[스타트업 법률 가이드] 해킹으로 개인정보가 유출되면 기업은 무조건 책임질까

[프라임경제] 최근 대규모 개인정보 유출 사고가 잇따르면서 기업의 개인정보 보호 책임에 대한 관심도 커지고 있다. 개인정보보호위원회에 접수된 개인정보 유출 신고는 지난 2022년 167건에서 2025년 447건으로 증가했고, 2026년에는 상반기에만 432건이 접수됐다. 

SK텔레콤, 쿠팡 등 대규모 유출 사고에 수백억 원에서 수천억 원대 과징금이 부과되면서 개인정보 유출은 이제 기업의 존립과 평판에도 영향을 미치는 경영 리스크가 되고 있다.

그렇다면 외부 해커의 공격으로 개인정보가 유출되면 기업은 언제나 책임을 져야 할까? 결론부터 말하면 반드시 그렇지는 않다.

개인정보 보호법은 개인정보처리자에게 개인정보의 분실ㆍ도난ㆍ유출 등을 방지하기 위한 기술적ㆍ관리적ㆍ물리적 안전조치를 취하도록 요구한다. 따라서 해커가 직접 개인정보를 탈취했더라도 기업이 법에서 요구하는 보호조치를 제대로 이행하지 않았다면 책임을 부담할 수 있다.

반대로 기업이 모든 해킹을 완벽하게 막아야 한다는 의미도 아니다. 대법원은 이른바 옥션 개인정보 유출 사건에서 기업의 보호조치 의무 위반 여부를 판단할 때 사고 당시의 보안기술 수준뿐 아니라 사업자의 업종과 영업규모, 전체적인 보안조치의 내용, 필요한 비용과 효용, 해킹기술의 수준과 피해 회피 가능성 등을 종합적으로 고려해야 한다고 봤다.

결국 중요한 것은 '해킹이 발생했는가' 자체보다 기업이 당시 상황에서 합리적으로 요구되는 보호조치를 실제로 취했는가이다. 

최근 제재 사례에서도 SK텔레콤의 보안 업데이트 등 안전조치 미흡, 쿠팡의 인증 서명키 관리와 접근통제 소홀 등이 문제로 지적됐다. 보안 규정을 문서로 만들어 두는 것만으로는 부족하고, 실제 시스템에서 취약점을 점검하고 발견된 문제를 개선했는지가 중요해지고 있는 것이다.

기업의 부담은 최근 법 개정으로 한층 커졌다. 2026년 9월 시행된 개정 개인정보 보호법은 중대한 침해행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다.

다만 개인정보 유출이 발생했다고 해서 곧바로 매출액의 10%가 과징금으로 부과되는 것은 아니다. 같은 유형의 위반행위를 3년 이내에 반복하면서 고의 또는 중대한 과실이 있는 경우, 고의 또는 중대한 과실로 일정한 법 위반행위를 해 1000만명 이상의 정보주체에게 피해를 발생시킨 경우, 개인정보보호위원회의 시정명령을 이행하지 않아 사고가 발생한 경우 등이 그 대상이다.

오히려 이번 개정에서 눈여겨볼 부분은 기업의 '사전 투자'와 '사후 대응' 역시 제재 수준에 반영된다는 점이다. 개인정보 보호를 위해 예산ㆍ인력ㆍ설비 등에 투자하고 보호체계를 강화했다면 일정한 요건 아래 과징금 기준금액을 최대 40%까지 감경받을 수 있다. 사고 이후 신속하게 사고를 탐지·신고하고 피해 확산을 막기 위해 노력했는지도 과징금 산정 과정에서 고려된다.

따라서 개인정보 보호에 대한 투자는 사고를 예방하기 위한 비용에 그치지 않는다. 실제 사고가 발생했을 때 기업이 어느 정도의 책임을 부담할지를 좌우하는 요소이기도 하다. 보안 인력을 얼마나 확보했는지, 취약점 점검을 얼마나 자주 실시했는지, 발견된 취약점을 어떻게 개선했는지와 같은 기록을 평소 남겨둘 필요가 있는 이유다.

