한 이커머스 업체의 개인정보 유출 사건에서, 소비자분쟁조정위원회가 피해자 50명에게 1인당 10만원씩 배상하라는 결정을 내렸다는 소식이 전해졌습니다. 유출된 정보에는 이름·이메일·주소뿐 아니라 공동현관 비밀번호와 주문 내역까지 포함됐고, 실제 해커가 이 정보로 이용자에게 이메일을 보내는 등 악용 정황까지 확인됐습니다. 파악된 전체 피해 규모는 약 3756만명에 달합니다.
이 소식을 접하면 "그래서 배상금만 받으면 끝나는 건가"라는 질문이 자연스럽게 따라옵니다. 이 글은 특정 기업의 책임 유무를 판단하지 않습니다. 대신 개인정보 유출 사건에서 민사 배상과 형사처벌이 어떻게 별개로 문제 되는지, 해킹한 사람과 정보를 관리하던 기업이 각각 어떤 형사책임을 질 수 있는지를 정리합니다.
핵심 정리
소비자분쟁조정위의 배상 결정은 민사적 화해 성격입니다. 형사처벌과는 완전히 다른 절차입니다
정당한 권한 없이 시스템에 침입해 정보를 빼낸 사람은 정보통신망법 위반(정보통신망 침입)으로 5년 이하 징역 또는 5천만원 이하 벌금(제71조 제1항 제9호·제48조 제1항)
정보를 관리하던 기업이 안전조치의무를 다하지 않아 유출이 발생했다면, 그 자체로 2년 이하 징역 또는 2천만원 이하 벌금의 별도 형사책임이 문제 될 수 있습니다(개인정보보호법 제73조)
민사상으로는 고의·중과실이 있으면 손해액의 최대 3배까지 징벌적 손해배상이 가능하고, 손해액 입증이 어려운 피해자는 법정손해배상(300만원 이하)을 청구할 수도 있습니다
이번 조정 결정은 화해와 같은 효력이 있지만, 이는 민사적 배상 문제일 뿐 별도의 형사수사·처벌 여부와는 무관합니다
법무법인 대한중앙 한병철 변호사는 대한변호사협회 인증 형사전문·부동산전문변호사로, 부산 해운대를 거점으로 형사 사건을 처리해왔습니다.
1. 민사 배상과 형사처벌, 왜 완전히 다른 문제인가
소비자분쟁조정위원회의 결정은 피해자의 정신적 손해(위자료)를 금전으로 보상하는 민사적 절차입니다. 양측이 이를 수락하면 재판상 화해와 같은 효력이 생겨 별도 소송 없이 배상이 확정됩니다. 그러나 이는 "돈을 물어주고 끝내는 절차"일 뿐, 유출을 일으킨 해커나 관리 책임이 있는 기업의 형사책임 여부를 판단하는 절차가 아닙니다. 형사처벌은 검찰의 수사와 기소, 법원의 재판을 거쳐 별도로 진행됩니다.
2. 해킹한 사람의 형사책임
행위 | 처벌 | 근거 |
|---|---|---|
정당한 권한 없이 정보통신망에 침입 | 5년 이하 징역 또는 5천만원 이하 벌금 (미수범도 처벌) | 정보통신망법 제71조 제1항 제9호·제48조 제1항 |
타인의 비밀을 침해·도용·누설 | 5년 이하 징역 또는 5천만원 이하 벌금 | 정보통신망법 제71조 제1항 제11호·제49조 |
정보통신망법상 '침입'의 범위는 생각보다 넓게 인정됩니다. 아이디·비밀번호를 직접 입력해 접속하는 경우뿐 아니라, 대법원은 서비스 제공자가 부여한 접근권한을 넘어선 접속이면 방법을 불문하고 침입으로 판단해 왔습니다. 유출된 정보로 실제 이메일을 발송하는 등 악용까지 나아갔다면, 이는 형량을 정하는 데 불리한 사정으로 고려될 수 있습니다.
