안녕하세요, 법률사무소 완봉입니다.
스타트업을 창업해 밤낮없이 서비스를 키워가던 중, 어느 날 새벽 청천벽력 같은 알림이 울립니다. "고객 데이터베이스 서버 해킹 감지, 개인정보 유출 정황 확인."
눈앞이 아득해지는 상황에서도 한국인터넷진흥원(KISA)과 개인정보보호위원회에 법정 기한 내 신고를 마쳤습니다. 겨우 한숨 돌리려는데, 며칠 뒤 대표님이나 최고개인정보책임자(CPO)의 휴대전화로 낯선 번호의 전화가 걸려옵니다.
"OO경찰서 사이버수사대입니다. 개인정보 보호법 위반 혐의 피의자 신분으로 출석해 조사받으시기 바랍니다."
"해킹을 당한 우리가 범죄의 피해자인데, 왜 경찰은 우리를 '피의자'라고 부르는 건가요?" 억울함과 공포가 밀려오는 순간입니다.
대다수 기업이 해킹 사고를 당하면 행정적 과징금이나 기업 이미지 실추만을 걱정하지만, 실무상 가장 치명적이고 즉각적인 리스크는 경영진 개인의 형사처벌입니다. 오늘은 해킹 피해 기업이 왜 피의자가 되는지 그 법적 구조를 풀어보고, 경찰 조사에서 활용할 수 있는 구체적인 기술적·관리적 입증 전략을 안내해 드립니다.
법률 상담을 오시는 대표님들이 가장 많이 하시는 말씀이 "우리는 해커에게 피해를 입은 피해자인데 왜 처벌을 논하느냐"는 것입니다. 억울한 심정은 충분히 이해하지만, 형사법의 세계는 냉혹합니다.
개인정보 보호법 제29조는 개인정보가 유출되지 않도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 기술적·관리적·물리적 조치를 의무화하고 있습니다. 이 의무를 위반해 유출 사고가 발생하면 제73조 제1호에 따라 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처해집니다.
수사기관은 해커를 잡는 수사와 별개로, "법이 정한 최소한의 보안 조치를 갖추지 않아 해커가 쉽게 침입할 수 있게 방치한 과실이 있다"고 보고 기업을 수사합니다.
이때 제74조 양벌규정에 따라 CPO뿐 아니라 법인 대표이사도 공동 피의자로 입건됩니다. '상당한 주의와 감독'을 다했다는 점을 입증하지 못하면 대표이사 개인에게 형사 전과가 남게 됩니다. 2026년 현재는 경영진의 보안 관리 의무와 CPO 권한 강화가 법제화되면서, 수사기관이 대표이사의 실질적인 관여 여부를 더욱 꼼꼼히 따지고 있습니다.
사이버수사대 IT 전문 수사관들은 '법에서 정한 고시 기준'을 충족했는지를 데이터(로그)와 시스템 설정 화면으로 확인합니다. 수사의 성패를 가르는 3대 핵심 쟁점과 입증 방안은 다음과 같습니다.
대표이사가 양벌규정의 적용에서 벗어나 무혐의 처분을 받으려면, "CPO에게 다 맡겼다"거나 "구두로 보안을 당부했다"는 주장만으로는 면책되지 않습니다. 법원은 실질적이고 체계적인 감독 노력이 서면으로 입증되어야만 면책을 인정합니다.
경찰 출석 통지를 받은 직후, 골든타임 내에 수집해 제출해야 하는 '상당한 주의·감독 입증 4대 문서'는 다음과 같습니다.
원칙 1: 첫 진술 전에 디지털 포렌식 결과 분석부터 끝내야 합니다.
정확한 공격 경로 분석이 끝나기 전에 "패치를 제때 안 한 탓도 있는 것 같습니다"라며 자백성 진술을 해서는 안 됩니다. 알려지지 않은 취약점(Zero-day Exploit)을 악용한 고도의 공격이어서 법정 조치를 다했음에도 불가항력적으로 침해된 것임을 소명해야 방어가 가능합니다.
원칙 2: 행정조사(개보위)와 형사수사(경찰)의 제출 자료를 완전히 일치시키십시오.
개인정보보호위원회에 제출한 소명 자료와 경찰 진술 내용이 조금이라도 어긋나면, 수사관은 책임 회피나 거짓 진술로 의심해 압수수색 등 강제수사로 전환할 수 있습니다. 처음부터 일관된 방어 논리를 설계해야 합니다.
원칙 3: 사고 직후 실행한 '신속한 피해 확산 방지 조치'를 적극 어필하십시오.
