변호사 톰 미비스 작성 Law & More
랜섬웨어, 피싱, DDoS 공격, 컴퓨터 침입과 같은 사이버 공격은 공격 대상 조직에만 영향을 미치는 경우는 드뭅니다. 사이버 공격의 피해자에는 고객, 직원, 환자, 공급업체 및 기타 공급망 파트너도 포함되며, 이들은 손실을 입을 수 있고, 각 그룹별로 법적 지위가 다릅니다. 따라서 공격 후 어떤 의무가 적용되고 어떤 청구권이 존재하는지 파악하려는 경우, 먼저 정확히 누가 피해를 입었는지, 그리고 어떤 손해가 발생했는지를 확인하는 것이 중요합니다.
이 글에서는 데이터 유출 피해자의 자격 요건, 데이터 유출 신고 의무, 보상 청구권 발생 조건, 책임 당사자, 형법의 역할, 사이버 보험 보장 범위, 그리고 공격 직후 취해야 할 조치 등을 차례로 다룹니다.
사이버 공격의 피해자는 누구인가요?
사이버 공격은 크게 세 가지 유형으로 구분할 수 있습니다.
- 영향을 받는 조직 자체는 시스템 다운, 매출 손실, 복구 비용, 포렌식 조사 비용 및 평판 손상에 직면하게 됩니다.
- 개인정보가 유출된 개인(고객, 직원, 환자 등)은 금전적 손실뿐만 아니라 데이터 통제력 상실, 불확실성, 신분 도용에 대한 두려움 등으로 인한 비금전적 손해를 입을 수 있습니다.
- 계약 관계나 공급망 관계를 통해 영향을 받는 제3자, 예를 들어 시스템 장애가 발생한 공급업체에 의존하는 경우.
이 분류는 법적으로 중요한 의미를 갖습니다. 소송의 근거와 소송 대상은 피해자의 입장에 따라 달라집니다. 피해를 입은 조직은 일반적으로 계약에 따라 IT 공급업체에 책임을 묻는 반면, 정보 주체는 GDPR에서 규정하는 독립적인 책임 근거에 직접 의존할 수 있습니다.
데이터 유출은 언제 알려야 합니까?
사이버 공격에 개인 데이터가 연루된 경우, 개인 데이터 유출 여부와 신고 의무 여부를 평가해야 합니다. GDPR 제33조는 유출 발생 시 지체 없이, 가능한 경우 72시간 이내에 감독 기관에 신고할 것을 규정하고 있습니다. 단, 유출로 인해 개인의 권리와 자유에 대한 위험이 발생할 가능성이 낮은 경우는 예외입니다.
또한, GDPR 제34조는 조직이 정보 주체에게 직접 알릴 의무를 부과할 수 있습니다. 이러한 의무는 정보 유출이 정보 주체의 권리와 자유에 중대한 위험을 초래할 가능성이 있는 경우에 발생합니다. 암호화와 같은 적절한 기술적 조치가 마련되어 있거나, 후속 조치를 통해 중대한 위험이 더 이상 발생하지 않도록 보장하는 경우, 또는 개별적인 알선이 과도한 노력을 수반하는 경우에는 알선이 생략될 수 있으며, 후자의 경우에는 공개적인 알선으로 충분합니다.
정보 주체에게 있어 그러한 정보 공유는 단순한 형식적인 절차 이상의 의미를 지닙니다. 이를 통해 정보 주체는 비밀번호를 변경하거나 의심스러운 거래를 감시하는 등 스스로 필요한 조치를 취할 수 있으며, 실제로 이는 손해 배상 청구의 출발점이 되는 경우가 많습니다.
따라서 조직은 공격이 발생했는지 여부뿐만 아니라 어떤 데이터가 영향을 받았는지, 실제로 데이터가 유출되었는지, 그리고 그로 인해 어떤 위험이 발생하는지까지 파악해야 합니다. 이를 위해서는 독립적인 포렌식 조사가 필수적인 경우가 많습니다.
