개인정보

회사 서버가 해킹돼 고객 정보가 새 나갔다면 무엇부터 해야 하나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.01 갱신

해킹으로 고객 개인정보가 유출됐다면 회사는 안 때부터 72시간 안에 고객에게 알리고 개인정보보호위원회나 한국인터넷진흥원에 신고해야 합니다. 개인정보 보호법 제34조와 시행령 제39조·제40조가 통지 항목과 신고 대상을 정하고, 해킹은 인원과 관계없이 신고 대상입니다. 지금은 서버 접속기록을 보존하고 유출된 항목과 인원부터 확인해 두십시오.

해킹 경로와 피해 규모를 모두 밝혀낸 뒤에 알려야 한다고 생각할 필요는 없습니다. 확인된 범위만으로 우선 통지하는 것이 법이 정한 방식입니다.

이런 상담이 많습니다

온라인 쇼핑몰을 운영하는 A사는 2026년 8월 말 새벽, 회원 데이터베이스에 외부 접속 흔적이 남은 것을 보안업체 경보로 알게 됐습니다. 확인해 보니 회원 약 4,200명의 이름·연락처·배송지가 빠져나간 것으로 보였고, 결제정보가 포함됐는지는 아직 분석 중이었습니다. 대표는 원인을 다 밝혀낸 뒤에 고객에게 알리면 되는지, 어디에 언제까지 신고해야 하는지 물었습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

해킹으로 고객 개인정보가 유출되면 고객에게 무엇을 알려야 하나요?

유출 사실을 안 개인정보처리자는 지체 없이, 늦어도 72시간 안에 고객에게 유출 항목, 유출 시점과 경위, 고객이 피해를 줄이기 위해 할 수 있는 방법, 회사의 대응조치와 피해 구제절차, 신고를 받을 담당부서와 연락처를 알려야 합니다. 2026. 10. 1. 기준 현행 「개인정보 보호법」은 여기에 손해배상·법정손해배상 청구와 분쟁조정 등 고객이 쓸 수 있는 법적 권리와 그 행사 방법까지 알리도록 항목을 늘렸습니다.

통지는 서면, 전자우편, 팩스, 전화, 문자전송 같은 방법으로 합니다. 고객 연락처를 알 수 없는 등 정당한 사유가 있으면 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있고, 홈페이지가 없으면 사업장의 보기 쉬운 곳에 30일 이상 게시합니다.

접속경로 차단, 취약점 보완, 유출된 정보의 회수·삭제 같은 긴급 조치가 먼저 필요하면 그 사유가 해소된 뒤 즉시 알릴 수 있습니다. 다만 이 예외는 긴급 조치를 하는 동안에만 쓸 수 있고, 조치가 끝나면 곧바로 통지해야 합니다.

해킹 유출은 인원이 적어도 신고해야 하나요?

네, 해킹처럼 외부에서 불법으로 접근해 개인정보가 유출됐다면 인원이 1천명에 못 미쳐도 72시간 안에 개인정보보호위원회나 한국인터넷진흥원에 신고해야 합니다. 1천명 이상이 유출된 경우, 주민등록번호 같은 고유식별정보나 건강정보 같은 민감정보가 유출된 경우도 신고 대상입니다.

현행 시행령은 유출 경로가 확인되고 유출된 정보를 회수·삭제해 고객 권익을 침해할 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다고 정합니다. 해킹 사건에서 이 예외를 쓰려면 회수·삭제를 입증할 자료가 있어야 하므로, 판단이 서지 않으면 신고하는 편이 안전합니다.

통지와 신고 말고 회사가 더 해야 할 일은 무엇인가요?

회사는 유출된 정보의 회수·삭제를 포함해 피해 확산을 막고 피해를 최소화하기 위한 대책을 세워 실행해야 합니다. 공격 경로 차단, 관리자 계정 비밀번호 변경, 접속기록 보존, 고객 비밀번호 재설정 안내가 기본입니다. 유출이 확정되지 않았더라도 유출 가능성이 있다는 사실을 알게 되면 가능성 있는 고객 모두에게 피해를 줄이기 위한 정보를 알리도록 한 조항도 새로 생겼습니다.

고객이 손해배상을 청구하면 회사가 책임을 지나요?

회사가 법을 어겨 고객이 손해를 입었다면 배상책임을 지고, 회사에 고의나 과실이 없었다는 점은 회사가 입증해야 합니다. 고의 또는 중대한 과실로 유출된 경우 법원은 손해액의 5배까지 배상액을 정할 수 있습니다.

고객은 손해액을 증명하지 않고 300만원 이하의 범위에서 상당한 금액을 청구하는 법정손해배상을 선택할 수도 있습니다. 이때도 회사가 고의·과실이 없음을 입증하지 못하면 책임을 면하지 못하므로, 사고 당시 안전조치 이행 기록을 보존해 두어야 합니다.

