개인정보 유출사고 분쟁의 소송 전 합의와 계약 수정에서 확인할 조항

핵심 요약

주요 쟁점: 개인정보 유출사고 분쟁을 소송 전에 해결하려면 사고 원인과 책임 주체, 손해배상 범위, 합의의 효력 및 향후 개인정보 처리 의무를 구분해야 합니다.

먼저 확인할 내용: 개인정보처리자와 수탁자의 관계, 유출된 정보의 종류와 범위, 기존 계약의 보안·면책·손해배상 조항, 법정 신고·통지 의무를 확인해야 합니다.

초기 대응: 사고기록과 계약서, 접근기록, 통지·신고 내역, 피해회복 자료를 보존하고 합의서와 계약 변경안을 별도로 검토해야 합니다.

주의사항: 당사자 사이에 합의하더라도 개인정보 보호법에 따른 의무나 정보주체의 권리가 당연히 소멸하는 것은 아닙니다. 책임을 일괄 면제하거나 증거 삭제를 요구하는 조항은 신중하게 검토해야 합니다.

개인정보 유출사고가 발생하면 기업 사이의 위탁계약 분쟁이나 정보주체의 손해배상 청구로 이어질 수 있습니다. 사고를 수습하는 과정에서 소송보다 합의를 우선 검토하거나 기존 계약의 보안 관련 조항을 수정하려는 경우도 있습니다.

그러나 합의금을 지급하거나 계약서에 면책 문구를 추가하는 것만으로 모든 문제가 정리되는 것은 아닙니다. 사고의 원인과 책임 범위, 법령상 통지·신고 의무, 추가 피해 발생 가능성을 구분하여 문서에 반영해야 합니다.

개인정보 유출사고의 책임 주체부터 구분해야 합니다

개인정보 보호법은 개인정보처리자의 안전성 확보 의무와 개인정보 처리업무 위탁에 관한 규정을 두고 있습니다. 따라서 유출사고가 발생했다면 누가 개인정보를 수집·이용하고 관리했는지, 외부 업체가 어떤 업무를 위탁받았는지 확인해야 합니다.

예를 들어 고객정보를 관리하는 기업이 외부 업체에 서버 운영이나 고객상담 업무를 위탁했다면 위탁자와 수탁자의 역할을 구분해야 합니다. 실제 사고가 수탁자의 시스템에서 발생했더라도 위탁자의 관리·감독 의무가 별도로 문제될 수 있습니다.

반대로 외부 업체가 독립적인 개인정보처리자로서 정보를 처리한 경우라면 단순한 처리위탁과 법적 관계가 다를 수 있습니다. 계약서의 명칭보다 실제 정보처리 목적과 권한, 업무 수행 방식을 확인해야 합니다.

합의나 계약 수정을 시작하기 전에 각 당사자의 법적 지위와 사고 발생 경위를 정리해야 책임분담 조항을 구체적으로 작성할 수 있습니다.

소송 전 합의서에서 손해배상 범위를 어떻게 정해야 하나요?

개인정보 보호법 제39조는 개인정보처리자의 법 위반으로 손해를 입은 정보주체가 손해배상을 청구할 수 있도록 규정하고 있습니다. 기업 사이의 계약 위반에 따른 손해배상은 계약내용과 민법상 책임요건 등을 별도로 검토해야 합니다.

합의서에는 지급할 금액뿐 아니라 그 금액이 어떤 손해를 대상으로 하는지 명확하게 정해야 합니다. 사고 조사비용, 정보주체 통지비용, 피해회복비용, 시스템 복구비용, 법률 대응비용 등을 구분할 필요가 있습니다.

아직 손해액이 확정되지 않았다면 이미 발생한 손해와 향후 발생할 수 있는 손해를 나누어 검토해야 합니다. 합의 당시 예상하기 어려웠던 추가 피해가 발생한 경우의 처리방법도 중요한 쟁점입니다.

