업무사례
업무사례
LEGAL INSIGHT · 금융데이터는 종류부터 나눠야 합니다
핀테크 개인정보 유출이 발생하면 가장 먼저 해킹 경로나 공격자를 찾는 데 집중하기 쉽습니다. 그러나 법적 대응에서는 어떤 정보가 실제로 외부에 노출됐는지, 그중 일반 개인정보와 개인신용정보가 각각 어느 범위에 포함되는지를 먼저 구분해야 합니다.
회원 이름과 연락처만 유출된 사건과 계좌·거래 관련 정보까지 함께 노출된 사건은 적용되는 규율과 피해 위험이 같지 않을 수 있습니다. 따라서 사고 직후에는 유출 정보의 항목, 대상 인원, 외부 접근이 시작된 시점과 이를 인지한 시점을 로그와 시스템 기록으로 먼저 확정하는 것이 필요합니다.
핵심은 핀테크 서비스라는 이유만으로 하나의 법률만 적용된다고 보지 않는 것입니다. 개인정보 보호법상 유출 대응을 기본으로 하면서 개인신용정보가 포함됐는지, 금융 관련 사업자의 별도 의무가 있는지, 외부 수탁사나 클라우드 사업자가 사고에 관여했는지를 동시에 정리해야 합니다.
핀테크에서는 같은 회원정보라도 법적 성격이 서로 다를 수 있습니다
핀테크 서비스는 일반적인 회원정보 외에도 결제와 송금, 대출, 자산관리 등 금융거래와 관련된 데이터를 처리하는 경우가 많습니다. 따라서 유출 사고가 발생했다면 이름·휴대전화번호·이메일과 같은 개인정보와 금융거래에서 생성된 정보가 뒤섞여 있는지를 먼저 확인해야 합니다.
개인신용정보에 해당하는 정보가 포함되어 있고 해당 사업자가 신용정보법상 규율대상이라면 개인정보 보호법만 검토하고 사고 대응을 마치는 것은 충분하지 않을 수 있습니다. 정보의 명칭이 아니라 실제 정보가 어떤 거래와 개인의 신용상태를 나타내는지를 기준으로 적용 법률을 나누어야 합니다.
예를 들어 서비스 내부에서 단순 회원번호로 관리되던 값이라도 다른 거래정보와 결합해 특정 이용자를 식별하거나 금융거래 내용을 확인할 수 있다면 그 의미가 달라질 수 있습니다. 사고 대응표에는 데이터베이스 이름보다 실제 유출 항목과 각 항목이 이용자에게 미칠 수 있는 영향을 구체적으로 적어두는 편이 좋습니다.
72시간은 사고를 완전히 분석한 뒤부터 계산하는 시간이 아닙니다
작성일 현재 개인정보 보호법과 시행령은 개인정보의 유출등을 알게 된 경우 정보주체에게 필요한 사항을 알리도록 하고 있으며, 시행령은 원칙적으로 이를 안 때부터 72시간 이내 통지하도록 규정하고 있습니다. 구체적인 유출 항목이나 시점을 아직 모두 확인하지 못한 경우에도 확인된 내용을 우선 통지하고 추가 확인 내용을 다시 알리는 방식이 문제될 수 있습니다.
감독기관에 대한 신고는 모든 사고가 동일한 기준으로 이루어지는 것은 아닙니다. 개인정보보호위원회는 정보주체 1천명 이상의 개인정보가 유출된 경우, 민감정보나 고유식별정보가 포함된 경우, 외부의 불법적인 시스템 접근으로 개인정보가 유출된 경우 등을 신고대상으로 안내하고 있습니다.
따라서 사고 발생일과 회사가 사고를 처음 알게 된 날을 혼동해서는 안 됩니다. 최초 보안경보 발생시각, 담당자가 이를 확인한 시각, 개인정보 유출 가능성이 구체화된 시각을 각각 남겨두어야 통지·신고 시점에 관한 판단 근거를 설명할 수 있습니다.
사고 직후에는 서버를 정리하기보다 침해 경로와 로그부터 보존해야 합니다
개인정보 보호법은 개인정보처리자에게 개인정보가 유출등이 되지 않도록 내부 관리계획과 접속기록 관리 등 기술적·관리적·물리적 안전조치를 요구합니다. 유출 사고가 발생한 뒤에는 실제로 이러한 조치가 어떻게 운영됐는지도 책임 판단의 중요한 부분이 될 수 있습니다.
때문에 공격받은 서버를 즉시 초기화하거나 문제가 된 계정을 삭제하는 방식으로만 조치하면 원인을 확인할 로그와 접근기록까지 소실될 수 있습니다. 긴급한 접속 차단과 비밀번호·인증키 변경이 필요하더라도 변경 전 상태와 접근기록을 보존하면서 확산을 차단하는 순서를 함께 설계해야 합니다.
관리자 계정의 로그인 기록, API 호출내역, 데이터 다운로드 기록, 클라우드 접근기록, 권한 변경 이력 등을 확보하면 어느 계정으로 어떤 정보까지 접근했는지 범위를 좁히는 데 도움이 됩니다. 이후 감독기관 조사에서도 사고 원인과 회사의 안전조치 운영 상태를 설명하는 자료가 될 수 있습니다.
