개인정보 유출사고 내용증명·경고장 대응 시 주장 범위를 정하는 방법

핵심 요약

주요 쟁점: 개인정보 유출사고 관련 내용증명이나 경고장에 대응할 때에는 사고의 존재, 유출된 개인정보의 범위, 개인정보처리자의 의무 위반, 손해배상책임을 구분해야 합니다.

먼저 확인할 내용: 발신인이 누구인지, 어떤 권리를 근거로 무엇을 요구하는지, 사고가 실제로 확인되었는지, 법정 통지·신고 의무가 발생했는지 확인해야 합니다.

초기 대응: 접속기록과 사고 조사자료를 보존하고, 확인된 사실과 추가 조사가 필요한 사항을 나누어 회신 범위를 정해야 합니다.

주의사항: 조사되지 않은 사실까지 인정하거나 책임을 일괄 부인하는 답변은 피해야 합니다. 상대방에 대한 회신과 법률상 유출 통지·신고는 별도로 검토해야 합니다.

개인정보 유출사고가 발생했거나 그 가능성이 제기된 이후 피해자, 거래처 또는 대리인으로부터 내용증명이나 경고장을 받는 경우가 있습니다. 문서에는 유출 사실 인정, 사고 경위 공개, 재발방지 조치, 손해배상 또는 일정 기한 내 답변을 요구하는 내용이 포함될 수 있습니다.

이때 중요한 것은 상대방의 요구를 전부 수용하거나 부인하는 선택만 있는 것은 아니라는 점입니다. 실제 확인된 사실, 법률상 이행해야 할 의무, 책임 여부를 다투어야 할 사항을 구분하여 대응해야 합니다.

개인정보 유출사고 내용증명에서 먼저 확인할 사항

내용증명은 특정한 내용의 문서를 발송했다는 사실 등을 증명하는 우편제도입니다. 내용증명을 받았다는 이유만으로 발신인의 주장이 법적으로 확정되거나 기재된 손해배상금의 지급의무가 발생하는 것은 아닙니다.

먼저 발신인의 신원과 권한을 확인해야 합니다. 개인정보의 주체가 직접 보낸 문서인지, 적법한 대리인이 발송했는지, 계약관계에 있는 기업이 손해배상이나 면책을 요구하는 것인지에 따라 검토할 근거가 달라집니다.

다음으로 문서에 기재된 요구를 구분해야 합니다. 사고 사실 확인, 자료 보존, 개인정보 삭제, 손해배상, 재발방지 약속, 공식 사과 등은 각각 판단 기준이 다릅니다.

상대방이 정한 회신기한도 확인해야 합니다. 그 기한이 곧바로 법정기한이 되는 것은 아니지만, 별도로 진행 중인 소송이나 행정절차의 기한과 겹치는지 살펴야 합니다.

유출 사실과 개인정보처리자의 책임은 구분해야 합니다

개인정보 유출사고라는 표현이 사용되더라도 실제로 어떤 정보가 누구에게 노출되었는지는 별도로 확인해야 합니다. 외부 침입, 내부 직원의 무단 열람, 잘못된 이메일 발송, 접근권한 설정 오류 등 사고의 유형에 따라 확인할 내용이 달라집니다.

사고가 발생한 시스템과 계정, 접근 시점, 정보 항목, 영향을 받은 사람의 범위, 외부 반출 가능성을 조사해야 합니다. 단순한 이상징후와 실제 유출이 확인된 사실을 동일하게 표현해서는 안 됩니다.

또한 개인정보처리자가 직접 정보를 관리했는지, 수탁업체가 처리했는지, 제3자에게 적법하게 제공한 이후 문제가 발생했는지도 확인해야 합니다. 업무위탁이나 계약관계가 있다는 사실만으로 모든 책임이 한쪽에 귀속되는 것은 아닙니다.

상대방이 관리상 과실을 주장한다면 사고 당시 적용되던 안전조치 의무와 실제 운영 상태를 비교해야 합니다. 개인정보 보호법상 의무 위반 여부와 민사상 손해배상책임은 관련되지만 검토해야 할 요건이 완전히 같지는 않습니다.

회신서에서 인정할 사실과 다툴 주장을 나누는 방법

회신서를 작성할 때에는 사실관계와 법률적 평가를 분리하는 것이 중요합니다. 예를 들어 비정상적인 접속이 확인되었다는 사실을 인정하는 것과 모든 개인정보가 외부로 유출되었다고 인정하는 것은 다릅니다.

현재까지 확인된 사고 발생일, 관련 시스템, 조사 진행상황 등은 객관적인 자료에 맞춰 설명할 수 있습니다. 반면 유출 규모나 원인이 확정되지 않았다면 조사 중인 사항임을 명확히 하고 추가 확인 계획을 설명해야 합니다.

상대방이 주장하는 과실이나 손해배상책임에 대해서는 구체적인 근거를 요청하거나 현재 확보한 자료를 토대로 다툴 수 있습니다. 다만 확인된 법률상 의무 위반까지 근거 없이 부인하는 것은 적절하지 않습니다.