이는 공격이 조직 자체가 아닌 데이터 처리자를 대상으로 발생할 경우 더욱 중요하게 적용됩니다. 블라우 리서치(Blauw Research)와 네부(Nebu) 간의 약식 소송(로테르담 지방법원, 2023년 4월 6일, ECLI:NL:RBROT:2023:2931)에서 임시 구제 판사는 당사자 간에 체결된 데이터 처리 계약에 따라 데이터 관리자가 공격, 그 결과 및 취해진 조치에 대해 최초에 제공된 정보보다 더 많은 정보를 받을 권리가 있다고 판결했습니다. 또한 데이터 처리자는 독립적인 포렌식 조사를 수행하고 정기적으로 보고해야 합니다. 이 판결은 잘 작성된 데이터 처리 계약이 실제로 사건 발생 후 적시에 정보를 얻는 데 가장 중요한 도구임을 보여줍니다. 데이터 관리자가 통지 의무를 이행하기 위해 해당 정보가 필요하기 때문입니다.
보상받을 권리는 언제 발생하는가?
정보 주체는 GDPR 제82조에 따라 데이터 관리자 또는 데이터 처리자에게 보상을 청구할 수 있습니다. 그러나 사이버 공격이 발생했다고 해서 자동으로 보상 청구권이 발생하는 것은 아닙니다. 보상 청구권은 입증되어야 합니다.
- GDPR이 위반되었다는 것;
- 실제로 피해가 발생했다는 것입니다.
- 해당 침해 행위와 그 손해 사이에 인과 관계가 있다는 것입니다.
물적 손해는 금전적 손실, 복구 비용 또는 신분 도용으로 인한 손실을 포함할 수 있습니다. 비물적 손해와 관련하여 유럽사법재판소는 Österreichische Post 사건(CJEU 2023년 5월 4일, C-300/21)에서 손해의 심각성에 대한 최소 기준은 없지만, GDPR 위반만으로는 손해 배상이 충분하지 않다고 판시했습니다.
사이버 공격으로 인한 데이터 유출과 관련하여 특히 중요한 판례는 Natsionalna agentsia za prihodite(유럽사법재판소, 2023년 12월 14일, C-340/21) 사건입니다. 이 사건에서 법원은 유출된 개인정보가 향후 오용될 가능성에 대한 두려움 자체가 비물질적 손해에 해당할 수 있다고 판시했습니다. 다만, 정보 주체는 그러한 두려움과 그 결과를 구체적으로 입증해야 하며, 단순히 데이터 유출 사실을 지적하는 것만으로는 충분하지 않습니다. 같은 판결에서 법원은 데이터 관리자가 취한 보안 조치가 적절했음을 입증해야 하며, 제3자의 공격 자체가 데이터 관리자의 책임을 면제하는 것은 아니라고 확인했습니다.
GDPR에 따른 책임은 계약 위반 및 불법 행위에 대한 민법상의 근거와 함께 존재합니다. 네덜란드 민법 제6조 162항(1)에 따라, 귀속 가능한 불법 행위를 저지른 당사자는 발생한 손해를 배상해야 합니다. 제6조 163항의 상대성 요건이 적용됩니다. 즉, 위반된 규범은 피해 당사자가 입은 손해의 종류로부터 보호하기 위한 것이어야 합니다.
중요한 점은 GDPR 제82조가 이러한 근거들과 함께 존재한다는 것입니다. 따라서 정보 주체는 계약 위반이나 불법 행위만을 근거로 소송을 제기할 의무가 없으며, GDPR에서 제공하는 독립적인 책임 근거에 직접 의존할 수 있습니다. 피해를 입은 조직의 경우, 이러한 근거들의 조합은 공격 이후 여러 당사자가 동시에 소송을 제기할 수 있음을 의미합니다.
누가 책임을 져야 할까요?
해당 조직은 계약상 의무를 이행하지 않거나 불충분한 보안 조치를 취한 경우 책임을 질 수 있습니다. IT 서비스 제공업체 또는 데이터 처리업체 또한 책임을 질 수 있습니다. 해당 서비스 제공업체에게 기대할 수 있는 사항은 무엇보다도 계약에 의해 결정됩니다.
데이터 처리 관계에서 데이터 처리 계약은 핵심적인 역할을 합니다. GDPR 제28조는 데이터 관리자와 데이터 처리자가 보안 조치 및 데이터 침해 처리 방식 등을 규정하는 이러한 계약을 체결하도록 요구합니다. 데이터 처리자의 부실한 보안으로 인해 공격이 발생한 경우, 데이터 관리자는 해당 계약에 따라 데이터 처리자에게 그로 인한 손실에 대한 책임을 물을 수 있습니다.