해킹 인지 즉시 유출 경로를 차단하고, 전 회원 대상 비밀번호 강제 변경 및 피해 상담 창구를 개설해 2차 피해를 막기 위해 노력했음을 입증하십시오. 일부 미흡한 점이 발견되더라도 이러한 사후 수습 노력은 기소유예 처분을 받아내거나 재판에서 벌금액을 낮추는 핵심 참작 사유가 됩니다.
Q1. CPO를 임명하지 않은 소규모 스타트업입니다. 이 경우 형사처벌은 누가 받나요?
A. 전담 CPO를 별도로 지정·신고하지 않은 기업의 경우, 대표이사가 당연직 CPO로 간주됩니다. 기술적 보호조치를 취해야 하는 '직접 행위자'의 책임과 이를 감독해야 하는 '경영자'의 책임을 동시에 지게 되어 리스크가 배로 증가합니다. 이 경우 경찰 조사 초기 단계부터 즉시 전문 변호사의 조력을 받는 것이 필수적입니다.
Q2. 해커가 랜섬웨어를 심고 유포하겠다고 협박합니다. 협박금을 지불하고 조용히 처리하면 형사책임을 피할 수 있나요?
A. 절대로 안 됩니다. 해커에게 비용을 지불하고 데이터를 돌려받더라도, 이미 정보의 '지배 관리권'이 상실된 시점부터 '개인정보 유출'이라는 법적 사실은 성립합니다. 또한 자금 송금 행위는 외환거래법 위반 등 추가적인 법적 리스크를 수반하므로, 즉시 경찰과 KISA에 신고하고 적법한 기술적 소명에 집중하셔야 합니다.
Q3. 과징금이 전체 매출액의 10%까지 나올 수 있다고 들었습니다. 경찰 수사(형사책임)와 중복 부과되나요?
A. 네, 중복됩니다. 개인정보보호위원회의 과징금·과태료는 행정 처분이고, 법원의 징역·벌금형은 형사 처벌로 별개의 절차입니다. 회사는 수억 원의 과징금을 납부하면서, 대표이사와 CPO 개인은 형사 전과자가 되는 시나리오가 동시에 현실화될 수 있습니다. 따라서 행정 조사와 형사 수사 대응을 일관된 방어 논리로 준비하는 것이 중요합니다.
Q4. 해킹 사고가 발생했을 때 KISA와 개인정보보호위원회에 신고하는 기한은 얼마나 되나요?
A. 개인정보 보호법상 유출 사실을 인지한 시점으로부터 72시간 이내에 개인정보보호위원회 또는 KISA에 신고해야 합니다. 기한을 넘기면 신고 의무 위반으로 별도의 과태료가 부과될 수 있으며, 수사 단계에서도 불성실한 초기 대응으로 불리하게 작용할 수 있습니다. 사고 인지 즉시 신고 절차에 착수하시기 바랍니다.
Q5. 이미 경찰 조사를 한 차례 받고 왔습니다. 지금이라도 변호사의 도움을 받는 것이 의미가 있나요?
A. 물론입니다. 첫 조사에서 불리한 진술을 했더라도, 이후 단계에서 디지털 포렌식 분석서와 보안 조치 이행 증거를 체계적으로 보완하면 검찰 송치 전 불송치 결정을 이끌어내거나 검찰 단계에서 기소유예를 받는 것이 충분히 가능합니다. 다음 조사 전에 반드시 변호사와 진술 내용을 검토하시기 바랍니다.
개인정보 유출 사고가 발생하면 경영진은 혼란 속에서 판단을 내려야 합니다. 특히 기술적 용어와 시스템 로그 분석이 수반되는 사이버수사대 조사는 일반적인 형사 사건과는 질적으로 다릅니다. 소스코드와 로그 데이터를 수사관이 납득할 수 있는 법적 소명의 언어로 번역해 줄 수 있는 IT 전문 법률 대리인이 곁에 있어야 합니다.
법률사무소 완봉은 IT 기업 및 스타트업의 개인정보 유출 사고 직후 신고 대응부터, 경찰 사이버수사대 피의자 조사 동석, 개보위 소명 대리까지 전 과정에 대한 전문 상담을 제공하고 있습니다. 첫 경찰 조사 출석 전에 문의해 주시면 경영진의 형사 리스크를 최소화하기 위한 맞춤 전략을 함께 수립해 드립니다.
(본 글은 2026년 6월 16일 기준의 법령 및 실무를 바탕으로 작성되었으며, 개별 기업의 해킹 경로와 보안 설정 수준에 따라 구체적인 대응 방안은 달라질 수 있으므로 반드시 변호사와의 직접 상담을 통해 대책을 수립하시기 바랍니다.)
