개인정보

해킹으로 고객정보가 유출되면 회사는 항상 과징금을 내야 하나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.14 갱신

해킹으로 개인정보가 유출되었더라도 사회통념상 합리적으로 기대 가능한 보호조치를 다했다면 안전조치의무 위반이 아니고, 현행법도 이 경우 과징금을 부과하지 않도록 정합니다. 대법원 2018두56404 판결로 판단 요소와 대응 순서를 정리했습니다.

아니요, 해킹으로 개인정보가 유출되었더라도 회사가 사회통념상 합리적으로 기대할 수 있는 보호조치를 다했다면 안전조치의무 위반이 아닙니다. 대법원도 사후에 쉽게 고칠 수 있었다는 사정만으로 위반을 인정하면 결과책임이 된다고 보았습니다. 현행법도 안전조치를 다한 경우에는 유출을 이유로 과징금을 부과하지 않도록 정하고 있습니다.

이런 상담이 많습니다

E사는 회원 약 40만 명이 쓰는 쇼핑몰을 운영합니다. 2026. 5. 외부인이 로그인한 뒤 주문 조회 화면의 회원번호 값을 바꿔 보내는 방식으로 다른 회원의 이름과 주소, 전화번호를 빼 간 사실이 확인되었습니다. E사는 매년 외부 업체의 모의해킹과 웹 취약점 점검을 받아 왔고, 침입차단시스템도 운영하고 있었습니다. 사고 직후 회원번호와 로그인 정보가 일치하지 않으면 조회되지 않도록 소스코드를 고쳤습니다. E사 대표는 이렇게 쉽게 고칠 수 있었으니 과징금을 피할 수 없는 것인지 물으셨습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

회사의 안전조치의무는 어디까지인가요?

개인정보처리자는 내부 관리계획, 접근 권한 관리, 접근 통제, 암호화, 접속기록 보관 같은 안전성 확보조치를 해야 합니다. 세부 기준은 개인정보보호위원회 고시가 정하고, 고시는 처리하는 개인정보의 규모와 유형에 맞춰 스스로의 환경에 맞는 조치를 적용하라고 정합니다. 특히 인터넷 홈페이지 등을 통해 권한 없는 자에게 개인정보가 공개되거나 유출되지 않도록 개인정보처리시스템과 취급자의 컴퓨터에 조치를 하도록 요구합니다. 이 판결이 적용한 옛 방송통신위원회 고시 제4조 제9항과 같은 내용이 현행 고시 제6조 제3항에 그대로 들어 있습니다. 그래서 판결의 판단 기준은 현행 개인정보 보호법 아래에서도 그대로 참고됩니다. 다만 현행 고시는 취약점 점검과 접속기록 점검 등 구체적 의무를 더 자세히 정하고 있습니다.

대법원은 해킹 사고의 보호조치 위반을 어떻게 판단했나요?

대법원은 해킹 당시 기술 수준과 회사의 보안 노력을 종합해 보면 보호조치 위반으로 단정하기 어렵다고 판단했습니다. 사안의 통신회사 홈페이지에서는 해커가 요금명세서 조회 요청의 서비스계약번호를 임의 숫자로 바꾸는 파라미터 변조로, 2013. 8.부터 2014. 2.까지 약 1,170만 건의 개인정보를 빼 갔습니다. 대법원은 우선 웹 서버도 개인정보처리시스템에 포함된다고 보아 원심의 좁은 해석을 바로잡았습니다. 그러면서 회사가 지켜야 할 것은 “사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치”라고 보았습니다. 회사는 개발 단계부터 자동화된 점검 도구를 쓰고 모의해킹과 침입방지시스템을 운영해 왔습니다. 대법원은 사후 시정이 쉬웠다는 점만 보면 결과책임을 묻게 된다고 보아 위반을 인정하지 않고, 과징금 처분을 취소한 원심을 유지했습니다.

보호조치를 다했는지는 무엇으로 판단하나요?

사고 당시의 보안 기술 수준, 업종과 영업 규모, 설계 단계의 보안대책, 운영 중 실시한 점검과 개선 조치를 종합해 판단합니다. 판결은 여기에 보안 비용과 효용, 실제 쓰인 해킹 기술의 수준과 피해 회피 가능성, 수집한 개인정보의 내용과 피해 정도까지 고려 요소로 들었습니다. 특히 홈페이지를 오랜 기간 운영하면서 보안기술의 적정성을 지속적으로 검증하고 개선했는지가 핵심이었습니다. 그래서 점검 보고서와 개선 이력이 회사 쪽의 가장 중요한 증거가 됩니다. 현행법은 과징금을 정할 때도 암호화 등 안전성 확보 조치 이행 노력과 피해 회복 조치를 고려하도록 정합니다. 처분 사유 일부가 인정되지 않으면 위반 정도 평가가 달라져, 과징금 산정 자체가 재량권 일탈이 될 수도 있습니다. 실제로 이 사건에서도 네 가지 처분 사유 가운데 하나만 인정되는데도 「중대한 위반행위」로 평가해 과징금을 산정한 것은 재량권 일탈이라는 원심 판단이 유지되었습니다.