이는 호프 판 트벤테(Hof van Twente) 지자체에 대한 사이버 공격 사건(오버리셀 지방법원, 2023년 5월 10일, ECLI:NL:RBOVE:2023:1731)에서 극명하게 드러납니다. 당사자들은 보안 모니터링이 아닌 기능 모니터링에 대해 합의했습니다. 법원은 IT 관리자의 주의 의무가 보안 모니터링이 기능 모니터링 업무의 묵시적 부분으로 간주될 정도로 확대되지 않는다고 판단하고 지자체의 주장을 기각했습니다. 또한 법원은 지자체가 비밀번호 정책 및 RDP 포트 개방과 같은 위험을 증가시키는 결정을 스스로 내렸다는 점도 고려했습니다.
그와 정반대되는 사건이 오클리언스 사건(지방 법원)입니다. Amsterdam(2018년 11월 14일, ECLI:NL:RBAMS:2018:10124). 해당 사건에서 공급업체는 완전한 IT 인프라를 설치하고 관리까지 맡았습니다. 백업 파일까지 암호화된 랜섬웨어 공격 이후, 법원은 이러한 종합 패키지 제공에는 광범위한 주의 의무가 수반되며, 기본적인 조치가 누락되었다고 판결했습니다. 그러나 고객의 과실로 인해 손해액의 3분의 2는 공급업체가 부담해야 했습니다.
적절한 보안에 대한 입증 책임이 얼마나 무거운지는 자동차 판매점의 이메일 계정 해킹 사건을 통해 알 수 있습니다. 2024년 11월 5일 중간 판결(아른헴-레이우바르덴 항소법원, ECLI:NL:GHARL:2024:6812)에서 판매점은 해커가 구매자에게 허위 결제 지시를 보낸 후, GDPR에서 정의하는 바에 따라 이메일 계정이 적절하게 보안되었음을 입증할 기회를 부여받았습니다. 2025년 7월 22일 후속 판결(ECLI:NL:GHARL:2025:4556)에서 법원은 해당 입증이 이루어지지 않았다고 판단했으며, 이후 당사자들은 구매자의 과실 여부를 판단해야 했습니다. 따라서 두 판결은 동일한 소송 절차에 관한 것입니다.
공통적인 요소는 계약상의 약정, 처리 과정의 위험성, 실제로 취해진 조치, 양측이 제시한 경고, 그리고 피해 당사자 자신의 행위 모두가 중요하다는 점입니다. 민사 책임과 더불어, 네덜란드 데이터 보호 기관 행정 벌금은 최대 20천만 유로 또는 전 세계 연간 매출액의 4% 중 더 높은 금액으로 부과될 수 있습니다. 이러한 벌금은 개별 데이터 주체가 피해를 입었는지 여부와 관계없이 부과됩니다.
형법 경로
사이버 공격은 컴퓨터 침입, 데이터 접근 불가 또는 비공개 데이터 탈취와 같은 범죄 행위를 구성할 수도 있습니다. 네덜란드 형법 제138ab(1)조는 자동화 시스템에 고의적이고 불법적으로 접근하는 것을 범죄로 규정하고 있습니다.
피해자는 사이버 범죄 전담팀을 운영하는 경찰에 범죄 사실을 신고할 수 있습니다. 용의자가 기소될 경우, 피해자는 피해자로서 형사 소송에 참여하여 보상을 청구할 수 있습니다. 이 방법을 통해 별도의 민사 소송을 피할 수 있지만, 결과는 범죄 적발, 기소 및 증거 확보 여부에 따라 달라지며, 국제적으로 활동하는 범죄자의 경우 증거 확보가 어려운 경우가 많습니다. 또한, 기업의 경우 보험사 및 공급망 파트너가 신고를 요구하는 경우가 많아 신고가 실질적인 필요성이 될 수 있습니다.
사이버 보험은 무엇을 보장합니까?
사이버 보험은 다음과 같은 사항을 보장할 수 있습니다.
