이미 뉴스에도 나오고 있어서 몰랐다는 사실로는 면책되기 어려운 상황이라서,
korean law mcp 를 기반으로 chatgpt 에 질문하여 답변한 내용을 공유드립니다.
 

운영자가 자기 서비스에 영향을 주는 PHP 취약점과 보안 패치의 존재를 알고도 정당한 이유 없이 조치를 미뤘고, 이후 개인정보가 유출됐다면 안전조치 의무 위반에 따른 과징금과 피해자에 대한 손해배상 책임이 발생할 수 있습니다. 특히 사전에 위험을 인지했다는 사실은 과실·중대한 과실을 판단할 때 운영자에게 불리한 사정이 됩니다. 다만, 미패치 사실만으로 형사처벌이나 최고액의 제재가 자동으로 확정되는 것은 아닙니다.

아래는 2026년 10월 22일 현재 시행 중인 법령을 기준으로, 해당 DB에 회원 이름·연락처·이메일 등 개인정보가 저장되어 있다는 전제에서 설명드립니다.

1. 보안 패치는 법적으로 요구되는 보호조치에 해당할 수 있습니다.

「개인정보 보호법」 제29조는 개인정보처리자에게 개인정보 유출을 방지하기 위한 기술적·관리적·물리적 안전조치 의무를 부과합니다. 시행령 제30조는 이를 구체화하고, 세부 기준을 개인정보보호위원회 고시에 위임합니다. 법 제29조, 시행령 제30조

질문에 가장 직접적으로 적용되는 규정은 「개인정보의 안전성 확보조치 기준」 제9조 제2항입니다. 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체가 보안 업데이트를 공지한 경우, **“정당한 사유가 없는 한 즉시 이에 따른 업데이트 등을 실시”**하도록 규정합니다. 이는 단순한 보안 권고가 아니라 법 제29조에 따른 안전조치의 세부 기준입니다. 안전성 확보조치 기준 제9조

PHP 공식 공지는 PHP2Shell 관련 CVE-2026-109618·CVE-2026-109619의 수정 버전으로 PHP 8.2.35·8.3.36·8.4.27·8.5.12를 안내하면서 즉시 업데이트를 권고합니다. 배포판·LTS 공급업체의 백포트 패치도 확인하도록 안내하고 있으므로, 버전 문자열만으로 패치 여부를 단정해서는 안 됩니다. PHP 공식 보안 공지

따라서 영향받는 서버라는 사실을 확인했고 적용 가능한 패치도 있는데, 비용이나 번거로움을 이유로 아무 조치 없이 계속 운영했다면 의무 위반으로 평가될 가능성이 높습니다. 이는 위 규정을 질문의 상황에 적용한 법적 판단이며, 개별 사건의 확정된 결론은 아닙니다.

2. 행정상으로는 과태료·과징금·시정명령이 문제 됩니다.

근거: 법 제75조, 법 제64조의2, 법 제64조

여기서 10% 상한은 “알고도 패치하지 않았다”는 사실만으로 적용되지 않습니다. 다음 중 하나에 해당해야 합니다.

• 과징금 처분 후 3년 이내 같은 유형의 위반을 반복하고, 각각 고의 또는 중대한 과실이 있는 경우
• 고의 또는 중대한 과실로 위반하고, 정보주체 피해 규모가 1천만명 이상인 경우
• 개인정보보호위원회의 시정조치 명령을 따르지 않아 개인정보 유출에 해당하는 위반을 한 경우

과징금 산정 시에는 위반행위와 관련 없는 매출액을 제외하도록 규정합니다. 매출액이 없거나 산정이 곤란한 경우로서 시행령상 요건에 해당하면 일반 상한은 20억원, 위 중대·반복 위반 상한은 50억원입니다. 모두 법정 상한이며 실제 부과액은 위반 기간·규모·보호조치 노력·피해 회복 등을 고려하여 정합니다. 법 제64조의2 제2항∼제5항

3. 피해자에게는 손해배상 책임을 질 수 있고, 중대한 과실이면 최대 5배 배상도 가능합니다.

「개인정보 보호법」 제39조 제1항에 따라 정보주체는 법 위반으로 입은 손해의 배상을 청구할 수 있습니다. 이때 개인정보처리자는 고의 또는 과실이 없음을 입증하지 못하면 책임을 면할 수 없습니다.

