개인정보

해킹으로 개인정보가 유출되면 회사가 언제나 배상해야 하나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.14 갱신

해킹으로 유출됐다는 사실만으로 회사가 바로 배상하지는 않습니다. 대법원은 네이트·싸이월드 사건에서 고시 기준은 최소한이고 사회통념상 기대되는 보호조치까지 보되, 빠진 조치와 유출 사이 인과관계가 있어야 한다고 했습니다. 현행 입증책임과 법정손해배상도 정리했습니다.

아니요, 해킹으로 유출됐다는 사실만으로 회사가 바로 배상하지는 않습니다. 법원은 회사가 사고 당시 합리적으로 기대되는 보호조치를 다했는지, 빠뜨린 조치와 유출 사이에 인과관계가 있는지를 봅니다. 회사가 보안 고시 기준을 지켰다는 말만 듣고 청구를 포기할 필요는 없습니다.

이런 상담이 많습니다

A씨는 2026. 3. 9. 가입해 둔 쇼핑 앱 회사로부터 해킹으로 이름, 연락처, 주소가 유출됐다는 문자를 받았습니다. 며칠 뒤부터 택배 사칭 문자와 대출 권유 전화가 부쩍 늘었고, 결국 휴대전화 번호까지 바꾸었습니다. 같은 피해자 모임에서는 회사를 상대로 소송을 내자는 이야기가 나왔습니다. 회사는 법령이 정한 보안 조치를 모두 지켰고 외부 해커의 범행이라 책임이 없다는 공지를 올렸습니다. A씨는 회사가 기준을 지켰다고 하면 배상을 받을 수 없는지, 무엇을 모아 두어야 하는지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

대법원은 네이트·싸이월드 해킹 사건을 어떻게 판단했나요?

2011. 7. 해커가 포털 회사 직원 컴퓨터에 악성프로그램을 심어 데이터베이스 관리자 계정을 빼낸 뒤 회원 개인정보를 대량으로 가져간 사건입니다. 회원들은 회사가 보호조치를 소홀히 했다며 손해배상을 청구했지만, 대법원은 원심의 청구 기각을 유지했습니다.

대법원은 당시 방송통신위원회 고시가 정한 기술적·관리적 보호조치를 다했다면 원칙적으로 의무 위반으로 보기 어렵다고 했습니다. 다만 “고시는 정보통신서비스 제공자가 반드시 준수해야 할 최소한의 기준을 정한 것으로 보는 것이 타당하다.”라고 밝혔습니다. 직원이 퇴근하며 로그아웃하도록 하는 것은 고시에 없어도 지켜야 할 조치라고 보았습니다. 그러나 해커가 이미 관리자 아이디와 비밀번호를 손에 넣어 로그아웃과 관계없이 접속할 수 있었으므로 인과관계가 없다고 판단했습니다.

원고들은 보안관제 업체 보고서와 수사기록을 근거로 회사가 대용량 전송을 막지 못했다고도 다투었습니다. 대법원은 그 자료가 결론을 좌우할 사실이 아니라며 변론을 다시 열지 않은 원심을 수긍했고, 유출 통지나 확인 내역이 없는 일부 원고의 청구를 증거 부족으로 기각한 판단도 유지했습니다.

회사가 보호조치를 다했는지는 무엇으로 판단하나요?

사고 당시의 보안 기술 수준과 회사 사정을 함께 봅니다. 대법원은 보편적으로 알려진 정보보안 기술 수준, 회사의 업종과 영업규모, 전체 보안조치의 내용, 보안에 드는 비용과 효용, 피해를 피할 수 있었던 가능성, 수집한 개인정보의 내용과 피해 정도를 종합하라고 했습니다.

그래서 같은 해킹이라도 회사 규모가 크고 민감한 정보를 많이 모았다면 더 높은 수준의 조치가 요구될 수 있습니다. 고시 기준을 지켰더라도 누구나 쉽게 예상할 수 있는 조치를 빠뜨렸다면 위법으로 평가될 수 있고, 해커의 범행을 쉽게 만든 경우 방조 책임도 문제 됩니다. 현행법에서는 개인정보 보호법 제29조가 개인정보처리자에게 내부 관리계획 수립, 접속기록 보관 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하도록 정하고 있습니다.

지금은 누가 무엇을 증명해야 하나요?