- 사고 대응 및 법의학적 조사;
- 시스템 및 데이터 복구;
- 영업 중단 손실 및 매출 손실;
- 위기 커뮤니케이션;
- 제3자에 대한 책임;
- 법률 비용; 및
- 경우에 따라 벌금, 합의금 또는 몸값이 관련 법률에 따라 보험에 가입 가능한 범위 내에서 지급될 수 있습니다.
정확한 보상 범위는 보험 계약에 따라 다릅니다. 제외 사항, 보증 조건, 통지 기간, 자기 부담금 및 전문가 고용 요건에 주의하십시오. 네덜란드 민법 제7조 957항(1)은 피보험자가 손실을 예방하거나 제한하기 위해 합리적인 조치를 취할 의무를 규정하고 있습니다. 이러한 구제 의무가 준수되지 않을 경우 보험사는 보상금을 감액할 수 있습니다.
따라서 사이버 보험사에 최대한 빨리 알려야 합니다. 보험사의 동의 없이 외부 전문가를 고용하거나 몸값을 지불하면 보험 적용에 영향을 미칠 수 있습니다.
사이버 공격 직후에 무엇을 해야 할까요?
- 사건 발생 경위와 관련된 모든 조치를 주의 깊게 기록하십시오.
- 증거를 훼손하지 않고 영향을 받는 시스템을 격리하십시오.
- 법의학 전문가를 고용하십시오.
- 개인정보 유출 신고 대상인지 여부를 평가합니다.
- 데이터 주체에게 정보를 제공해야 하는지 여부를 평가하십시오.
- 해당 범죄를 경찰에 신고하십시오.
- 사이버 보험사에 해당 사건을 신고하십시오.
- 로그, 백업, 이메일 및 기타 관련 데이터를 보존하십시오.
- 피해 규모와 잠재적 책임 당사자를 파악하십시오.
- 고객, 직원 및 공급망 파트너에게 신중하고 시의적절하게 정보를 제공하십시오.
따라서 사이버 공격은 단순한 기술적 사고에 그치지 않습니다. 이는 데이터 보호, 민법, 형법 및 보험법과 관련된 문제이기도 합니다. 신속하고 철저한 문서화를 통한 대응은 피해를 최소화할 뿐만 아니라, 신고, 보험 적용 범위 확보, 그리고 소송 절차에서의 증거 확보에 결정적인 역할을 합니다.
끝으로
사이버 공격 이후의 권리와 의무는 여러 법률 분야에 걸쳐 있으며, 사건의 결과는 구체적인 사실관계, 계약 내용, 기록의 질에 크게 좌우됩니다. 논의된 판례는 공급자와 고객 모두 자신의 행위에 따라 판단되며, 72시간 통지 기간과 같은 기한은 지연의 여지를 거의 남기지 않는다는 것을 보여줍니다.
Law & More 사이버 사고 발생 시 기업 및 정보 주체의 법적 대응을 지원합니다. 신고 의무 평가, 데이터 처리 계약 검토부터 책임 소재 규명, 보험 문제, 손실 복구에 이르기까지 다양한 서비스를 제공합니다. 사이버 공격이나 데이터 유출 사고를 겪고 계시거나, 이러한 위험에 대비하여 계약을 사전에 검토받고 싶으신 경우, 저희에게 문의하십시오. IT 법 팀인가요? 편하게 말씀해주세요. CONTACT Law & More 부담 없이 상황에 대해 상담해 보세요.
자주하는 질문
아래에서는 이 주제에 대해 가장 자주 받는 질문에 답변해 드리겠습니다.
사이버 공격의 피해자는 누구인가요?
피해는 세 단계로 나눌 수 있습니다. 첫째, 시스템 다운으로 인한 매출 손실, 복구 비용, 포렌식 조사 비용, 평판 손상 등을 부담하는 피해 조직 자체입니다. 둘째, 개인정보가 유출된 개인, 즉 고객, 직원, 환자 등이 피해자입니다. 셋째, 계약 관계나 공급망 관계를 통해 손실을 입은 제3자, 예를 들어 시스템 장애를 겪은 공급업체에 의존하는 경우입니다. 이러한 분류는 당사자가 어떤 근거로 누구를 상대로 소송을 제기할 수 있는지를 결정합니다.
