쉬운 요약

• 해킹이나 전산장애로 가상자산 이용자에게 손해가 발생했을 때 사업자의 배상 책임을 강화하기 위한 법률 개정안이에요.
• 이용자가 사업자의 보안상 고의나 과실을 직접 입증해야 하는 부담을 줄이려 해요.
• 전산사고가 발생하면 가상자산사업자가 원칙적으로 손해를 배상하고, 책임을 면하려면 이용자의 고의나 중대한 과실 등을 사업자가 입증하도록 해요.
• 가상자산 기반시설에 대한 전자적 침해로 사고가 발생하면 즉시 보고하도록 하는 의무를 새로 두려 해요.
• 사고 뒤 이용자가 혼자 보안상 과실을 증명하는 구조에서, 사업자가 사고 원인과 면책 사유를 설명해야 하는 구조로 바꾸려는 내용이에요.

주요 내용

전산사고 손해배상 책임 신설: 해킹이나 전산장애로 이용자에게 손해가 발생하면 가상자산사업자가 원칙적으로 배상하도록 해요.

사업자의 면책 입증: 사업자가 책임을 피하려면 이용자의 고의·중과실 등 면책 사유를 직접 입증하도록 해요.

이용자 입증 부담 완화: 이용자가 사업자의 기술적 보안 과실을 직접 밝혀야 하는 부담을 줄이려 해요.

침해사고 즉시 보고: 가상자산 기반시설에 전자적 침해행위가 발생하면 관련 침해사고를 즉시 보고하도록 해요.

보험·공제·준비금 제도와 연계: 현재 사업자에게 요구되는 보험·공제 가입이나 준비금 적립과 별도로 실제 손해배상 책임과 사고 보고 절차를 보완하려 해요.

신속한 사고 대응: 사고 사실을 빠르게 보고해 피해 확산을 막고 원인 조사와 후속 조치를 앞당기려는 취지예요.

왜 나왔나

현재 시행 조문인 제8조는 가상자산사업자가 해킹·전산장애 등 대통령령으로 정하는 사고에 따른 책임을 이행할 수 있도록 보험이나 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하도록 해요. 하지만 발의 당시 설명에 따르면, 실제 사고가 발생했을 때 이용자에 대한 손해배상 책임의 범위와 입증책임을 별도로 정한 규정은 부족했어요. 가상자산 거래 시스템은 일반 이용자가 보안 설정과 내부 통제 상황을 파악하기 어려운 기술적 영역이라서, 사업자의 고의나 과실을 이용자가 직접 입증하기는 사실상 어렵다는 문제 제기가 있었어요. 법안은 이런 입증 부담을 사업자 쪽으로 옮기고, 침해사고 보고도 의무화해 이용자 보호를 강화하려는 내용이에요.

무엇이 달라지나

1) 사업자의 손해배상 책임

발의안은 전산사고로 이용자에게 손해가 발생한 경우 가상자산사업자가 원칙적으로 그 손해를 배상하도록 하려 해요. 현재 시행 조문인 제8조가 보험·공제 가입이나 준비금 적립 같은 사전 대비 조치를 정하고 있다면, 제안안은 사고가 발생한 뒤 이용자에게 손해가 생겼을 때의 책임까지 별도로 다루려는 방향이에요.

• 보험에 가입했거나 준비금을 적립했다는 사실만으로 사업자의 실제 배상 책임이 사라지지는 않을 수 있어요.
• 이용자는 사고 발생과 손해 사이의 관계를 설명하고 배상을 청구하는 데 집중할 수 있게 돼요.
• 어떤 전산사고를 책임 대상으로 볼지, 손해의 범위를 어디까지 인정할지는 최종 조문에서 구체화해야 해요.

2) 면책 사유 입증 전환

법안은 사업자가 책임을 면하려면 이용자의 고의·중과실 등 배상하지 않아도 되는 사유를 사업자 스스로 입증하도록 하려 해요. 발의 당시 설명은 고도의 기술적 영역에 있는 사업자의 보안상 과실을 이용자가 직접 증명하는 부담을 줄이는 데 초점을 두고 있어요.

• 사업자는 사고 당시의 보안 조치, 시스템 운영 기록, 내부 통제 내용을 설명할 필요가 커져요.
• 이용자가 단순한 실수만으로 모든 손해를 부담하지 않도록 보호 범위를 넓히려는 효과가 있어요.
• 고의와 중대한 과실을 어떻게 구분하고 어떤 자료로 입증할지는 분쟁의 핵심 쟁점이 될 수 있어요.

