개인정보

주민등록번호를 암호화하지 않은 회사가 해킹당하면 배상책임이 있나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.14 갱신

지금은 주민등록번호 암호화가 법적 의무여서, 암호화 없이 보관하다 해킹으로 유출됐다면 회사 배상책임을 물을 여지가 큽니다. 대법원 2013다43994 옥션 판결이 회사 책임을 부정한 이유와 현행법에서 달라진 점, 입증책임과 법정손해배상을 정리했습니다.

지금은 주민등록번호 암호화가 법적 의무여서, 이를 어긴 채 유출됐다면 회사의 배상책임을 물을 여지가 큽니다. 2015년 옥션 해킹 판결에서 회사가 책임을 면한 것은 사고 당시에는 주민등록번호 암호화 의무가 없었기 때문입니다. 그 판결만 보고 청구를 미리 포기하실 필요는 없습니다.

이런 상담이 많습니다

A씨는 2026. 3. 9. 회원으로 가입해 있던 중고거래 사이트에서 해킹으로 이름, 주민등록번호, 휴대전화번호가 유출됐다는 문자를 받았습니다. 언론 보도로는 데이터베이스의 주민등록번호가 암호화되지 않은 상태였다고 합니다. 며칠 뒤부터 A씨 명의로 휴대전화 개통을 시도한 기록이 통신사에서 확인됐습니다. 회사는 외부 해커의 고도화된 공격이었고 대법원도 비슷한 사건에서 회사 책임을 부정했다며 배상은 어렵다고 공지했습니다. A씨는 옥션 판결이 있는데도 소송을 낼 수 있는지, 무엇을 모아 두어야 하는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

대법원은 옥션 해킹 사건을 어떻게 판단했나요?

회사 책임을 인정하지 않았습니다. 2008. 1. 해커가 오픈마켓 회사의 웹 서버에 초기 설정 아이디와 비밀번호로 들어가 백도어를 심고, 데이터베이스 관리자 계정을 알아내 회원 이름과 주민등록번호 등을 빼낸 사건입니다. 회원들은 회사와 보안관제 업체를 상대로 손해배상을 청구했습니다.

대법원은 회사가 법률과 이용계약에 따라 보호조치 의무를 진다고 보면서도, 사고 당시 기술 수준과 회사 규모, 전체 보안조치, 비용과 효용 등을 종합해 판단해야 한다고 했습니다. 그러면서 “정보통신서비스제공자가 고시에서 정하고 있는 기술적·관리적 보호조치를 다하였다면, 특별한 사정이 없는 한, 정보통신서비스제공자가 개인정보의 안전성 확보에 필요한 보호조치를 취하여야 할 법률상 또는 계약상 의무를 위반하였다고 보기는 어렵다.”라고 판시했습니다. 주민등록번호를 암호화하지 않은 점도, 당시 고시가 암호화 대상으로 정한 것은 비밀번호 같은 본인 인증 정보였고 주민등록번호 암호화 규정은 2010. 1. 28. 시행령에서 처음 생겼다는 이유로 의무 위반이 아니라고 본 원심을 수긍했습니다. 보안관제 업체에 대한 청구도 함께 배척됐습니다.

지금은 주민등록번호 암호화가 의무인가요?

네, 의무입니다. 현행 개인정보 보호법은 개인정보처리자가 주민등록번호가 유출되지 않도록 암호화 조치를 통해 안전하게 보관하도록 정합니다. 시행령은 주민등록번호를 전자적인 방법으로 보관하는 처리자를 대상으로 하고, 보관 인원이 100만명 미만이면 2017. 1. 1.부터, 100만명 이상이면 2018. 1. 1.부터 적용했습니다.

안전성 확보 조치의 하나로도 주민등록번호 등 고시 정보의 암호화 저장 또는 이에 상응하는 조치를 요구합니다. 옥션 판결이 적용한 구 정보통신망법 제28조의 보호조치 의무는 지금 개인정보 보호법 제29조에 있고, 고시를 지켰는지를 중심으로 보는 판단 구조는 현행법에서도 같다고 볼 수 있습니다. 다만 그 고시의 내용이 바뀌어 암호화가 기준 안으로 들어왔으므로, 같은 사실관계라면 결론이 달라질 수 있습니다. 회사가 아직도 주민등록번호를 평문으로 보관하고 있었다면, 고시를 다했다는 항변부터 받아들여지기 어렵다고 볼 수 있습니다.

암호화를 빠뜨렸다면 무엇을 증명해야 하나요?

회원은 회사가 법을 위반했고 그로 손해를 입었다는 점을 주장하면 되고, 고의나 과실이 없다는 증명은 회사가 해야 합니다. 그래도 어떤 정보가 암호화 없이 보관됐는지, 그것이 실제 유출과 이어졌는지는 소송의 핵심 쟁점으로 남습니다. 암호화된 정보만 빠져나갔다면 사정이 다르기 때문입니다. 해커가 관리자 계정을 손에 넣어 복호화 키까지 가져갔다면, 암호화 여부보다 계정 관리와 접근 통제가 쟁점이 됩니다.