외부 솔루션에서 사고가 났어도 핀테크 회사의 역할을 따로 확인해야 합니다
핀테크 서비스는 클라우드, 본인인증, 고객상담, 데이터 분석, 결제모듈 등 여러 외부 사업자와 연결되어 운영되는 경우가 많습니다. 이 때문에 실제 침해가 외부 수탁사의 서버나 솔루션에서 발생했다고 하더라도 사고 대응 주체와 책임이 곧바로 한 곳으로 정리되는 것은 아닙니다.
먼저 해당 업체가 어떤 데이터를 어떤 목적으로 처리했는지, 회사가 어느 범위의 접근권한을 부여했는지, 계약상 보안·사고통지 의무가 어떻게 정해져 있는지를 확인해야 합니다. 특히 사고 발견을 외부 업체가 먼저 했다면 업체가 사고를 인지한 시점과 핀테크 회사에 통지한 시점 사이의 시간도 별도로 기록할 필요가 있습니다.
외부 업체의 잘못이라는 설명만으로 이용자에 대한 조치가 늦어져서는 곤란합니다. 위탁계약서, 보안약정, 접근권한 승인내역과 사고 당시 업무분장을 함께 확인해 누가 시스템을 통제했고 누가 필요한 조치를 해야 했는지를 구체적으로 정리해야 합니다.
유출 건수보다 계좌 탈취와 금융피해로 이어질 가능성도 함께 봐야 합니다
피해 확산 가능성이 큰 경우
인증정보나 계좌·거래 관련 정보가 노출되고 이를 이용해 계정 탈취, 부정송금 또는 추가적인 피싱이 가능한 상황이라면 단순히 개인정보가 몇 건 빠져나갔는지만 보는 것으로 충분하지 않습니다. 관련 계정의 추가 인증과 접근차단, 이상거래 여부 확인 등 이용자의 재산상 피해를 줄이기 위한 조치를 함께 검토해야 합니다.
유출 범위를 제한적으로 확인할 수 있는 경우
특정 기간 동안 한정된 계정에서 일부 정보만 조회됐고 다운로드나 대량 조회 흔적이 없는 경우라면 로그를 통해 실제 영향 범위를 보다 구체적으로 좁힐 수 있습니다. 다만 “다운로드 기록이 없다”는 사실만으로 외부 유출이 없었다고 단정하기 전에 서비스 구조상 조회·복사·API 호출이 어떤 방식으로 기록되는지를 확인해야 합니다.
개인정보 유출은 행정제재뿐 아니라 이용자의 손해배상 문제로도 이어질 수 있습니다
개인정보 유출 사고가 발생했다고 해서 사업자의 민사책임이 자동으로 동일하게 결정되는 것은 아닙니다. 어떤 안전조치를 마련했는지, 사고 발생 가능성을 인식하고도 방치했는지, 사고를 안 뒤 피해 확산을 얼마나 신속하게 차단했는지 등이 함께 문제될 수 있습니다.
개인정보 보호법은 법 위반으로 정보주체에게 손해가 발생한 경우 손해배상책임을 규정하고 있으며, 사업자의 고의 또는 중대한 과실로 개인정보 유출등이 발생해 손해가 생긴 경우에는 법원이 일정 범위에서 가중된 손해배상액을 정할 수 있도록 하고 있습니다.
따라서 사고 이후에 작성되는 내부 보고서와 고객 공지에서도 확인되지 않은 원인을 성급하게 확정하거나 책임이 없다고 단정하기보다 확인된 사실, 조사 중인 사항, 이미 완료한 보호조치를 나누어 기록하는 것이 필요합니다.
사고를 인지한 첫 72시간에는 기술 대응과 법률 대응을 같은 시간표에 놓아야 합니다
핀테크 개인정보 유출 사건은 보안팀이 원인 분석을 끝낸 뒤 법무팀이 움직이는 순차적인 방식으로 대응하기 어렵습니다. 통지·신고 시한과 이용자 피해 확산 가능성이 동시에 진행되므로 기술적 조치와 법적 판단을 병행할 필요가 있습니다.
인지 직후 침해 계정과 접속경로를 차단하면서 서버·DB·API·관리자 계정의 로그와 사고 당시 설정값을 보존합니다.
범위 확인 유출된 정보 항목과 이용자 수, 개인신용정보·민감정보·고유식별정보 포함 여부를 나누고 최초 침해와 사고 인지 시각을 정리합니다.
72시간 내 적용되는 통지·신고 요건을 확인하고, 아직 정확한 범위가 확정되지 않았다면 확인된 사실과 피해 최소화 방법을 중심으로 우선 대응한 뒤 추가 확인 내용을 보완합니다.
함께 확인한 공식 자료
국가법령정보센터 개인정보 보호법 제34조 유출등의 통지·신고
핀테크 개인정보 유출에서는 사고 원인만큼 유출된 데이터의 법적 성격과 규모, 회사가 사고를 인지한 시점, 사고 전 안전조치와 사고 후 확산방지 조치, 이용자 통지와 관계기관 신고 여부가 중요합니다. 보안조치와 법적 대응을 따로 진행하기보다 같은 시간축에서 기록하고 결정해야 이후 책임 판단에도 대비할 수 있습니다.
▼핀테크 개인정보 유출, 실제 사건에서는 무엇이 쟁점이 됐을까요?