3) 사고 원인과 손해의 연결

제안안은 전산사고가 발생했다는 사실과 이용자의 손해가 확인되면 사업자의 배상 책임을 먼저 인정하는 방향을 제시해요. 다만 사고와 손해 사이에 제3자의 행위나 이용자의 고의·중대한 과실이 함께 있었을 때 책임을 어느 정도로 나눌지는 법안의 구체적인 문언을 확인해야 해요.

• 거래 기록, 지갑 이동 내역, 접속 기록 같은 자료를 누가 보존하고 제출할지 중요해져요.
• 사업자가 사고 사실을 알리지 않거나 자료를 충분히 내지 않으면 이용자의 권리 구제가 늦어질 수 있어요.
• 여러 원인이 겹친 사고에서 사업자 책임과 이용자 책임을 나눌 기준이 필요해요.

4) 침해사고 즉시 보고

발의안은 가상자산 기반시설에 대한 전자적 침해행위로 침해사고가 발생하면 즉시 보고하도록 제9조의2를 신설하려 해요. 현재 시행 조문에서는 제9조의2의 구체적인 조문이 확인되지 않아, 보고 대상과 보고 기관 등은 발의안이 제시한 방향을 중심으로 살펴봐야 해요.

• 사업자는 해킹이나 시스템 침해를 인지한 뒤 지체하지 않고 사고 사실을 알려야 할 수 있어요.
• 감독기관과 관계 기관이 피해 확산을 막고 추가 공격 여부를 확인하는 데 도움이 될 수 있어요.
• ‘즉시’의 의미, 보고 내용, 최초 보고 뒤 추가 보고 방식, 이용자 공지 여부를 명확히 정해야 해요.

5) 사전 대비와 사후 책임의 결합

현재 시행 조문인 제8조는 사업자가 보험·공제에 가입하거나 준비금을 적립하는 등 사고 책임 이행을 위한 조치를 하도록 해요. 제안안은 여기에 실제 손해배상 책임과 침해사고 보고 의무를 더해 사고 전 대비, 사고 직후 보고, 사고 뒤 배상을 하나의 보호 체계로 연결하려는 취지예요.

• 사업자는 준비금 규모뿐 아니라 사고 대응 절차와 손해배상 처리 체계도 점검해야 해요.
• 이용자는 사고가 발생했을 때 사업자의 보고와 배상 절차를 통해 피해 구제를 신청할 수 있는 길이 넓어질 수 있어요.
• 보험·공제의 보장 범위와 법률상 배상액이 다를 때 부족한 손해를 어떻게 처리할지 확인해야 해요.

누구에게 영향이 있나

• 가상자산 이용자: 해킹·전산장애로 자산이나 거래상 이익을 잃었을 때 손해배상을 요구하는 방식이 달라질 수 있어요.
• 가상자산사업자: 사고 원인과 면책 사유를 입증하고 침해사고를 즉시 보고해야 하는 부담이 커질 수 있어요.
• 가상자산 거래 시스템 운영자: 보안 기록, 접속 기록, 사고 대응 자료를 보존하고 제출할 필요가 커져요.
• 보험·공제 사업자와 준비금 관리 주체: 기존 사전 대비 수단이 실제 손해배상 책임과 어떻게 연결되는지 검토해야 해요.
• 금융위원회 등 감독기관: 침해사고 보고를 접수하고 사업자의 대응과 이용자 피해 구제 상황을 관리하는 역할이 중요해질 수 있어요.

봐야 할 점

• 전산사고의 범위에 해킹, 내부자 행위, 단순 시스템 오류, 외부 서비스 장애를 어디까지 포함할지 정해야 해요.
• 이용자의 고의·중대한 과실을 판단할 기준과 사업자의 면책 입증 방법을 구체화해야 해요.
• 손해액을 가상자산의 어느 시점 가격으로 계산할지, 거래 기회 상실까지 포함할지 확인해야 해요.
• 침해사고를 즉시 보고하지 않았을 때의 제재와 이용자 통지 의무가 어떻게 마련될지 살펴봐야 해요.
• 보험·공제·준비금으로 충당되지 않는 손해가 생겼을 때 사업자의 추가 배상 능력과 이용자 간 배상 순서를 점검해야 해요.