또한 지급기일과 지급방법, 분할지급 여부, 지연 시 처리방법을 구체적으로 기재해야 합니다. 손해배상액의 산정근거가 불명확하면 합의 후에도 지급 범위를 둘러싼 새로운 분쟁이 생길 수 있습니다.

면책조항과 추가 청구 포기 문구에서 주의할 사항

합의서에는 일정 금액을 지급하는 대신 추가적인 민사상 청구를 하지 않는다는 문구가 포함되기도 합니다. 그러나 면책의 대상과 범위가 지나치게 넓으면 합의 이후 새로운 사고나 추가 피해가 발생했을 때 해석상 다툼이 생길 수 있습니다.

면책조항에는 대상 사고의 발생 시기와 범위, 합의 당사자, 포함되는 손해항목, 제외되는 사항을 구체적으로 정하는 것이 좋습니다. 사고와 무관한 장래의 모든 개인정보 침해행위까지 포괄적으로 면책하는 문구는 별도로 검토해야 합니다.

특히 위탁자와 수탁자 사이의 합의가 정보주체의 손해배상청구권까지 당연히 소멸시키는 것은 아닙니다. 정보주체가 합의 당사자가 아니라면 그 권리와 법률상 책임을 별도로 살펴야 합니다.

고의 또는 중대한 과실에 관한 면책, 법령상 의무를 배제하는 내용, 제3자의 권리행사를 제한하는 문구도 효력과 위험을 검토해야 합니다.

비밀유지 조항과 법정 신고·통지 의무를 구분해야 합니다

기업 사이의 합의에서는 사고 조사자료나 보안 취약점, 합의금액을 외부에 공개하지 않는 비밀유지 조항을 둘 수 있습니다. 다만 비밀유지 의무가 법령상 신고·통지 의무까지 제한하는 방식으로 작성되어서는 안 됩니다.

개인정보 보호법 제34조는 개인정보 유출등을 알게 된 개인정보처리자의 정보주체 통지와 일정한 경우의 신고 의무를 규정하고 있습니다. 2026년 9월 11일 시행된 개정 법령에는 정보주체에게 피해구제 절차와 법적 권리의 행사방법을 안내하는 내용도 반영되어 있습니다.

따라서 합의서에는 법령에 따른 신고와 통지, 감독기관의 조사에 대한 협조, 법원 제출 및 법률전문가 자문 등 정당한 목적의 정보제공을 비밀유지 의무의 예외로 정할 필요가 있습니다.

다만 공개 범위를 정할 때에도 불필요한 개인정보가 다시 노출되지 않도록 해야 합니다. 사고 관련 자료를 공유하는 대상과 방법, 보관기간, 접근권한을 구체적으로 정하는 것이 좋습니다.

개인정보 처리위탁 계약에서 수정해야 할 주요 조항

개인정보 처리업무를 외부 업체에 맡긴 경우에는 개인정보 보호법 제26조에 따른 위탁계약의 필수사항을 확인해야 합니다. 위탁업무 수행 목적 외 개인정보 처리 금지와 기술적·관리적 보호조치에 관한 사항은 기본적인 검토 대상입니다.

사고 이후 계약을 수정한다면 기존 보안 의무를 반복하는 것보다 실제 사고에서 확인된 취약점과 책임분담 문제를 반영하는 것이 중요합니다.

계약 수정 시에는 사고통지 기한을 위탁자와 수탁자 사이의 내부 보고기한으로 명확히 정해야 합니다. 법령상 정보주체 통지·감독기관 신고기한과 혼동되지 않도록 작성할 필요가 있습니다.

재위탁이 이루어지는 구조라면 재수탁자의 사고 발생 시 보고체계와 책임분담도 확인해야 합니다. 위탁자의 감독 의무를 계약으로 전부 배제할 수 있다고 전제해서는 안 됩니다.

사고 원인 조사와 자료보존 의무를 합의서에 반영해야 합니다

합의를 서두르다 보면 사고 원인이 충분히 확인되기 전에 책임 비율이나 손해액을 정하는 경우가 있습니다. 그러나 실제 유출 경로와 정보의 범위가 확정되지 않았다면 합의 이후 추가적인 문제가 드러날 수 있습니다.