특히 회신서에 사고의 전적인 책임을 인정하거나 향후 발생하는 모든 손해를 배상하겠다는 표현을 넣는 경우에는 그 법적 효과를 검토해야 합니다. 반대로 어떠한 책임도 없다는 포괄적인 표현 역시 조사결과와 충돌할 수 있습니다.

개인정보 유출 통지·신고 의무는 별도로 확인해야 합니다

개인정보 보호법 제34조는 개인정보 유출등에 관한 정보주체 통지와 관계기관 신고, 피해 확산 방지조치를 규정합니다. 2026년 9월 11일 시행된 개정 규정에는 일정한 유출 가능성에 대한 통지와 피해자의 법적 권리 안내도 포함되어 있습니다.

시행령은 개인정보 유출등을 알게 된 경우 원칙적으로 72시간 이내에 정보주체에게 통지하도록 규정하며, 긴급한 피해확산 방지조치나 부득이한 사유 등에 관한 예외를 두고 있습니다. 구체적인 유출 항목이나 경위를 아직 확인하지 못한 경우에는 확인된 사항을 우선 통지하고 추가 확인사항을 안내하는 절차도 규정되어 있습니다.

관계기관에 대한 신고는 유출 정보의 유형, 경로와 규모 등에 따라 법령상 요건을 확인해야 합니다. 정보주체 통지와 관계기관 신고는 대상과 절차가 다르므로 하나의 조치로 모두 이행했다고 판단해서는 안 됩니다.

또한 2026년 개정 규정상 일정한 유출 가능성만 확인된 경우에도 별도의 통지의무가 문제될 수 있습니다. 실제 유출이 확정되지 않았다는 이유만으로 모든 법적 대응을 미루어서는 안 됩니다.

내용증명에 대한 회신을 준비하는 동안에도 법정 통지·신고기한은 별도로 진행될 수 있습니다. 상대방과의 협의가 끝날 때까지 법률상 의무의 이행을 유보하는 것은 위험할 수 있습니다.

손해배상 요구를 받았을 때 확인해야 할 법적 쟁점

개인정보 보호법 제39조는 법 위반으로 손해를 입은 정보주체의 손해배상청구를 규정합니다. 손해배상책임을 검토할 때에는 어떤 법률상 의무를 위반했는지, 손해가 발생했는지, 위반행위와 손해 사이에 관련성이 있는지 확인해야 합니다.

같은 법 제39조의2는 개인정보처리자의 고의 또는 과실로 개인정보가 유출등이 된 경우 일정한 범위에서 법정손해배상을 청구할 수 있도록 규정합니다. 따라서 상대방이 구체적인 재산상 손해를 제시하지 않았다는 이유만으로 모든 배상청구가 성립하지 않는다고 단정해서는 안 됩니다.

반대로 법정손해배상제도가 있다는 사실만으로 상대방이 요구하는 금액 전부가 인정되는 것은 아닙니다. 적용요건과 사고의 경위, 관련 증거, 법원이 고려할 사정을 검토해야 합니다.

거래처가 계약상 손해배상을 청구하는 경우에는 개인정보 보호법 외에도 비밀유지조항, 보안의무, 사고통지 조항, 책임제한 조항 등을 확인해야 합니다. 정보주체의 법정 청구권과 기업 간 계약상 청구권은 구분해야 합니다.

접속기록과 사고 조사자료를 보존하는 방법

사고의 발생과 책임 범위를 검토하려면 관련 기록의 신뢰성을 확보해야 합니다. 접속기록, 관리자 계정 변경내역, 권한설정 기록, 보안장비 로그, 사고 대응내역 등을 시간순으로 정리하는 것이 좋습니다.

사고가 발생한 시스템을 복구하거나 접근을 차단하는 조치는 필요할 수 있지만, 그 과정에서 원인분석에 필요한 자료가 사라지지 않도록 주의해야 합니다. 필요한 범위에서 원본이나 검증 가능한 사본을 보존하고 수집 경위를 기록해야 합니다.

외부 보안업체나 수탁업체가 조사에 참여했다면 조사 범위, 확인한 자료, 판단의 한계와 보고서 작성일을 확인해야 합니다. 조사보고서의 추정과 객관적으로 확인된 사실을 구분해야 합니다.

개인정보가 포함된 자료를 상대방에게 제출할 때에는 다른 정보주체의 개인정보나 보안상 민감한 정보가 불필요하게 공개되지 않도록 검토해야 합니다. 자료 제출의 필요성과 제공 범위를 함께 판단해야 합니다.

내용증명 회신과 이후 분쟁절차에서 주의할 사항

회신서에는 상대방 문서의 수령 사실, 확인된 사실관계, 현재 진행 중인 조치, 다투는 주장과 추가 확인이 필요한 사항을 구분하여 기재할 수 있습니다. 사실관계가 확정되지 않은 부분은 그 이유와 확인 절차를 설명하는 방식이 적절할 수 있습니다.