데이터 유출 발생 시 어느 기간 내에 신고해야 합니까?
GDPR 제33조는 개인정보 유출 사실을 인지한 후 지체 없이, 가능한 경우 72시간 이내에 감독기관에 통보할 것을 요구합니다. 다만, 해당 유출이 개인의 권리와 자유에 대한 위험을 초래할 가능성이 낮은 경우에는 이 의무가 적용되지 않습니다. 이러한 위험 가능성 판단에는 유출의 성격, 영향을 받는 데이터 범주 및 발생 가능한 결과에 대한 분석이 필요합니다.
데이터 주체에게 언제 알려야 합니까?
GDPR 제34조에 따라, 정보 유출이 정보 주체의 권리와 자유에 중대한 위험을 초래할 가능성이 있는 경우, 정보 공개가 면제될 수 있습니다. 단, 암호화와 같은 적절한 기술적 조치가 마련되어 있거나, 후속 조치를 통해 중대한 위험이 더 이상 발생하지 않도록 보장하는 경우, 또는 개별적인 정보 공개가 과도한 노력을 수반하는 경우에는 예외적으로 공개가 면제될 수 있습니다. 후자의 경우에는 공개적인 정보 공개로 충분합니다.
해킹당한 공급업체로부터 정보를 강제로 얻어낼 수 있을까요?
네, 데이터 처리 계약에 명시된 경우 그렇습니다. 블라우 리서치(Blauw Research)와 네부(Nebu) 간의 약식 소송(로테르담 지방법원, 2023년 4월 6일, ECLI:NL:RBROT:2023:2931)에서 임시 구제 판사는 데이터 처리 계약에 따라 데이터 관리자가 공격, 그 결과 및 취해진 조치에 대해 제공된 정보보다 더 많은 정보를 받을 권리가 있다고 판결하고, 데이터 처리자에게 독립적인 포렌식 조사를 실시하고 정기적으로 보고하도록 명령했습니다. 해당 정보는 데이터 처리자의 통지 의무를 이행하는 데 필요합니다.
정보 주체로서 개인정보 유출 사고 발생 시 자동으로 보상을 받을 자격이 있나요?
아니요. GDPR 제82조는 독립적인 청구 근거를 제공하지만, GDPR 위반 사실, 실제 손해 발생 여부, 그리고 위반과 손해 사이에 인과관계가 있음을 입증해야 합니다. 입증 책임은 청구인에게 있습니다.
신분 도용에 대한 두려움은 비물질적 손해에 해당될까요?
그럴 수도 있습니다. 유럽사법재판소는 Natsionalna agentsia za prihodite 사건(2023년 12월 14일, C-340/21)에서 유출된 개인정보가 미래에 오용될 수 있다는 우려 그 자체가 비물질적 손해에 해당할 수 있다고 판시했습니다. 다만, 정보 주체는 그러한 우려와 그 결과를 구체적으로 입증해야 합니다. Österreichische Post 사건(2023년 5월 4일, C-300/21)에서는 심각성의 최소 기준은 없지만, GDPR 위반만으로는 충분하지 않다고 덧붙였습니다.
보안 조치가 적절했다는 것을 누가 증명해야 합니까?
컨트롤러. 유럽사법재판소는 C-340/21 사건에서 보안 조치가 적절했음을 입증하는 것은 컨트롤러의 책임이며, 제3자의 공격 자체가 컨트롤러의 책임을 면제하는 것은 아니라고 확인했습니다. 네덜란드에서는 자동차 판매점의 이메일 계정이 해킹당한 사건에서 이와 유사한 판례가 나타났습니다. 아른헴-레이우바르덴 항소법원은 먼저 판매점에게 해당 증거를 제출할 기회를 주었지만(ECLI:NL:GHARL:2024:6812), 이후 증거가 제출되지 않았다고 판결했습니다(ECLI:NL:GHARL:2025:4556).
IT 공급업체가 공격을 감지하지 못했을 경우 책임이 있나요?