따라서 사고 조사보고서, 접근기록, 시스템 로그, 계정관리 내역, 외부업체 작업기록, 사고 대응일지 등을 확보해야 합니다. 조사 과정에서 확인된 사실과 아직 확인되지 않은 추정사항도 구분해야 합니다.

합의서에는 필요한 조사자료의 보존기간과 제공 범위, 추가 사고가 확인된 경우의 통지방법, 공동 조사 및 외부 전문가 활용에 관한 사항을 정할 수 있습니다.

다만 개인정보를 불필요하게 장기간 보관하도록 약정해서는 안 됩니다. 법정 보존의무와 분쟁 대응에 필요한 증거보전, 개인정보 최소처리 원칙을 함께 검토해야 합니다.

재발방지 조항은 이행 여부를 확인할 수 있어야 합니다

재발방지 대책을 마련한다는 추상적인 문구만으로는 계약 이행 여부를 판단하기 어렵습니다. 개선해야 할 사항과 완료기한, 확인방법을 구체적으로 정하는 것이 좋습니다.

예를 들어 사고 원인이 과도한 접근권한에 있었다면 권한 재설계와 계정 회수, 접근기록 점검을 약정할 수 있습니다. 시스템 취약점이 원인이었다면 보안패치, 설정 변경, 외부 점검 및 결과보고 등을 검토할 수 있습니다.

개선조치가 완료되지 않았을 때 추가 조치를 요구할 수 있는지, 계약을 해지하거나 업무를 중단할 수 있는지도 정해야 합니다. 다만 업무중단이 정보주체의 권리나 서비스 이용에 미치는 영향도 함께 고려해야 합니다.

재발방지 조항은 실제 기술적·관리적 조치와 연결되어야 합니다. 형식적인 보안확인서만 제출받기보다 개선 결과를 객관적으로 확인할 수 있는 자료가 필요합니다.

구상권과 제3자 청구에 대한 책임분담을 검토해야 합니다

개인정보 유출사고에서는 정보주체가 위탁자에게 손해배상을 청구하고, 위탁자가 수탁자에게 그 부담의 일부 또는 전부를 청구하는 문제가 발생할 수 있습니다. 이때 대외적인 법률상 책임과 당사자 사이의 내부 부담관계를 구분해야 합니다.

계약에는 사고 원인과 귀책사유에 따른 비용분담, 제3자 청구가 제기된 경우의 통지, 소송 대응 협조, 합의금 지급 전 협의 절차 등을 정할 수 있습니다.

다만 계약에 수탁자가 모든 손해를 부담한다고 기재되어 있다는 이유만으로 법률상 책임이 언제나 그 문구대로 확정되는 것은 아닙니다. 위탁자의 관리·감독 의무, 수탁자의 실제 위반행위, 손해와의 인과관계 및 조항의 효력을 검토해야 합니다.

특히 일방이 상대방과 협의하지 않고 제3자에게 합의금을 지급한 경우 그 금액을 어느 범위까지 구상할 수 있는지 분쟁이 생길 수 있습니다. 합의 권한과 사전협의 의무를 구체적으로 정할 필요가 있습니다.

소송 전 합의 과정에서 피해야 할 행동

책임을 줄이기 위해 사고 관련 로그를 삭제하거나 조사보고서의 내용을 임의로 변경해서는 안 됩니다. 객관적인 자료를 훼손하면 사고 원인과 책임을 확인하기 어려워지고 새로운 법적 문제가 발생할 수 있습니다.

정보주체에게 법적 권리를 행사하지 않도록 압박하거나 법령상 신고를 하지 않는 조건으로 금전을 지급하는 방식도 신중하게 검토해야 합니다. 합의는 적법한 피해회복을 위한 수단이어야 합니다.

