쉬운 요약
- 대규모 해킹사고가 발생했을 때 사업자의 책임과 피해자 보호를 강화하기 위한 법률 개정안이에요.
- 사고 원인에 사업자의 책임이 인정되면 민·관합동조사단 운영 비용을 사업자가 전액 부담하도록 하려고 해요.
- 해킹 피해자가 사업자의 잘못과 손해 사이의 연결고리를 직접 입증해야 하는 부담을 줄이려고 해요.
- 사업자의 정보보호 의무 위반에 대해 실제 손해를 넘어선 징벌적 손해배상을 도입하려고 해요.
- 사고 조사, 손해배상, 사업자의 보안 투자 사이의 책임 구조를 더 엄격하게 만들려는 취지예요.
주요 내용
- 조사단 운영비 부담: 사고 원인에 사업자의 귀책사유가 인정되면 민·관합동조사단 운영 비용을 사업자가 전액 부담하도록 해요.
- 손해배상 입증책임 전환: 이용자가 사업자의 귀책사유와 손해 발생 사이의 인과관계를 모두 직접 입증해야 하는 부담을 줄이려고 해요.
- 징벌적 손해배상 도입: 사업자의 정보보호 의무 위반에 대해 실제 손해를 보상하는 수준을 넘어 추가 배상을 청구할 수 있도록 하려는 내용이에요.
- 이용자 피해구제 강화: 전문지식이 부족한 일반 이용자도 해킹사고로 입은 피해를 더 실질적으로 구제받을 수 있도록 하려고 해요.
- 사업자 책임 강화: 사고가 발생한 뒤 조사와 배상 단계에서 사업자의 책임이 더 분명하게 드러나도록 하려는 방향이에요.
- 보안 의무 이행 유도: 비용 부담과 배상 책임을 강화해 사업자가 평소 정보보호 조치를 충실히 하도록 유도하려고 해요.
왜 나왔나
최근 통신사와 플랫폼 기업 등에서 대규모 해킹사고가 발생하면서 사고 원인을 밝히고 피해를 구제할 수 있는 체계를 강화해야 한다는 문제의식이 제기됐어요. 현재 시행 조문은 과학기술정보통신부장관이 중대한 침해사고가 발생하면 민·관합동조사단을 구성해 원인을 분석할 수 있도록 하고, 사업자에게 자료 제출이나 사고 대응 조치를 요구할 수 있도록 해요. 하지만 발의 당시에는 조사단 운영 비용을 국가가 부담하고, 피해자가 사업자의 잘못과 손해 사이의 인과관계를 직접 증명해야 해 일반 이용자의 피해구제가 어렵다는 점이 지적됐어요. 이 법안은 사고 조사 비용과 손해배상 책임을 사업자에게 더 많이 부담시키고, 실제 손해 이상의 배상도 가능하게 하려는 취지예요.
무엇이 달라지나
1) 책임 있는 사업자의 조사 비용 부담
현재 시행 조문 제48조의4는 중대한 침해사고가 발생하면 과학기술정보통신부장관이 민·관합동조사단을 구성해 사고 원인을 분석할 수 있도록 하지만, 확인된 조문에는 조사단 운영 비용을 누가 부담하는지에 관한 별도 내용이 보이지 않아요. 법안은 조사 결과 사업자에게 귀책사유가 인정되면 해당 사업자가 조사단 운영 비용 전액을 부담하도록 하는 내용을 추가하려고 해요.
- 사고 원인을 제공한 사업자와 조사 비용을 부담하는 주체를 일치시키려는 변화예요.
- 국가가 우선 부담하던 비용을 사업자에게 청구할 수 있게 되면 사고 대응에 들어가는 공적 비용의 책임 구조가 달라질 수 있어요.
- 사업자의 귀책사유를 어떤 기준과 절차로 판단할지, 여러 원인이 함께 있는 사고의 비용을 어떻게 정할지가 중요해요.
2) 침해사고 손해배상 입증 부담 완화
발의 당시 제안은 침해사고 피해자가 사업자의 귀책사유와 손해 발생 사이의 인과관계를 직접 입증해야 하는 어려움을 줄이기 위해 손해배상 청구의 입증책임을 전환하려는 내용이에요. 구체적인 전환 범위와 요건은 신설되는 손해배상 조항의 내용에 따라 정해질 수 있지만, 이용자가 기술적으로 복잡한 사고 과정을 모두 밝혀야 하는 구조를 완화하려는 방향이에요.