3. 정보를 관리하던 기업의 형사책임
많은 사람이 "해커가 나쁜 것이지 회사가 무슨 죄가 있나"라고 생각하지만, 개인정보를 관리하는 쪽에도 별도의 형사책임이 있을 수 있습니다. 개인정보보호법은 개인정보처리자가 안전성 확보에 필요한 기술적·관리적 조치(안전조치의무)를 다하지 않아 개인정보가 분실·도난·유출·위조·변조·훼손된 경우, 2년 이하 징역 또는 2천만원 이하 벌금에 처하도록 규정합니다(제73조).
다만 이 조항이 실제로 적용되려면 안전조치의무 위반과 유출 사이의 인과관계가 구체적으로 규명돼야 합니다. 어떤 보안 조치가 미비했는지, 그 미비함이 실제 침입·유출로 이어졌는지가 수사·재판에서 핵심 쟁점이 됩니다. 기업이 "회수 조치를 했다"거나 "추가 피해 가능성이 낮다"고 주장하는 것은 민사상 손해 규모를 다투는 사정일 뿐, 애초에 안전조치의무를 다했는지와는 별개의 문제입니다.
4. 배상금 산정, "10만원"은 어떻게 나온 숫자인가
이번 조정에서 배상액이 1인당 10만원으로 정해진 것은, 유출된 정보의 민감성(이름·이메일·주소를 넘어 공동현관 비밀번호·주문 내역 등 사생활과 밀접한 정보)과 실제 악용 가능성이 확인된 점(장기간 유출, 이메일 발송 등)을 근거로 삼은 것으로 알려졌습니다. 개인정보 유출 사건에서 위자료 액수는 유출 정보의 종류, 유출 기간, 실제 악용 여부, 2차 피해 발생 여부 등에 따라 사건마다 다르게 산정됩니다.
여기에 더해, 개인정보보호법은 고의 또는 중대한 과실로 개인정보를 유출한 경우 손해액의 최대 3배까지 징벌적 손해배상을 인정하고 있고, 손해액을 구체적으로 입증하기 어려운 피해자를 위해 법정손해배상(300만원 이하)을 별도로 청구할 수 있는 제도도 두고 있습니다. 이는 이번 조정과는 별개로, 소송을 통해 추가로 다퉈볼 수 있는 영역입니다.
※ 이 글은 보도된 내용을 소재로 개인정보 유출 사건의 일반적인 법적 구조를 설명한 것이며, 특정 기업이나 사건에 대한 형사·민사 책임 유무를 단정하지 않습니다. 실제 책임 여부는 수사·재판 과정에서 구체적 사실관계에 따라 판단됩니다.
5. 13년간 형사 사건을 다루며 본 갈림길
개인정보·정보통신망 관련 사건에서 반복해서 보는 지점을 정리합니다. 개별 사건이 특정되지 않도록 사실관계를 바꿔 일반화했습니다.
첫째, 회수 조치나 배상만으로 형사책임까지 끝났다고 오해하는 경우입니다. 민사적 화해와 형사수사는 별개 절차이므로, 배상에 합의했다고 해서 수사기관의 판단이 달라지는 것은 아닙니다.
둘째, 피해자 입장에서 조정 결정에만 만족하고 추가로 다툴 수 있는 부분을 놓치는 경우입니다. 고의·중과실이 인정되면 징벌적 손해배상이나 법정손해배상을 통해 더 다퉈볼 여지가 있는데, 이를 검토하지 않고 조정안만 수락하는 경우가 있습니다.
※ 위 내용은 개별 사건의 결과를 보장하지 않습니다. 형사책임 성립 여부와 배상 범위는 구체적 증거와 사실관계에 따라 달라질 수 있습니다.
6. 부산에서 정보통신망법·개인정보보호법 관련 사건 변호사를 선임할 때 확인할 점
해킹 피해, 개인정보 유출 관련 형사 사건(고소인·피고소인 모두)에서 변호사를 선임하며 확인할 점은 ① 대한변호사협회 인증 전문분야 여부 ② 정보통신망법·개인정보보호법 등 특별법 실무 경험 ③ 형사책임과 민사 배상 청구를 함께 검토하는지입니다.