사고의 규모와 영향이 충분히 확인되지 않은 상태에서 모든 책임을 인정하거나 포괄적으로 면책하는 합의서에 서명하는 것도 주의해야 합니다. 상대방의 주장과 객관적인 조사결과를 비교한 뒤 합의 범위를 정해야 합니다.

사건을 검토할 때 확인해야 할 사항

유왕현 변호사는 개인정보 유출사고 분쟁을 검토할 때 먼저 사고 발생 시점과 확인 경위, 개인정보 처리구조 및 계약상 역할을 시간순으로 정리하는 관점에서 살펴봅니다. 실제로 확인된 사고 원인과 아직 조사 중인 내용을 구분하는 것이 중요합니다.

그다음 기존 계약의 보안 의무와 사고통지, 손해배상, 면책 및 재위탁 조항을 확인해야 합니다. 당사자에게 유리한 계약 문구뿐 아니라 법률상 책임이 별도로 발생할 가능성도 함께 검토해야 합니다.

합의서에서는 손해배상 범위와 추가 청구, 제3자 청구 및 구상권을 검토하고, 변경계약에서는 사고 대응체계와 재발방지 의무를 구체화할 필요가 있습니다. 소송을 피하는 것만을 목표로 하기보다 합의 이후에도 이행 가능한 조항을 마련하는 것이 중요합니다.

상담 전 준비사항과 자주 묻는 질문

상담 전에는 기존 개인정보 처리위탁 계약서, 사고 조사자료, 개인정보 처리방침, 정보주체 통지 및 감독기관 신고자료, 손해배상 요구서, 합의안과 계약 변경안을 준비하는 것이 좋습니다. 사고 발생일과 인지일, 통지·신고일, 피해회복 조치일을 구분하여 정리해야 합니다.

개인정보 유출사고는 소송 전에 합의로 해결할 수 있나요?

손해배상과 비용분담 등 당사자가 처분할 수 있는 민사상 분쟁은 합의를 검토할 수 있습니다. 다만 법령상 신고·통지 의무나 제3자의 권리까지 당연히 소멸하는 것은 아닙니다.

합의서에 추가 청구를 하지 않는다는 조항을 넣어도 되나요?

합의 당사자와 대상 사고, 손해항목 및 제외사항을 구체적으로 정해야 합니다. 포괄적인 면책조항의 효력은 법률상 제한과 개별 사정에 따라 달라질 수 있습니다.

비밀유지 조항으로 개인정보 유출 신고를 제한할 수 있나요?

당사자 사이의 비밀유지 약정으로 법령상 신고·통지 의무를 배제할 수는 없습니다. 법령 준수와 감독기관 조사 협조 등에 관한 예외를 명확하게 정할 필요가 있습니다.

수탁업체에서 사고가 발생했다면 위탁자는 책임이 없나요?

수탁업체의 행위와 별개로 위탁자의 관리·감독 의무가 문제될 수 있습니다. 실제 업무구조와 계약내용, 사고 원인 및 법령상 의무를 확인해야 합니다.

계약서에 손해배상 책임을 전부 수탁자에게 부담시키면 되나요?

내부적인 비용분담을 정할 수는 있지만 법령상 책임과 정보주체의 권리가 계약 문구만으로 모두 변경되는 것은 아닙니다. 조항의 효력과 귀책사유, 손해 범위를 검토해야 합니다.

합의 후 추가 유출 사실이 발견되면 어떻게 해야 하나요?

합의 대상 사고와 면책 범위, 추가 사고 통지조항을 확인해야 합니다. 새로운 법정 통지·신고 의무가 발생하는지도 별도로 검토해야 합니다.

참고 법령과 절차

법률 고지

이 글은 개인정보 유출사고 분쟁에서 소송 전 합의와 계약 수정 시 확인해야 할 일반적인 법률 기준과 절차를 설명하기 위한 정보입니다. 실제 적용 법률과 대응 방향은 구체적인 사실관계, 증거와 사건 진행 상황에 따라 달라질 수 있습니다.