개인정보 유출사고에서 권리관계와 계약서를 먼저 확인해야 하는 이유

핵심 요약

주요 쟁점: 개인정보 유출사고에서는 정보의 처리 목적과 권한, 개인정보처리자와 수탁자의 지위, 유출 경위, 안전조치 의무 및 계약상 책임을 구분해야 합니다.

먼저 확인할 내용: 개인정보 처리위탁인지 제3자 제공인지, 누가 개인정보의 처리 목적과 방법을 결정했는지, 계약서에 어떤 보안·사고보고·손해배상 조항이 있는지 확인해야 합니다.

초기 대응: 유출 확산을 차단하면서 접근기록과 사고자료를 보존하고, 정보주체 통지 및 감독기관 신고의 요건과 기한을 즉시 검토해야 합니다.

주의사항: 외주업체에서 사고가 발생했다는 이유만으로 위탁자의 법적 책임이 없어지는 것은 아닙니다. 계약상 책임을 다투는 과정에서 법정 신고·통지의무를 지연하거나 증거를 삭제해서는 안 됩니다.

온라인 쇼핑몰, 회원관리 서비스, 고객상담 시스템 또는 외부 클라우드 서비스를 운영하는 과정에서 개인정보 유출사고가 발생할 수 있습니다. 사고가 발생하면 어느 회사의 책임인지, 외주업체에 손해배상을 청구할 수 있는지, 고객에게 누가 통지해야 하는지를 둘러싼 분쟁이 생기기도 합니다.

이때 개인정보가 어느 서버에서 유출되었는지만으로 법적 책임을 판단하기는 어렵습니다. 개인정보를 누가 수집하고 어떤 목적으로 이용했는지, 다른 사업자에게 어떤 권한을 부여했는지, 계약에서 사고 대응과 책임을 어떻게 정했는지 확인해야 합니다.

개인정보 유출사고에서 권리관계를 먼저 확인해야 하는 이유

개인정보 보호법은 정보주체의 개인정보 자기결정권을 보호하면서 개인정보처리자에게 적법한 처리와 안전한 관리에 관한 의무를 부과합니다. 기업이 고객정보를 보유하고 있다는 사실만으로 해당 정보를 자유롭게 이용하거나 제3자에게 제공할 권리가 생기는 것은 아닙니다.

따라서 먼저 개인정보의 수집 목적과 법적 근거, 처리 범위, 보유기간을 확인해야 합니다. 회원가입이나 상품배송을 위해 수집한 정보가 다른 목적으로 사용되었는지, 처리 목적을 달성한 뒤에도 불필요하게 보관되었는지도 검토 대상입니다.

또한 사고 당시 해당 정보가 어느 사업자의 관리·통제 아래 있었는지 확인해야 합니다. 서비스 운영사, 시스템 개발사, 클라우드 제공사, 배송업체 등 여러 사업자가 관여했다면 각각의 법적 지위와 실제 처리행위를 구분할 필요가 있습니다.

계약서에 개인정보의 소유권이나 관리권한이 기재되어 있더라도 정보주체의 법률상 권리와 개인정보처리자의 의무를 계약만으로 배제할 수는 없습니다.

개인정보 처리위탁과 제3자 제공을 구분해야 합니다

개인정보 처리위탁은 개인정보처리자가 자신의 업무 수행을 위해 다른 사업자에게 개인정보 처리 업무를 맡기는 관계입니다. 예를 들어 쇼핑몰 운영사가 배송이나 고객상담 업무를 외부업체에 맡기는 경우가 이에 해당할 수 있습니다.

반면 제3자 제공은 정보를 제공받는 자가 자신의 목적에 따라 개인정보를 처리하는 관계인지 등이 중요한 판단 요소가 됩니다. 계약서에 위탁이라고 적혀 있다는 이유만으로 실제 법적 성격이 확정되는 것은 아닙니다.