합의 내용에 따라 다릅니다. 호프 판 트벤테(Hof van Twente) 지자체에 대한 사이버 공격 사건(오버리셀 지방법원, 2023년 5월 10일, ECLI:NL:RBOVE:2023:1731)에서는 당사자들이 보안 모니터링이 아닌 기능 모니터링에 대해 합의했습니다. 법원은 IT 관리자의 주의 의무가 보안 모니터링을 묵시적으로 포함할 정도로 확대되지 않는다고 판단하고 청구를 기각했습니다. 그러나 O'Cliance 사건(지방법원)에서처럼 더 광범위한 종합 서비스가 제공되는 경우에는 주의 의무의 범위가 훨씬 넓어질 수 있습니다. Amsterdam(2018년 11월 14일, ECLI:NL:RBAMS:2018:10124)에서 공급업체는 손실의 3분의 2에 대해 책임을 져야 한다고 판결받았습니다.
내 행동으로 인해 보상액이 줄어들 수 있나요?
네. 이러한 사례에서 과실 책임은 반복적으로 중요한 역할을 합니다. O'Cliance 사건에서는 손실액의 3분의 1이 고객 계정에 귀속되었고, 이메일 계정 해킹 사건에서는 구매자 측의 과실에 대해 당사자들이 책임을 져야 했습니다. 따라서 자체적인 비밀번호 정책, 열려 있는 포트 또는 무시된 경고 등이 결과에 직접적인 영향을 미칠 수 있습니다.
개인정보보호 당국은 어떤 벌금을 부과할 수 있나요?
GDPR 위반 시 감독 당국은 최대 20천만 유로 또는 전 세계 연간 매출액의 4% 중 더 높은 금액의 행정 벌금을 부과할 수 있습니다. 이러한 벌금은 개별 정보 주체가 실제로 손해를 입었는지 여부와 관계없이 부과되므로 민사 책임과는 별개의 위험 요소입니다.
범죄 사실을 신고하고 형사 소송을 통해 손해 배상을 청구할 수 있을까요?
예. 네덜란드 형법 제138ab(1)조는 고의로 불법적으로 자동화 시스템에 접근하는 것을 범죄로 규정하고 있습니다. 해당 범죄를 경찰에 신고할 수 있으며, 용의자가 기소될 경우 피해자로서 형사 소송에 참여하여 보상을 청구할 수 있습니다. 결과는 적발, 기소 및 증거 확보 여부에 따라 달라지며, 국제적으로 활동하는 범죄자의 경우 결과가 나오지 않는 경우가 많습니다.
사이버 보험은 일반적으로 무엇을 보장합니까?
일반적으로 사고 대응 및 포렌식 조사, 시스템 및 데이터 복구, 영업 중단 손실 및 매출 손실, 위기 커뮤니케이션, 제3자에 대한 책임 및 법률 비용, 그리고 경우에 따라 관련 법률에 따라 보험이 가능한 범위 내에서 벌금, 합의금 또는 몸값 지급 등을 보장합니다. 제외 사항, 보안 조건, 통지 기간 및 자기 부담금을 주의 깊게 살펴보고 사고 발생 전에 보험 약관을 검토하십시오.
공격받은 후 잘못된 행동을 하면 은신처를 잃을 수 있나요?
그럴 가능성이 있습니다. 네덜란드 민법 제7조 957항(1)은 피보험자가 손실을 예방하거나 제한하기 위해 합리적인 조치를 취할 의무를 규정하고 있습니다. 이러한 구제 의무를 준수하지 않을 경우 보험사는 보험금 지급액을 줄일 수 있습니다. 보험사의 동의 없이 외부 전문가를 고용하거나 몸값을 지불하는 것도 보상 범위에 영향을 미칠 수 있습니다. 가능한 한 빨리 보험사에 알리십시오.
사이버 공격 직후에 어떤 조치를 즉시 취해야 할까요?
사고 발생 사실과 취해진 모든 조치를 기록하고, 증거를 훼손하지 않도록 영향을 받은 시스템을 격리한 후, 포렌식 전문가를 고용하십시오. 그런 다음 데이터 유출 신고 대상인지 여부와 정보 주체에게 알려야 하는지 여부를 평가하십시오. 사이버 범죄를 보고하고, 사이버 보험사에 통보하고, 로그, 백업 및 관련 서신을 보존하고, 피해 규모와 잠재적 책임 당사자를 파악하고, 고객, 직원 및 공급망 파트너에게 신중하고 시의적절하게 알리십시오.