상대방이 자료 보존을 요청했다면 관련 자료의 보존 필요성과 법적 의무를 검토해야 합니다. 다만 자료 보존 요청에 응한다는 이유로 모든 자료를 상대방에게 즉시 제공해야 하는 것은 아닙니다.

협의 과정에서 손해배상금이나 재발방지 조치를 제안할 경우에는 그 내용이 법적 책임의 인정으로 해석될 가능성을 검토해야 합니다. 지급 범위와 합의의 효력, 향후 추가 청구와의 관계도 명확히 해야 합니다.

분쟁이 해결되지 않으면 개인정보 분쟁조정, 손해배상소송 또는 개인정보 보호위원회의 조사 등으로 이어질 수 있습니다. 절차별 제출자료와 기한을 확인하고 이전 회신내용과 이후 진술이 모순되지 않도록 정리해야 합니다.

상대방의 요구가 과도하다고 판단되더라도 감정적인 표현이나 법적 조치를 빌미로 한 압박은 피하는 것이 좋습니다. 확인된 사실과 적용 법률을 중심으로 대응해야 합니다.

사건을 검토할 때 확인해야 할 사항

유왕현 변호사는 개인정보 유출사고 관련 내용증명이나 경고장에 대응할 때 상대방이 주장하는 사실과 실제 조사자료로 확인되는 사실을 먼저 구분하는 것이 중요하다고 봅니다.

다음으로 개인정보처리자의 지위와 사고 당시의 안전조치, 위탁관계, 유출 통지·신고의무를 검토해야 합니다. 사고 발생 사실이 확인되었다고 해서 모든 법적 책임이 곧바로 확정되는 것은 아니지만, 법률상 요구되는 조치는 별도로 이행해야 합니다.

손해배상 요구가 있다면 법 위반과 손해, 인과관계, 법정손해배상 적용 여부를 구분하고 계약상 청구가 함께 제기되었는지도 확인해야 합니다. 상대방이 제기할 수 있는 불리한 주장과 자료를 함께 검토할 필요가 있습니다.

회신서의 목적은 책임을 성급하게 인정하거나 부인하는 데 있지 않습니다. 현재 확인 가능한 사실과 법률상 입장을 정확하게 정리하고 추가 분쟁에서 문제가 될 표현을 줄이는 것이 중요합니다.

상담 전 준비사항과 자주 묻는 질문

상담 전에는 내용증명·경고장 원본과 수령일, 개인정보 처리방침, 관련 계약서, 사고 조사보고서, 접속기록, 정보주체 통지 및 관계기관 신고자료, 상대방과 주고받은 이메일을 준비하는 것이 좋습니다. 아직 확인되지 않은 사항은 추정하여 작성하기보다 별도로 표시해야 합니다.

개인정보 유출 관련 내용증명을 받으면 요구한 손해배상금을 지급해야 하나요?

내용증명을 받았다는 이유만으로 지급의무가 확정되는 것은 아닙니다. 청구의 법적 근거와 사고 사실, 책임요건 및 요구금액을 구분하여 검토해야 합니다.

실제 유출 여부가 확인되지 않았어도 회신해야 하나요?

문서의 내용과 기한, 진행 중인 절차를 확인해야 합니다. 확인된 사실과 조사 중인 사항을 구분하여 회신할 수 있으며, 법률상 유출 가능성 통지의무가 발생하는지도 별도로 검토해야 합니다.

유출사고가 외부 해킹으로 발생했다면 회사에 책임이 없나요?

외부 해킹이 있었다는 사실만으로 책임이 면제되는 것은 아닙니다. 사고 당시 요구되는 안전조치와 실제 이행상태, 사고 원인 및 손해배상책임의 요건을 확인해야 합니다.

손해가 구체적으로 입증되지 않았다는 이유로 배상을 거절할 수 있나요?

일반 손해배상과 법정손해배상은 요건이 다릅니다. 개인정보 보호법 제39조의2에 따른 청구가 가능한지 검토해야 하므로 손해액 증빙이 부족하다는 사정만으로 모든 청구를 배척할 수는 없습니다.

내용증명에 답변하면 개인정보 유출 신고의무도 이행한 것인가요?

아닙니다. 상대방에 대한 회신과 개인정보 보호법상 정보주체 통지 및 관계기관 신고는 별개의 문제입니다. 각각의 대상, 내용과 기한을 확인해야 합니다.

경고장에 책임을 인정하지 않는다고 적으면 이후 분쟁에서 유리한가요?

책임을 부인하는 표현 자체보다 그 근거가 중요합니다. 확인된 사실까지 부인하거나 조사자료와 모순되는 내용을 기재하면 오히려 신빙성에 문제가 생길 수 있습니다.

참고 법령과 절차

법률 고지

이 글은 개인정보 유출사고 관련 내용증명과 경고장에 대응할 때의 일반적인 법률 기준과 절차를 설명하기 위한 정보입니다. 실제 적용 법률과 대응 방향은 사고 발생 시점, 유출 범위, 처리자의 지위, 증거와 사건 진행 상황에 따라 달라질 수 있습니다.