개인정보 보호법 제26조는 개인정보 처리위탁 시 목적 외 처리 금지와 기술적·관리적 보호조치 등에 관한 내용을 문서에 포함하도록 규정합니다. 위탁자는 수탁자에 대한 교육과 감독 등 법정 의무도 검토해야 합니다.

재위탁이 이루어졌다면 최초 수탁자가 다시 어떤 업체에 업무를 맡겼는지, 필요한 동의와 관리·감독 절차를 거쳤는지 확인해야 합니다. 실제 개인정보 접근권한을 가진 업체가 계약서에 기재된 업체와 다른 경우에는 그 경위를 살펴볼 필요가 있습니다.

계약서를 확인해야 책임 범위와 대응 주체를 정리할 수 있습니다

개인정보 유출사고가 발생하면 서비스 이용계약과 개인정보 처리위탁계약, 정보보안 약정, 유지보수계약을 함께 확인해야 합니다. 사고가 발생한 시스템에 대한 운영권한과 보안책임이 계약마다 다르게 정해져 있을 수 있기 때문입니다.

계약상 면책조항이나 배상한도 조항이 있다면 그 적용 범위와 효력을 검토해야 합니다. 다만 사업자 간 계약에서 정한 책임제한이 정보주체에 대한 법정 책임이나 감독기관의 처분까지 당연히 제한하는 것은 아닙니다.

실제 시스템 운영이 계약 내용과 달랐다면 변경계약서, 업무지시서, 이메일 및 운영회의 기록도 함께 확인해야 합니다.

유출 경위와 안전조치 의무 위반 여부를 구분해야 합니다

개인정보 유출사고는 외부 해킹뿐 아니라 잘못된 이메일 발송, 접근권한 설정 오류, 내부 직원의 무단 조회, 수탁자의 관리 소홀 등 다양한 경위로 발생할 수 있습니다. 원인에 따라 확인해야 할 안전조치와 책임 주체가 달라집니다.

개인정보 보호법 제29조는 개인정보처리자에게 개인정보의 분실·도난·유출 등을 방지하기 위한 안전성 확보조치를 요구합니다. 구체적인 의무는 개인정보의 안전성 확보조치 기준 등 관련 규정과 시스템 운영 형태를 함께 검토해야 합니다.

수사기관이나 감독기관은 사고 발생 경위뿐 아니라 사고 전 접근통제와 계정관리, 보안점검, 로그 보관, 사고 발견 후 조치도 확인할 수 있습니다. 해킹이 발생했다는 사실만으로 사업자의 과실이 확정되거나 반대로 면책되는 것은 아닙니다.

따라서 사고 원인을 추정한 내부보고서와 실제 서버기록, 보안장비 로그, 접근권한 변경내역이 서로 일치하는지 확인해야 합니다.

개인정보 유출사고에서 우선 확보해야 할 증거

초기 단계에서는 유출 확산을 방지하면서도 사고 원인을 확인할 수 있는 자료가 훼손되지 않도록 관리해야 합니다. 시스템을 복구하거나 비밀번호를 변경하는 과정에서도 기존 기록이 사라지지 않도록 보존 방식을 검토해야 합니다.

• 사고 경위: 최초 탐지시각, 사고 인지시각, 내부보고 및 대응 일지
• 시스템 자료: 서버 접근로그, 관리자 활동기록, API 호출기록, 보안장비 로그
• 권한 자료: 계정 발급내역, 권한 변경기록, 퇴직자·외주업체 계정관리 기록
• 계약 자료: 처리위탁계약서, 보안약정, 유지보수계약, 재위탁 승인자료
• 개인정보 자료: 처리 항목, 보유기간, 처리방침, 동의 및 제3자 제공 관련 기록
• 피해 범위: 유출 가능 정보의 항목과 대상자 수, 외부 전송·열람 정황
• 사후 조치: 접근차단, 취약점 보완, 통지·신고 기록, 피해자 문의 및 처리내역

유출된 개인정보의 실제 내용을 확인해야 하는 경우에도 필요한 범위에서 접근을 제한해야 합니다. 사고 분석자료에 개인정보를 불필요하게 복제하거나 외부로 전달하면 추가적인 개인정보 침해가 발생할 수 있습니다.