유출 직후의 통지·신고 절차는 「회사 서버가 해킹돼 고객 정보가 새 나갔다면 무엇부터 해야 하나요?」에서 자세히 설명했습니다.

개인정보 유출 과징금 대응 순서

• 증거 보전 - 접속기록, 침입 탐지 로그, 소스코드 변경 이력을 사고 직후 그대로 보존하고 수정 전 코드도 따로 남겨 둡니다.
• 통지·신고 - 유출 항목과 경위를 확인해 정보주체 통지와 보호위원회 신고를 지체 없이 하고, 통지 문안과 발송 기록을 보관합니다.
• 보안 이력 정리 - 사고 전 취약점 점검, 모의해킹, 내부 관리계획 점검 기록을 연도별로 묶습니다.
• 의견 제출 - 조사·사전통지 단계에서 당시 기술 수준과 보호조치 이행 내역을 근거로 의견을 냅니다.
• 불복 판단 - 과징금 부과처분을 받으면 사유별 인정 여부와 산정 근거를 검토해 90일 안에 다툽니다.

여기까지는 일반 기준이고, 사고 당시 쓰인 해킹 기법의 수준과 회사가 사고 전에 해 온 점검·개선 조치의 내용에 따라 위반 여부와 과징금 규모가 달라집니다. 법무법인 윤성은 개인정보 유출 사고의 조사 대응과 과징금 처분 불복을 수행합니다.

이 상황에서 자주 묻는 것

• 웹 서버도 개인정보처리시스템에 들어가나요?
  네, 대법원은 개인정보처리시스템이 데이터베이스와 연동되어 개인정보 처리에 관여하는 웹 서버 등을 포함한다고 보았습니다. 홈페이지 단계의 취약점도 안전조치 대상입니다.
• 개인정보 유출 과징금은 얼마까지 나오나요?
  전체 매출액의 100분의 3을 넘지 않는 범위에서 부과할 수 있고, 위반행위와 관련 없는 매출액은 빼고 산정합니다. 매출액 산정이 어려우면 20억원 이하입니다. 고의·중과실 등 가중 사유가 있으면 상한이 올라갑니다.
• 모의해킹을 한 번도 받지 않았다면 바로 위반인가요?
  모의해킹 자체가 모든 회사의 의무로 정해진 것은 아니지만, 내부 관리계획에 취약점 점검을 포함해 연 1회 이상 이행 실태를 점검해야 합니다. 점검 기록이 없으면 보호조치를 다했다는 주장이 어려워집니다.
• 과징금과 별도로 피해자 손해배상도 해야 하나요?
  과징금은 행정 제재이고, 정보주체의 손해배상 청구는 별개 절차입니다. 다만 회사가 고의나 과실이 없음을 증명하면 배상책임을 지지 않으므로, 보호조치 이행 자료는 두 절차 모두에 쓰입니다.
• 소규모 쇼핑몰도 같은 수준의 보호조치를 해야 하나요?
  고시는 처리하는 개인정보의 보유 수와 유형 등을 고려해 스스로의 환경에 맞는 조치를 적용하라고 정합니다. 판결도 업종과 영업 규모를 판단 요소로 들었습니다. 다만 접근 통제 등 기본 조치는 규모와 관계없이 필요합니다.

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

• 채팅으로 끝까지전화 안 하셔도 돼요
• 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
• 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
• 10분 안에 답업무시간 기준 · 알림톡으로 알려요
• 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
• 결과는 문서로같은 채팅방에 문서로 와요

지금 상황을 적어 주세요

변호사에게 보내기

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

• 회사 서버가 해킹돼 고객 정보가 새 나갔다면 무엇부터 해야 하나요?
• 쇼핑몰 해킹으로 내 개인정보가 유출됐다는데 무엇을 할 수 있나요?
• 개인정보 유출 피해자들이 모여 포털을 상대로 단체소송을 낼 수 있나요?
• 해킹으로 주민등록번호가 유출됐는데 번호를 바꿀 수 있나요?
• 해킹이나 불법 유통으로 구한 개인정보를 쓰면 개인정보처리자로 처벌되나요?

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지이 글에 의견 보내기