩 떼어, 사고 당시 보편적인 보안 기술 수준과 회사의 실제 운영 기록을 대조하는 기술 자료를 준비합니다. 2018두56404 판결의 판단 요소를 그대로 목차로 삼아 정리하면 법원이 보기 쉬운 형태가 됩니다. 둘째 유형에서는 시스템 구성과 회원 체계를 근거로 관련 없는 매출의 범위를 주장하고, 설정 변경 이력과 점검 보고서로 위반 개시 시점을 늦추며, 유출 규모와 경위를 2022두68923 판결의 사정과 비교합니다. 셋째 유형에서는 자진신고, 조사 협조, 피해 확산 방지 조치, 보호 투자 내역을 의견제출서에 숫자와 날짜로 담아 2026. 9. 11. 시행 개정법의 감경·면제 사유에 맞춥니다. 처분 대응과 동시에 고객의 손해배상 청구, 해커에 대한 형사 고소와 민사 청구까지 한 줄의 타임라인 위에서 순서를 정합니다.

함께할 때 결과가 달라지는 이유

개인정보 유출 과징금 사건은 기술 문제처럼 보여서 보안 담당자와 대행업체가 대응을 주도하기 쉽습니다. 하지만 판결에서 보듯 결론을 가른 것은 기술 그 자체보다 그 기술을 법적 기준에 맞춰 설명한 방식이었습니다. 처분사유 하나가 무너져 과징금 전부가 취소된 사건이 있었고, 감경 요건에 0.5퍼센트포인트 모자라 유지된 사건이 있었으며, PC 한 대를 폐기한 일이 가중으로 돌아온 사건도 있었습니다. 법무법인 도모는 사고 직후 통지·신고 문안과 조사 대응부터 의견제출서, 소송까지 같은 팀이 맡아, 앞 단계에서 한 말이 뒤 단계에서 불리하게 쓰이지 않도록 순서를 설계합니다. 기록을 검토한 결과 지금은 다투는 실익이 크지 않은 사건이라면 그 점도 솔직하게 말씀드리고, 감경과 납부 방식으로 부담을 줄이는 길을 함께 찾습니다.

법무법인 도모가 함께하겠습니다

개인정보 유출 과징금은 처분서에 적힌 숫자가 그대로 확정되는 제재가 아닙니다. 안전조치의 수준을 어떻게 증명했는지, 관련 매출액과 위반기간을 어떻게 다투었는지, 사고 직후 72시간과 조사 단계에서 무엇을 했는지에 따라 과징금이 취소되기도 하고 그대로 유지되기도 합니다.

유출 사고를 알게 되셨거나 개인정보보호위원회의 자료 제출 요구, 처분 사전통지서, 처분서를 받으셨다면 의견제출 기한과 불복 기간이 지나기 전에 법무법인 도모로 문의해 주십시오. 사고 기록과 처분서를 함께 검토해 지금 단계에서 할 수 있는 일과 순서를 정리해 드리겠습니다.

수원·경기 남부에서 상담이 필요하시다면

법무법인 도모는 수원 광교에 사무소를 둔 로펌입니다. 수원지방법원·수원지방검찰청과 가까운 광교중앙로에 자리하고 있으며, 수원·용인·화성·성남·오산·평택 등 경기 남부 전역의 횡령·배임·사기·보이스피싱 등 경제범죄 사건을 맡고 있습니다. 수원 경제범죄센터(경제범죄연구소)를 운영하며 수사 초기 대응부터 재판, 피해 회수까지 한 팀이 맡습니다. 대표변호사를 포함한 8인의 변호사가 사건을 직접 담당합니다.

수원남부·수원중부·수원서부·용인·화성 등 경기 남부 경찰서에서 출석 요구를 받으셨거나 수원지방검찰청 사건으로 진행 중이시라면 초기 대응이 결과를 가릅니다. 자료를 정리해 오시면 첫 상담에서 사건의 방향과 다음 단계를 함께 짚어 드립니다. 수원 법무법인 도모로 문의해 주시기 바랍니다.