해킹 개인정보 유출 대응 순서

• 접속 차단과 증거 보존 - 공격 경로를 막고 서버 접속기록·로그를 복사해 둡니다. 이 기록이 유출 범위 확정과 과실 다툼의 기초가 됩니다.
• 유출 범위 1차 확인 - 유출된 항목과 인원, 고유식별정보·민감정보 포함 여부를 확인합니다. 신고 대상인지가 여기서 정해집니다.
• 72시간 안 통지·신고 - 확인된 범위로 고객 통지와 기관 신고를 먼저 합니다. 구체적 내용이 확인되지 않았으면 우선 통지 후 보충합니다.
• 피해 최소화 조치 - 비밀번호 재설정 안내, 유출 게시물 삭제 요청, 상담 창구 운영을 시작합니다. 조치 내용은 날짜별로 기록합니다.
• 책임 검토 - 안전조치 이행 기록과 보안업체 보고서를 모아 배상책임과 과징금 쟁점을 검토합니다. 고객 소송이나 조사 통지가 오면 이 자료로 대응합니다.

여기까지는 일반 기준이고, 결제정보가 유출됐거나 외주 개발사·호스팅업체가 관리하던 서버에서 사고가 났다면 계약서와 위탁 관계를 보고 따로 따져야 합니다. 법무법인 윤성은 개인정보 유출 사고 이후의 행정조사 대응과 과징금·과태료 처분 불복을 수행합니다.

이 상황에서 자주 묻는 것

• 유출 인원을 아직 모르는데 통지부터 해도 되나요?
  네, 먼저 통지해야 합니다. 유출 항목이나 시점·경위를 구체적으로 확인하지 못했다면 유출 사실과 그때까지 확인된 내용, 피해 최소화 방법, 대응조치, 담당부서 연락처, 고객의 법적 권리를 우선 알리고, 추가로 확인되는 내용은 확인되는 즉시 다시 알립니다. 신고도 같은 방식으로 우선 신고 후 보충합니다.
• 72시간은 언제부터 계산하나요?
  회사가 개인정보가 유출됐음을 알게 된 때부터 계산합니다. 해킹이 실제로 일어난 때가 아니라 회사가 유출 사실을 인지한 시점이 기준입니다. 보안업체 경보를 받고 담당자가 유출을 확인한 시각이 다툼이 되기 쉬우므로, 인지 경위와 시각을 보고서로 남겨 두는 것이 좋습니다.
• 신고는 어느 기관에 하나요?
  개인정보보호위원회 또는 한국인터넷진흥원에 합니다. 법률은 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하도록 하고, 시행령은 그 전문기관을 한국인터넷진흥원으로 정합니다. 두 기관은 피해 확산 방지와 복구를 위한 기술 지원도 할 수 있습니다.
• 고객 연락처를 몰라 문자를 못 보내면 어떻게 하나요?
  홈페이지 게시로 통지를 갈음할 수 있습니다. 연락처를 알 수 없는 등 정당한 사유가 있으면 통지 항목을 고객이 쉽게 알 수 있도록 홈페이지에 30일 이상 게시하면 되고, 홈페이지가 없으면 사업장의 보기 쉬운 장소에 30일 이상 게시합니다. 연락처를 아는 고객에게는 개별 통지를 해야 합니다.
• 유출된 정보를 바로 회수했으면 신고를 안 해도 되나요?
  예외가 인정될 수 있습니다. 유출 경로가 확인되고 회수·삭제 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있습니다. 다만 해킹은 복제본이 남았을 가능성을 배제하기 어려워 예외 판단이 까다롭고, 고객 통지 의무는 이 예외와 별개입니다.
• 고객이 손해를 증명하지 못해도 배상을 청구할 수 있나요?
  청구할 수 있습니다. 회사의 고의 또는 과실로 개인정보가 유출됐다면 고객은 300만원 이하의 범위에서 상당한 금액을 손해액으로 하는 법정손해배상을 청구할 수 있고, 법원은 변론 전체의 취지와 증거조사 결과를 고려해 금액을 정합니다. 회사가 고의·과실 없음을 입증하면 책임을 면합니다.
• 외주 업체 서버에서 유출돼도 회사가 통지해야 하나요?
  네, 고객 정보를 맡긴 회사도 통지·신고 의무를 집니다. 처리 업무를 받은 수탁자에게도 같은 통지·신고 규정이 준용되고, 수탁자가 법을 어겨 생긴 손해배상책임에서는 수탁자를 위탁자의 소속 직원으로 봅니다. 위탁계약서의 사고 통보 조항과 책임 분담 조항을 함께 확인해야 합니다.

이 페이지는 일반적인 절차 안내입니다. 개별 사안의 판단은 상담에서 합니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성