해킹으로 인한 개인정보 유출 사고가 발생하면 기업은 개인정보보호위원회(이하 개인정보위)로부터 과징금 부과 처분을 받을 수 있습니다. 2023년 개정 개인정보 보호법 시행 이후 과징금 상한이 전체 매출액의 3%로 상향되면서, 기업이 부담하는 재정적 리스크는 이전과 비교할 수 없을 정도로 커졌습니다.
과징금 부과 여부와 규모는 사고 이후 기업이 어떻게 대응하느냐에 따라 크게 달라집니다. 아래 8가지 항목을 사전에 점검해 두시기 바랍니다.
과징금 부과 전 반드시 확인해야 할 8가지 체크리스트
1. 안전조치 의무 이행 수준을 객관적으로 점검했는가
개인정보 보호법 제29조 및 같은 법 시행령 제30조는 개인정보처리자에게 기술적, 관리적, 물리적 안전조치 의무를 부과합니다. 과징금 산정 시 가장 먼저 검토되는 항목이므로, 해킹 발생 시점에 접근통제, 암호화, 접속기록 보관 등이 적절히 이행되고 있었는지를 내부적으로 먼저 확인해야 합니다. 안전조치 기준 고시에 따른 세부 항목을 하나씩 대조하는 것이 중요합니다.
2. 유출 규모와 유출된 정보의 종류를 정확히 파악했는가
과징금 산정 시 유출 건수는 물론이고, 유출된 정보의 민감도가 함께 고려됩니다. 이름과 연락처만 유출된 경우와 주민등록번호, 금융정보, 의료정보 등 민감정보(개인정보 보호법 제23조)가 포함된 경우는 과징금 규모에서 상당한 차이가 발생합니다. 포렌식 분석을 통해 유출 범위를 최대한 정밀하게 확정해야 합니다.
3. 72시간 이내 신고 의무를 이행했는가
개인정보 보호법 제34조의2에 따르면, 개인정보 유출 사실을 인지한 때부터 72시간 이내에 개인정보위 또는 한국인터넷진흥원(KISA)에 신고해야 합니다. 이 기한을 넘기면 별도의 의무 위반으로 취급되어 과징금이 가중될 수 있습니다. 유출 인지 시점에 대한 기록(이메일, 내부 보고서, 시스템 로그 등)을 반드시 보존해 두시기 바랍니다.
4. 정보주체 통지 의무를 적법하게 이행했는가
1,000명 이상의 개인정보가 유출된 경우, 유출 사실과 유출된 항목, 대응 조치 등을 정보주체에게 통지해야 합니다(개인정보 보호법 제34조). 통지 방법도 중요합니다. 서면, 이메일, 문자메시지 등 정보주체가 실제로 확인할 수 있는 수단을 사용해야 하며, 홈페이지 게시만으로는 개별 통지 의무를 대체할 수 없습니다.
5. 유출 원인에 대한 포렌식 분석 보고서를 확보했는가
포렌식 분석 보고서는 과징금 감경 또는 면제 여부를 결정짓는 핵심 증거입니다. 해킹의 원인이 제로데이 취약점(알려지지 않은 보안 취약점)에 의한 것인지, 이미 패치가 공개된 취약점을 방치한 것인지에 따라 기업의 과실 정도가 달라집니다. 전문 보안업체를 통한 독립적 분석을 권합니다.
6. 과징금 산정 기준에서 감경 사유를 검토했는가
개인정보 보호법 시행령 제34조의2에서 규정하는 과징금 산정 기준에는 감경 사유가 존재합니다. 대표적으로 다음의 항목이 해당합니다.
A
사고 발생 전 정보보호 관리체계 인증(ISMS 또는 ISMS-P)을 취득한 경우
B
사고 인지 후 즉시 피해 확산 방지 조치를 시행한 경우
C
정보주체에 대한 피해 보상을 자발적으로 실시한 경우
D
위반 행위의 기간이 짧고, 반복성이 없는 경우
감경 사유에 해당하는 사실관계를 객관적 자료와 함께 소명하면 과징금 규모를 줄일 수 있습니다.
7. 형사 책임과의 관계를 정리했는가
개인정보 유출 사고는 과징금(행정 제재)과 별개로 형사 처벌로 이어질 수 있습니다. 개인정보 보호법 제73조에 따르면, 안전조치 의무를 위반하여 개인정보를 분실, 도난, 유출시킨 자는 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처해질 수 있습니다. 또한 해킹 자체에 대해서는 정보통신망법 제48조(정보통신망 침입 금지)에 따라 해커에 대한 형사 고소도 검토해야 합니다. 과징금 대응과 형사 대응은 동시에 진행되므로, 진술 내용이 상호 모순되지 않도록 법률 자문을 받아 일관된 방어 전략을 수립하는 것이 필요합니다.
8. 과징금 부과 처분에 대한 행정쟁송 가능성을 검토했는가
개인정보위의 과징금 부과 처분에 불복하는 경우, 처분 통지를 받은 날부터 90일 이내에 행정소송을 제기할 수 있습니다(행정소송법 제20조). 실무에서는 과징금 산정 과정에서 매출액 기준 적용 오류, 위반 행위의 범위 산정 오류 등을 이유로 감액 판결이 나오는 사례가 존재합니다. 처분서를 수령한 즉시 산정 근거를 면밀히 검토하는 것이 중요합니다.
과징금 규모에 영향을 미치는 주요 변수 정리
매출액 기준: 2023년 개정법 시행 이후 과징금 상한은 위반 관련 매출액의 3%입니다. 위반 관련 매출액이 없거나 산정이 불가한 경우에는 20억 원이 상한으로 적용됩니다.
유출 건수별 기본 산정: 유출된 개인정보의 건수가 10만 건 미만인 경우와 100만 건 이상인 경우 과징금 기본 부과율이 달라집니다. 민감정보나 고유식별정보가 포함되면 부과율이 가중됩니다.
기업의 대응 태도: 사고 은폐, 신고 지연, 자료 제출 거부 등은 가중 사유에 해당합니다. 반대로 사고 직후의 신속한 조치, 자발적 피해 보상, 재발 방지 계획 수립 등은 감경 사유로 인정받을 가능성이 높습니다.
실무적으로 유의할 점
해킹에 의한 개인정보 유출 사고에서 기업이 흔히 간과하는 부분은, 과징금 부과가 단순히 해킹 발생 사실만으로 결정되지 않는다는 점입니다. 핵심은 사전 안전조치 의무의 이행 수준과 사후 대응의 적절성입니다.
특히 최근 개인정보위의 처분 경향을 보면, 해킹 기법 자체의 고도화보다는 이미 알려진 취약점에 대한 패치 미적용, 접근권한 관리 미흡 등 기본적인 보안 수칙 위반에 과징금을 중하게 부과하는 경향이 뚜렷합니다.
위 8가지 체크리스트를 사고 초기 단계에서 체계적으로 점검하면, 과징금 감경은 물론이고 이후 발생할 수 있는 집단소송이나 형사 절차에서도 유리한 위치를 확보할 수 있습니다.