사고 발생 이후의 대응 속도도 더욱 중요해졌다. 개정 개인정보 보호법은 일정한 경우 '유출 가능성' 단계부터 정보주체에 대한 통지의무를 부과한다. 

예컨대 개인정보처리시스템에 불법적인 접근이 발생해 유출이 의심되지만 대상자를 특정하기 어려운 경우나, 일부 개인정보의 불법 유통이 확인돼 다른 정보까지 유출됐을 가능성이 있는 경우에는 그 사실을 인지한 때부터 72시간 이내에 통지해야 한다.

통지·신고 대상도 단순한 개인정보의 △분실 △도난 △유출에 그치지 않고 위조, 변조, 훼손까지 포함한다. 랜섬웨어로 개인정보가 훼손된 경우처럼 외부 반출 여부가 명확하지 않은 사고도 구체적인 상황에 따라 신고 또는 통지 대상이 될 수 있다는 의미다.

여기에 2026년 10월 시행된 개정 정보통신망법도 함께 살펴야 한다. 정보통신서비스 제공자는 침해사고 발생 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부장관 또는 한국인터넷진흥원에 신고해야 하고, 일정한 침해사고는 이용자에게도 통지해야 한다. 

하나의 사고에 개인정보 보호법과 정보통신망법이 동시에 적용될 수 있으므로 기업 입장에서는 어떤 법률에 따라 누구에게, 몇 시간 안에 신고하거나 통지해야 하는지를 사고 초기부터 판단해야 한다.

개인정보 보호의 책임 주체도 정보보안 부서에만 머무르지 않게 됐다. 개정 개인정보 보호법은 사업주 또는 대표자를 개인정보의 안전한 처리와 정보주체의 권리 보호에 관한 최종적인 책임자로 명시했다. 개인정보 보호책임자(CPO)의 업무에도 전문인력 관리와 예산 확보, 대표자와 이사회에 대한 보고 등이 추가됐다.

이는 개인정보 유출 사고가 더 이상 서버나 보안 솔루션만의 문제가 아니라는 점을 보여준다. 경영진이 필요한 인력과 예산을 배정했는지, 주요 개인정보 위험을 보고받고 적절한 결정을 내렸는지까지 기업의 개인정보 보호체계 내에서 관리해야 한다.

접근권한, 암호화, 접속기록, 보안 업데이트와 취약점 개선 등 실제 보호조치가 제대로 작동하는지 정기적으로 점검하고 그 과정을 기록해야 한다. 사고가 발생하면 누구에게 보고하고, 어느 시점에 개인정보 보호법과 정보통신망법상 신고·통지 여부를 판단, 누가 규제기관 및 이용자 대응을 맡을 것인지도 미리 정해둘 필요가 있다.

외부 업체에 개인정보 처리를 위탁하고 있다면 수탁자의 사고 대응체계 역시 점검해야 한다. 수탁업체에서 유출 사고가 발생하더라도 위탁자의 관리·감독 의무가 문제될 수 있기 때문이다. 위탁계약에 사고 발생 시 즉시 통보, 증거와 자료의 보존, 조사 협조, 피해 확산 방지에 관한 의무를 명확하게 두고 실제 연락체계를 마련해 둘 필요가 있다.

해킹 사고를 완벽하게 막는 것은 현실적으로 어려울 수 있다. 법도 기업에 모든 사이버 공격을 100% 방어하라고 요구하는 것은 아니다.그러나 사고가 발생한 뒤 '해커가 한 일'이라는 설명만으로 기업의 책임이 사라지는 것도 아니다. 

사고 이전에 합리적인 보호조치를 취했는지, 취약점을 발견하고도 방치하지 않았는지, 필요한 인력과 예산을 투입했는지, 사고를 인지한 뒤 얼마나 빠르게 피해를 차단하고 신고·통지했는지가 기업의 책임을 가르게 된다.

최근의 법 개정이 던지는 메시지도 여기에 있다. 개인정보 보호는 사고가 발생한 다음 법무팀과 보안팀이 대응하는 업무가 아니라, 사고 이전부터 경영진이 투자하고 관리하며 그 과정을 증명할 수 있어야 하는 경영관리의 문제로 바뀌고 있다.