외부 포렌식 업체를 이용하는 경우에는 조사 범위와 비밀유지, 개인정보 처리 권한, 원본 보존 및 결과물 관리에 관한 사항을 명확하게 정하는 것이 좋습니다.

유출 통지와 신고는 계약상 책임 다툼보다 먼저 검토해야 합니다

개인정보 보호법 제34조와 시행령은 개인정보 유출 등에 대한 정보주체 통지 및 감독기관 신고의무를 규정하고 있습니다. 통지와 신고는 서로 다른 의무이므로 각각의 요건을 확인해야 합니다.

2026년 9월 11일 시행된 개인정보 보호법 시행령 제39조에 따르면 개인정보처리자는 원칙적으로 개인정보 유출 등을 알게 된 때부터 72시간 이내에 정보주체에게 필요한 사항을 알려야 합니다. 다만 법령이 정한 긴급조치 등 예외적 사정과 별도 통지 규정이 적용되는지 확인해야 합니다.

시행령 제40조에 따른 감독기관 신고는 1천 명 이상의 정보주체에 관한 개인정보 유출, 민감정보 또는 고유식별정보 유출, 외부의 불법적 접근에 의한 유출 등 법정 요건에 해당하는 경우 원칙적으로 72시간 이내에 이루어져야 합니다.

유출된 정보의 구체적인 항목이나 규모가 아직 확정되지 않았다면 확인된 내용을 우선 신고하고 추가 확인사항을 보완해야 하는 경우도 있습니다. 수탁업체와 책임을 협의하느라 법정 기한을 놓치지 않도록 사고 인지시점부터 기록해야 합니다.

손해배상책임과 위탁자·수탁자 사이의 구상 문제

개인정보 유출로 피해가 발생했다면 정보주체가 개인정보처리자에게 손해배상을 청구하는 문제가 생길 수 있습니다. 개인정보 보호법 제39조는 개인정보처리자의 법 위반행위로 정보주체에게 손해가 발생한 경우의 손해배상책임을 규정합니다.

다만 개인정보가 유출되었다는 사실만으로 청구한 모든 손해액이 인정되는 것은 아닙니다. 법률상 책임 요건과 손해 발생, 인과관계 및 손해액을 구체적으로 검토해야 합니다.

위탁자와 수탁자 사이에서는 실제 사고 원인, 계약상 의무 위반과 귀책사유에 따라 손해배상이나 구상 문제가 발생할 수 있습니다. 특히 개인정보 보호법 제26조는 수탁자의 개인정보 처리에 관한 일정한 법률관계에서 위탁자의 책임을 규정하므로, 외주계약의 존재만으로 위탁자의 책임이 사라진다고 볼 수 없습니다.

계약에 손해배상액 예정이나 배상한도 조항이 있는 경우에도 법령상 책임과 계약상 책임을 구분해야 합니다. 감독기관의 과징금·과태료와 정보주체에 대한 손해배상, 업체 간 비용분담은 각각 법적 성격이 다릅니다.

초기 대응에서 피해야 할 행동과 절차별 준비사항

사고가 발생한 직후에는 추가 유출 방지와 증거 보존을 함께 진행해야 합니다. 로그를 삭제하거나 시스템을 초기화한 뒤 사고 원인을 확인하려 하면 중요한 자료를 잃을 수 있습니다.

유출 규모가 확인되지 않았는데도 사고가 없었다고 단정하거나, 책임 소재가 불분명하다는 이유로 정보주체 통지와 신고를 미루는 행동도 주의해야 합니다. 외부 안내문에는 확인된 사실과 조사 중인 사항을 구분하여 기재해야 합니다.

일반적인 대응 순서는 사고 인지 및 확산 차단, 기록 보존, 유출 범위 확인, 통지·신고 판단, 원인조사, 피해 최소화, 재발방지 조치, 책임관계 검토입니다. 이러한 업무는 순차적으로만 진행되는 것이 아니라 법정 기한에 맞춰 병행해야 할 수 있습니다.