- 해킹 경로, 보안 설정, 사고 대응 기록처럼 사업자가 주로 보유한 자료에 대한 이용자의 접근 한계를 고려하려는 변화예요.
- 이용자는 피해 사실을 제시하고, 사업자는 정보보호 의무를 다했는지와 사고와 손해의 관계를 설명해야 하는 구조가 될 가능성이 있어요.
- 입증책임이 어느 범위에서 누구에게 넘어가는지, 사업자가 어떤 자료를 제출해야 하는지는 법안 심사에서 세밀하게 정해져야 해요.
3) 징벌적 손해배상 도입
발의 당시 제안은 현재의 손해배상이 실제 손해 범위에 한정되어 사업자의 정보보호 의무를 충분히 담보하기 어렵다는 문제를 제기했어요. 이에 사업자의 정보보호 의무 위반이 인정되는 경우 실제 손해를 보상하는 금액을 넘어 추가로 책임을 물을 수 있는 징벌적 손해배상 제도를 신설하려는 거예요.
- 손해를 보상하는 것뿐 아니라 중대한 보안 관리 소홀을 억제하려는 목적이 포함돼 있어요.
- 사업자가 보안 위험을 알고도 필요한 조치를 하지 않았는지 같은 사정이 책임 판단에서 중요해질 수 있어요.
- 추가 배상의 요건과 상한, 사업자의 고의·중대한 과실 판단 기준이 명확해야 예측 가능한 집행이 가능해요.
4) 사고 대응과 사업자 보안책임 연계
현재 시행 조문은 정보통신서비스 제공자 등이 침해사고 원인을 분석하고 피해 확산 방지, 사고 대응, 복구와 재발 방지에 필요한 조치를 하도록 하며, 과학기술정보통신부장관이 시정명령과 자료 제출 요구를 할 수 있도록 해요. 법안은 여기에 조사 비용 부담과 입증책임 전환, 징벌적 손해배상을 연결해 사고 전후의 사업자 책임을 더 강하게 묻는 구조를 제안하고 있어요.
- 사업자는 사고가 난 뒤 조사에 협조하는 것뿐 아니라 사고 전 정보보호 의무 이행도 더 엄격하게 설명해야 할 수 있어요.
- 현재 조문은 조사 과정에서 얻은 정보를 원인 분석과 대책 마련 외의 목적으로 사용하지 못하게 하고, 원인 분석이 끝나면 즉시 파기하도록 하는 보호 규정도 두고 있어요.
- 조사 비용과 민사상 손해배상 책임이 각각 어떤 기준으로 판단되는지, 조사 자료가 소송에서 어떻게 활용될 수 있는지는 함께 확인해야 해요.
이 법안의 핵심은 해킹사고의 조사·배상 비용과 정보보호 실패의 책임을 사업자에게 더 분명하게 부담시키는 데 있어요.
누구에게 영향이 있나
- 해킹사고 피해 이용자: 손해배상 청구 과정에서 기술적 사실을 모두 직접 입증해야 하는 부담이 줄어들 수 있어요.
- 통신사와 플랫폼 기업: 귀책사유가 인정되면 조사단 운영 비용을 부담하고, 징벌적 손해배상 청구에도 대응해야 할 수 있어요.
- 정보통신서비스 제공자: 사고 대응, 복구, 재발 방지 조치뿐 아니라 평소 정보보호 의무 이행 기록을 더 체계적으로 관리해야 할 수 있어요.
- 과학기술정보통신부와 민·관합동조사단: 사고 원인 분석과 귀책사유 판단, 조사 비용 산정 과정에서 새로운 역할과 기준이 필요할 수 있어요.
- 법원과 피해구제 절차: 입증책임 전환과 징벌적 손해배상 요건을 실제 사건에 적용할 기준을 마련해야 할 수 있어요.
봐야 할 점
- 조사 결과 사업자에게 귀책사유가 있다고 판단하는 기준과 비용 전액의 범위를 명확히 정하는지 확인해야 해요.
- 사고 원인이 여러 사업자나 외부 요인에 걸쳐 있을 때 비용과 책임을 어떻게 나누는지 봐야 해요.
- 입증책임 전환이 사업자의 모든 과실을 추정하는 방식인지, 특정 사실에만 적용되는지 살펴야 해요.
- 징벌적 손해배상의 적용 요건, 배상액 산정 기준, 실제 손해배상과의 관계가 구체적으로 정해지는지 확인해야 해요.
- 조사 과정에서 확보한 자료의 보호와 피해자의 소송상 자료 접근 사이의 균형이 적절하게 마련되는지 지켜봐야 해요.