현행 개인정보 보호법에서는 정보주체가 법 위반으로 손해를 입었음을 주장하면, 회사가 고의나 과실이 없음을 증명해야 책임을 면합니다. 다만 어떤 조치가 빠졌는지, 그 조치가 있었다면 유출을 막을 수 있었는지는 여전히 소송의 핵심 쟁점입니다.

손해액 증명이 어려우면 300만 원 이하의 법정손해배상을 청구할 수 있습니다. 회사의 고의나 중대한 과실로 유출되어 손해가 생겼다면 법원은 손해액의 5배 범위에서 배상액을 정할 수 있습니다. 2018년 판결은 개인정보 보호법으로 옮기기 전의 정보통신망법 사안이지만, 보호조치 의무 판단 기준은 현행 제29조에서도 같은 구조로 볼 수 있습니다.

유출 피해자가 여럿이면 함께 소송을 내거나 대표자를 정해 진행할 수 있습니다. 이때도 각자 자기 정보가 실제로 유출됐다는 자료는 따로 갖춰야 합니다.

개인정보 유출 손해배상 대응 순서

• 유출 통지 보관 - 회사가 보낸 통지 문자·메일과 유출 항목, 시점을 저장합니다.
• 2차 피해 기록 - 스팸·사칭 문자, 비밀번호 변경, 카드 재발급 등 대응 내역과 비용을 남깁니다.
• 회사 조치 확인 - 회사 공지, 개인정보보호위원회 처분 결과, 수사 결과에서 빠진 보호조치를 찾습니다.
• 청구 방식 선택 - 실손해 청구와 법정손해배상 중 무엇이 유리한지 정하고, 공동소송 여부를 검토합니다.
• 기한 관리 - 유출을 안 날부터 3년 안에 소를 제기합니다.

통지를 받은 직후 할 일은 「쇼핑몰 해킹으로 내 개인정보가 유출됐다는데 무엇을 할 수 있나요?」에서, 피해자들이 함께 다투는 방법은 「개인정보 유출 피해자들이 모여 포털을 상대로 단체소송을 낼 수 있나요?」에서 자세히 설명했습니다.

여기까지는 일반 기준이고, 회사가 빠뜨린 보호조치가 무엇이며 그것이 유출과 이어졌는지에 따라 배상 여부가 달라집니다. 법무법인 윤성은 개인정보 유출 피해자의 손해배상 청구와 기업의 유출 사고 대응을 수행합니다.

이 상황에서 자주 묻는 것

• 회사가 해커 탓이라고 하면 책임이 없나요?
  그렇지 않습니다. 해커의 범행이어도 회사가 기대되는 보호조치를 빠뜨려 범행을 쉽게 했고 그것이 유출과 이어졌다면 방조에 따른 공동불법행위 책임을 질 수 있습니다.
• 손해를 증명하기 어려우면 얼마를 받을 수 있나요?
  회사의 고의나 과실로 개인정보가 유출됐다면 300만 원 이하에서 법원이 정하는 금액을 법정손해배상으로 청구할 수 있습니다. 회사가 고의·과실이 없음을 증명하면 책임을 면합니다.
• 유출 통지를 받지 못했는데도 청구할 수 있나요?
  청구할 수 있지만 자신의 정보가 실제로 유출됐다는 점을 보여야 합니다. 2018년 사건에서도 유출 통지나 확인 내역이 없는 일부 원고의 청구는 증거 부족으로 기각됐습니다.
• 징벌적 손해배상은 언제 인정되나요?
  회사의 고의나 중대한 과실로 유출되어 손해가 생긴 경우 법원은 손해액의 5배 범위에서 배상액을 정할 수 있습니다. 회사가 고의·중과실이 없음을 증명하면 적용되지 않습니다.
• 회사는 유출 사실을 언제 알려야 하나요?
  회사는 유출을 알게 되었을 때 지체 없이 정보주체에게 유출 항목, 시점과 경위, 피해 최소화 방법, 구제 절차와 연락처를 알려야 합니다.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 쇼핑몰 해킹으로 내 개인정보가 유출됐다는데 무엇을 할 수 있나요?
• 개인정보 유출 피해자들이 모여 포털을 상대로 단체소송을 낼 수 있나요?
• 회사 서버가 해킹돼 고객 정보가 새 나갔다면 무엇부터 해야 하나요?
• 해킹으로 주민등록번호가 유출됐는데 번호를 바꿀 수 있나요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기