또한 제39조 제3항은 고의 또는 중대한 과실로 개인정보가 유출되어 손해가 발생하면 법원이 그 손해액의 5배 이하로 배상액을 정할 수 있도록 합니다. 제4항은 배상액 판단 요소로 **“고의 또는 손해 발생의 우려를 인식한 정도”**를 명시합니다. 법 제39조

따라서 다음과 같은 자료가 있으면 위험 인지와 방치 여부를 판단하는 중요한 근거가 될 수 있습니다.

• 개발사·보안업체가 보낸 취약점 및 패치 필요성 안내
• 운영자가 안내를 확인하거나 패치를 거절한 이메일·메신저 기록
• 패치 가능 시점부터 실제 침해 시점까지의 방치 기간
• 그 기간에 접근 차단·격리 등 위험을 줄이는 조치를 했는지에 관한 기록

위험을 알았다는 사실이 곧 유출의 고의를 뜻하지는 않습니다. 다만 위험의 심각성과 조치 가능성을 알면서도 장기간 방치했다면 중대한 과실 인정에 불리하게 작용할 수 있습니다.

별도로 제39조의2에 따른 300만원 이하의 법정손해배상 청구도 가능합니다. 이는 구체적인 손해액 입증 부담을 완화하는 제도이며, 모든 피해자에게 300만원이 자동 지급되거나 여기에 무조건 5배를 곱하는 구조는 아닙니다. 법 제39조의2

4. “미패치로 유출되면 무조건 징역”이라고 설명하는 것은 현행법상 부정확합니다.

과거에는 안전조치를 하지 않아 개인정보를 유출당한 행위를 처벌하는 규정이 있었지만, 현행 제73조에는 그 구성요건이 없습니다. 따라서 단순히 패치를 하지 않아 해킹 피해를 입었다는 사실만으로 과거 규정의 **“2년 이하 징역 또는 2천만원 이하 벌금”**을 적용한다고 설명해서는 안 됩니다.

다만 사고 조사 과정에서 위반 사실을 은폐·축소하려고 자료 제출을 거부하거나 허위 자료를 제출하는 행위, 자료 은닉·폐기 등으로 조사를 방해하는 행위는 현행 제73조 제1항 제4호·제5호에 따라 해당 형사처벌의 대상이 될 수 있습니다. 현행 법 제73조

5. 유출 후 통지·신고를 하지 않으면 추가 책임이 발생합니다.

실제 유출을 알게 되면 법 제34조에 따라 피해자 통지, 피해 확산 방지, 관계기관 신고 의무를 검토해야 합니다.

• 정보주체 통지는 원칙적으로 인지 후 72시간 이내입니다.
• PHP 취약점을 이용한 해킹처럼 외부의 불법 접근으로 유출된 경우에는 피해자가 1천명 미만이어도 원칙적으로 인지 후 72시간 이내 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다.
• 법정 예외 없이 통지·신고를 하지 않으면 각각 법 제75조 제2항 제17호·제18호의 3천만원 이하 과태료 대상이 될 수 있습니다.

근거: 법 제34조, 시행령 제39조, 시행령 제40조, 법 제75조

호스팅·유지보수 업체에 관리를 맡겼더라도 개인정보 처리 위탁에 해당한다면 운영자의 수탁자 감독 의무가 남습니다. “업체에 맡겼다”는 사정만으로 운영자가 면책되는 것은 아닙니다. 법 제26조 제4항·제7항·제8항

질문의 상황에서는 패치가 필요하다는 통지를 받은 시점, 실제 패치 가능 여부, 지연 사유, 임시 보호조치, 실제 공격 경로가 책임 판단의 핵심입니다. 즉시 패치하기 어려운 기술적 사유가 있다면 그 사유와 해결 일정을 기록하고 실제 노출을 줄이는 조치를 취해야 합니다. PHP 공식 공지도 임시 완화책이 모든 공격 경로를 해결하지는 못한다고 명시하므로, 임시 설정이나 WAF만을 이유로 패치를 무기한 미루는 것은 책임 방어에 취약합니다. PHP 공식 보안 공지


---
개인정보가 포함된 사이트는 빠르게 패치하셔야 합니다.
특히 영카트 쇼핑몰을 가상서버 호스팅이나 서버 호스팅 같이 자체 호스팅으로 운영하시는 분들은 기존 개발자나 호스팅 서버 담당자에게 빠른 패치를 요청하세요.