개인정보보호위원회의 조사나 정보주체의 분쟁조정·손해배상 청구가 진행된다면 기존 사고보고서와 계약서, 기술적 조사결과 및 실제 대응내역을 일관되게 정리해야 합니다.

사건을 검토할 때 확인해야 할 사항

유왕현 변호사는 개인정보 유출사고와 관련한 법률문제를 검토할 때 먼저 정보주체, 개인정보처리자, 수탁자 및 재수탁자의 관계를 구분하고 개인정보의 처리 목적과 접근권한을 확인하는 관점에서 살펴봅니다.

그다음 계약서의 업무범위와 보안의무, 실제 시스템 운영내역을 비교하여 사고 발생에 영향을 준 행위를 확인할 필요가 있습니다. 계약에 기재된 책임과 법령상 의무가 일치하는지, 계약 밖에서 이루어진 업무지시나 권한 변경은 없었는지도 검토해야 합니다.

또한 사업자에게 유리한 사정뿐 아니라 보안점검 누락, 불필요한 접근권한 유지, 사고보고 지연 등 불리하게 해석될 수 있는 자료도 함께 확인해야 합니다. 신고·통지의무와 손해배상, 감독기관 조사 및 업체 간 책임분담을 구분하여 대응 순서를 정하는 것이 중요합니다.

상담 전 준비사항과 자주 묻는 질문

상담 전에는 개인정보 처리위탁계약서와 보안약정, 개인정보 처리방침, 사고 발생·인지 시각을 정리한 자료, 유출 범위 분석결과, 서버·접근로그, 통지·신고 내역을 준비하는 것이 좋습니다. 아직 확보하지 못한 자료는 담당 업체와 보관 위치를 별도로 정리해야 합니다.

외주업체 서버에서 유출되었다면 외주업체만 책임지나요?

그렇다고 단정할 수 없습니다. 위탁자와 수탁자의 법적 지위, 개인정보 보호법상 의무, 계약 내용과 실제 사고 원인을 함께 확인해야 합니다.

계약서에 수탁자가 모든 책임을 진다고 되어 있으면 위탁자는 면책되나요?

계약상 책임분담 조항은 업체 간 관계에서 검토할 수 있지만 정보주체에 대한 법정 책임이나 감독기관의 처분을 당연히 배제하지는 않습니다.

개인정보 유출사고는 모두 72시간 이내에 신고해야 하나요?

정보주체 통지와 감독기관 신고는 구별해야 합니다. 감독기관 신고는 유출 인원, 정보 종류, 외부 불법접근 여부 등 법정 요건을 확인해야 하며, 적용되는 예외 규정도 검토해야 합니다.

해킹으로 발생한 사고라면 회사의 책임이 없나요?

외부 공격이라는 사실만으로 책임이 결정되는 것은 아닙니다. 사고 당시 요구되는 안전조치를 이행했는지와 사고 발생·확대의 원인을 검토해야 합니다.

유출된 개인정보가 실제로 악용되지 않았다면 손해배상책임이 없나요?

개인정보의 실제 악용 여부는 손해와 인과관계를 판단하는 요소가 될 수 있습니다. 다만 법정 책임의 성립과 손해의 내용은 구체적인 사정에 따라 검토해야 합니다.

사고조사를 위해 직원이나 수탁자의 계정에 접속해도 되나요?

조사 목적이 있더라도 적법한 접근권한과 필요한 범위를 확인해야 합니다. 권한 없는 계정 접속이나 자료 반출은 별도의 법적 문제를 발생시킬 수 있습니다.

참고 법령과 절차

법률 고지

이 글은 개인정보 유출사고에서 권리관계와 계약서를 검토하는 일반적인 법률 기준과 절차를 설명하기 위한 정보입니다. 실제 적용 법률과 대응 방향은 구체적인 사실관계, 증거와 사건 진행 상황에 따라 달라질 수 있습니다.