손해액을 하나하나 증명하기 어려우면 300만원 이하의 법정손해배상을 청구할 수 있고, 일반 손해배상으로 냈다가 사실심 변론종결 전에 바꿀 수도 있습니다. 고의나 중대한 과실로 유출돼 손해가 생기면 법원은 손해액의 5배 범위에서 배상액을 정할 수 있습니다. 유출 통지를 받은 직후 할 일은 「쇼핑몰 해킹으로 내 개인정보가 유출됐다는데 무엇을 할 수 있나요?」에서 자세히 설명했습니다.

주민등록번호 유출 손해배상 대응 순서

• 통지 내용 보관 - 회사가 보낸 유출 통지의 항목, 시점, 경위를 저장합니다.
• 암호화 여부 확인 - 회사 공지, 개인정보보호위원회 처분 결과, 수사 결과에서 주민등록번호 보관 방식을 찾습니다.
• 2차 피해 기록 - 명의도용 시도, 사칭 문자, 번호 변경 등 대응 내역과 비용을 남깁니다.
• 청구 방식 선택 - 실손해 청구와 법정손해배상 중 유리한 쪽을 정하고 공동소송 여부를 검토합니다.
• 기한 관리 - 유출을 안 날부터 3년 안에 소를 제기합니다.

번호 자체를 바꾸는 절차는 「해킹으로 주민등록번호가 유출됐는데 번호를 바꿀 수 있나요?」에서 자세히 설명했습니다.

여기까지는 일반 기준이고, 유출 당시 회사가 어떤 정보를 어떤 방식으로 보관했는지와 그 빈틈이 유출로 이어졌는지에 따라 배상 여부가 달라집니다. 법무법인 윤성은 개인정보 유출 피해자의 손해배상 청구와 기업의 유출 사고 대응을 수행합니다.

이 상황에서 자주 묻는 것

• 회사가 보안 고시를 다 지켰다고 하면 배상받을 수 없나요?
  특별한 사정이 없으면 의무 위반으로 보기 어렵다는 것이 대법원 기준입니다. 다만 고시 준수 여부는 회사 주장만으로 정해지지 않고, 처분서나 수사 결과로 빠진 조치가 드러나면 다툴 수 있습니다.
• 주민등록번호 말고 비밀번호가 평문으로 유출됐다면 어떻게 되나요?
  비밀번호 등 인증정보는 옥션 사건 당시에도 일방향 암호화 대상이었고, 현행 시행령도 인증정보의 암호화 저장을 안전성 확보 조치로 정합니다. 평문 보관이 드러나면 의무 위반을 주장할 근거가 됩니다.
• 유출로 실제 금전 피해가 없어도 배상을 청구할 수 있나요?
  회사 고의나 과실로 유출됐다면 손해액 증명 없이 300만원 이하의 법정손해배상을 청구할 수 있습니다. 회사가 고의나 과실이 없음을 증명하지 못하면 책임을 면하지 못합니다.
• 보안관제 업체에도 손해배상을 청구할 수 있나요?
  옥션 사건에서 회원들은 보안관제 업체도 함께 상대로 했지만, 업무를 소홀히 해 사고를 막지 못했다고 볼 수 없다며 청구가 배척됐습니다. 관제 업무에서 구체적 과실이 드러나야 책임을 물을 수 있습니다.
• 회사가 유출 사실을 늦게 알렸다면 따로 문제가 되나요?
  개인정보처리자는 유출을 알게 되면 지체 없이 항목, 시점과 경위, 피해 최소화 방법 등을 정보주체에게 알려야 합니다. 통지가 늦어 피해가 커졌다면 그 사정도 함께 주장할 수 있습니다.
• 회원 가입 때 주민등록번호를 꼭 받아야 하는 회사도 있나요?
  법령이 구체적으로 요구하거나 허용하는 경우 등에만 주민등록번호를 처리할 수 있습니다. 그런 경우에도 인터넷 회원 가입 단계에서는 주민등록번호 없이 가입하는 방법을 제공해야 합니다.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 쇼핑몰 해킹으로 내 개인정보가 유출됐다는데 무엇을 할 수 있나요?
• 해킹으로 주민등록번호가 유출됐는데 번호를 바꿀 수 있나요?
• 암호화된 비밀번호와 이메일만 유출돼도 법정손해배상을 받나요?
• 개인정보 유출 피해자들이 모여 포털을 상대로 단체소송을 낼 수 있나요?
• 회사 서버가 해킹돼 고객 정보가 새 나갔다면 무엇부터 해야 하나요?
• 쇼핑몰이 회원가입 때 주민등록번호를 요구하면 꼭 입력해야 하나요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기