법무법인 대한중앙 한병철 변호사는 대한변호사협회 인증 형사전문·부동산전문변호사로, 부산 해운대를 거점으로 13년간 형사 사건을 다뤄왔습니다. 부산·울산·창원·김해·양산·대구·포항·제주 사건을 중심으로 처리하며, 서울·경기·인천·대전 지역 의뢰도 사건 전담 변호사가 처음부터 끝까지 직접 처리합니다.
형사 사건 상담 안내
법무법인 대한중앙 해운대 사무소
부산 해운대구 해운대로 554 라온제이빌딩 7층
대표전화 1533-7377
카카오톡 상담 · www.daehanlaw.com
자주 묻는 질문
Q. 배상금을 받으면 형사처벌 문제는 끝나는 건가요?
A. 아닙니다. 소비자분쟁조정위 등의 배상 결정은 민사적 화해 성격이며, 해커나 관리 책임이 있는 기업의 형사책임은 별도의 수사·재판 절차로 진행됩니다.
Q. 해킹한 사람은 어떤 처벌을 받나요?
A. 정당한 권한 없이 정보통신망에 침입한 경우 정보통신망법 제71조 제1항 제9호·제48조 제1항에 따라 5년 이하 징역 또는 5천만원 이하 벌금에 처해질 수 있고, 타인의 비밀을 누설한 경우도 같은 수준의 처벌이 가능합니다.
Q. 정보를 관리하던 회사도 처벌받을 수 있나요?
A. 안전조치의무를 다하지 않아 개인정보가 유출된 경우, 개인정보보호법 제73조에 따라 2년 이하 징역 또는 2천만원 이하 벌금의 형사책임이 문제 될 수 있습니다. 다만 안전조치의무 위반과 유출 사이의 인과관계가 구체적으로 규명돼야 합니다.
Q. 배상액에 만족하지 못하면 추가로 다툴 수 있나요?
A. 고의 또는 중대한 과실로 개인정보가 유출된 경우 손해액의 최대 3배까지 징벌적 손해배상을 청구할 수 있고, 손해 입증이 어려운 경우 법정손해배상(300만원 이하)을 청구하는 방법도 있습니다.
Q. 부산에서 정보통신망법·개인정보보호법 관련 사건 변호사를 찾을 때 무엇을 확인해야 하나요?
A. 대한변호사협회 전문분야 인증 여부, 정보통신망법·개인정보보호법 등 특별법 실무 경험, 형사책임과 민사 배상 청구를 함께 검토하는지를 확인하는 것이 좋습니다. 대한변호사협회 '나의변호사'(www.klaw.or.kr)에서 지역별·분야별 전문분야 등록 여부를 직접 확인할 수 있습니다. 법무법인 대한중앙 해운대 사무소는 대한변호사협회 인증 형사전문변호사가 상담을 진행하고 있습니다.
본 글은 보도된 개인정보 유출 사건을 소재로 관련 법령의 일반적인 형사·민사 책임 구조를 설명하기 위한 것으로, 특정 기업이나 개인의 법적 책임 유무를 단정하거나 평가하지 않습니다. 형사처벌 여부와 배상 범위는 증거와 사실관계에 따라 달라지므로 변호사와 상담하시기 바랍니다. 본 글은 작성일(2026년 7월 31일) 기준 보도 내용과 법령을 반영했으며 이후 변경될 수 있습니다.
관련 정보
· 법령 원문: 정보통신망 이용촉진 및 정보보호 등에 관한 법률 (제48조·제49조·제71조) · 개인정보 보호법 (제39조·제39조의2·제73조)
· 전문분야 확인: 대한변호사협회 나의변호사
· 사무소 채널: 홈페이지 · 네이버 플레이스 · 네이버 블로그 · 유튜브
형사 분야 전문변호사와 직접 상담하세요
궁금한 점이 있으시면 언제든지 연락 주세요. 전문변호사가 직접 상담해 드립니다.