대법원 판례로 알아보는 개인정보 유출 사고와 기업의 안전조치의무 판단 기준
Article posted in 2026-08-24 14:14:17 | VEAT
온라인 서비스에서 개인정보 유출 사고가 발생하면 개인정보처리자가 충분한 보안조치를 시행하였는지가 문제될 수 있습니다. 그러나 개인정보가 유출되었다는 결과만으로 안전조치의무 위반이 곧바로 인정되는 것은 아니며, 사고 당시의 기술 수준과 서비스 구조, 실제로 시행된 보호조치를 함께 살펴보아야 합니다.
이 사건에서는 통신사 A가 운영하는 요금조회 및 포인트조회 홈페이지에 해커가 불법적으로 접근하여 다수 이용자의 개인정보를 유출하였습니다. 감독기관은 추가 인증 없이 다른 이용자의 정보를 조회할 수 있었던 점, 특정 IP에서 이루어진 대량 조회와 외부망을 통한 접속을 탐지·차단하지 못한 점, 사용이 중지된 퇴직자 계정으로 개인정보가 조회된 점 등을 근거로 과징금을 부과하였습니다.
법원은 퇴직자 계정을 사용 중지한 것만으로는 개인정보처리시스템에 대한 접근권한을 완전히 말소한 것으로 볼 수 없다고 판단하였습니다. 반면 통신사 A가 침입탐지·차단 시스템을 운영하고 자동화된 점검 도구와 모의해킹을 통해 웹 취약점을 점검한 사정도 함께 고려하였습니다.
대법원은 웹서버가 개인정보를 직접 저장하지 않더라도 개인정보의 처리 과정에 관여한다면 개인정보처리시스템에 포함될 수 있다고 보았습니다. 다만 사고 당시 보편적으로 알려진 정보보안기술을 적용하고 웹 취약점을 줄이기 위한 조치를 시행하였다면, 개인정보 유출이 발생했다는 사실만으로 사회통념상 합리적으로 기대할 수 있는 기술적 보호조치를 다하지 않았다고 단정하기는 어렵다고 판단하였습니다.
또한 사고 이후 취약점을 손쉽게 보완할 수 있었다는 사정만으로 사고 전의 조치가 미흡했다고 평가하면 개인정보 유출의 결과 자체에 책임을 묻게 될 수 있다고 보았습니다. 결국 퇴직자의 접근권한을 말소하지 않은 부분은 위반으로 인정하였지만, 이를 중대한 위반행위로 평가하여 과징금을 산정한 처분은 재량권을 일탈·남용한 것으로 판단하였습니다.
이 판결에는 구 정보통신망법이 적용되었지만, 현재는 「개인정보 보호법」 제29조에 따라 안전조치의무를 검토합니다. 기업은 보안시스템의 설치 여부뿐 아니라 계정과 접근권한의 관리, 취약점 점검 및 개선조치가 실제 개인정보 처리 구조에서 적절하게 운영되고 있는지도 확인해야 합니다.
법무법인 비트는 개인정보 유출 사고의 구체적인 침해 경로와 시스템 운영 자료를 분석하여 안전조치 이행 여부, 행정제재 가능성 및 사고 대응 방향을 검토하고 있습니다.
자주 묻는 질문
Q. 해킹으로 개인정보가 유출되면 기업의 안전조치의무 위반이 바로 인정되나요?
A. 개인정보 유출 사실만으로 안전조치의무 위반이 곧바로 인정되는 것은 아닙니다. 사고 당시의 기술 수준과 예상 가능한 위험, 적용된 보안기술, 접근권한 관리 및 취약점 점검 현황 등을 종합적으로 판단해야 하므로, 개인정보 유출 사고가 발생한 경우에는 관련 시스템과 보호조치의 운영 자료를 바탕으로 안전조치의무 이행 여부를 법률전문가에게 구체적으로 검토받는 것이 좋습니다.