TL;DR
- ITAD 업체의 일반 배상책임보험(CGL)만으로는 데이터 유출로 인한 2차 피해나 개인정보보호법상 과징금을 보상받지 못할 수 있습니다.
- 계약 전 사이버 리스크/데이터 유출 특약(Cyber & Data Breach Liability) 가입 여부, 보상한도액, 자기부담금 구조를 반드시 검증해야 합니다.
- 이송 중 사고 및 매각 후 데이터 잔존으로 인한 리스크를 대비하기 위해 책임 소재를 명시한 보안 특약서와 증권 사본을 보관해야 합니다.
ITAD 업체의 CGL만으로 데이터 유출 책임이 보장되지 않는 이유
ITAD 업체가 제출하는 영업배상책임보험(CGL, Commercial General Liability)은 물적 파손이나 신체 상해를 중심으로 담보하는 보험이며, 데이터 유출로 인한 정보주체의 손해나 개인정보보호법상 과징금은 보상 대상에서 제외되는 경우가 많습니다. 데이터 유출로 발생하는 통지 비용, 법률 자문비, 정신적 손해 배상금 등을 보상받으려면 '데이터 유출 특약(Cyber Liability)'이 CGL과 별도로 부가되어 있어야 합니다.
개인정보보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)에 따라 위탁 수거 및 파기 과정에서 사고가 발생하면 원천 관리 주체인 양도 기업도 법적 책임에서 자유롭지 않습니다. 따라서 계약 체결 전 ITAD 업체의 보험 가입 여부 자체보다, 담보 항목이 데이터 유출 상황에서 실제로 작동하는지를 확인하는 절차가 필요합니다.
배상책임보험 증권 실효성 검증 4단계
-
피보험자명 및 사업자 정보 일치 확인 증권상의 피보험자(Insured)가 실제로 매각 계약을 체결하는 ITAD 법인의 사업자등록번호 및 법인명과 일치하는지 확인합니다. 계열사나 하도급 운송업체 명의의 보험 증권을 제출받은 경우, 사고 발생 시 해당 증권의 법적 효력이 계약 상대방에게 직접 미치지 않을 수 있습니다.
-
담보 위험 항목(Cyber & Data Breach) 유무 점검 보통약관 외에 '개인정보유출 배상책임' 또는 '사이버 리스크' 특약이 포함되어 있는지 증권 내 세부 담보(Coverage) 항목을 확인합니다. 물품 분실이나 운송 중 파손만 담보하는 증권은 데이터 유출 손해를 보상하지 않습니다.
-
보상한도액(Limit of Liability)과 자기부담금(Deductible) 산정 사고 발생 시 총 보상한도(Aggregate Limit)와 건당 보상한도(Each Claim Limit)를 구별해서 확인합니다. 대규모 PC나 서버를 처리하는 계약이라면 유출 건당 발생 가능한 최대 손해액을 가늠해 보고, 증권상 보상 한도가 이에 미치지 못하는지 점검합니다.
-
보험 유효기간 및 이송·보관 장소 명시 여부 매각 작업 및 반출 일정이 보험 가입 기간 내에 포함되는지 확인합니다. 또한 ITAD 업체의 작업장, 창고뿐만 아니라 '이송 중(In Transit)' 사고까지 담보 범위에 포함되는지 확인해야 합니다.
법적 책임 분담 및 보험 증권 검증 체크리스트
| 검증 항목 | 세부 확인 내용 | 담당자 실무 점검 포인트 |
|---|---|---|
| 피보험자 동일성 | 계약 법인과 증권 상 피보험자 일치 여부 | 개인사업자/법인전환 여부 및 사업자번호 대조 |
| 보상 범위 | 데이터 유출, 개인정보 침해 담보 포함 여부 | CGL 외 별도 사이버/개인정보 특약 가입 확인 |
| 보상 한도액 | 1사고당 / 연간 총 보상 한도 적정성 | 매각 자산 규모 및 보유 개인정보 수량 대비 한도 평가 |
| 운송 및 파기 과정 | 이송 중 분실·도난 및 작업장 내 사고 담보 | 차량 이송 및 수거 후 임시 보관 단계 포함 여부 |
| 책임 귀책 조항 | 특약서 내 작업자 실수/과실 포함 여부 | 업체의 고의/중과실 외 일반 과실에 대한 보상 여부 |
데이터 유출 사고 발생 시 실무 대응과 책임 소재 판단
사고 발생 시 손해배상 책임 분담은 계약서에 명시된 '인도 시점(Chain of Custody)'과 '작업 완료 증명'을 기준으로 판단됩니다. 자산이 사내 작업장에서 반출되어 ITAD 업체 차량에 적재되고, 데이터가 삭제 또는 디가우싱 완료될 때까지 관리 책임이 이전되는 각 단계를 문서로 남겨두어야 분쟁 시 근거로 활용할 수 있습니다.
ITAD 업체가 '데이터 파기 완료 확인서'를 발급했음에도 불완전 삭제로 데이터가 유출되었다면, 이는 ITAD 업체의 이행하자 및 과실에 해당합니다. 이 경우 사전에 확보한 배상책임보험 증권과 데이터 파기 특약서가 손해배상 청구의 근거 자료가 됩니다. 구체적인 손해배상 청구 기준과 책임 분담 비율은 사안별로 달라지므로 사내 법무팀 또는 법률 전문가의 검토를 거쳐 진행하는 것이 안전합니다.
자주 묻는 질문(FAQ)
Q1. ITAD 업체가 영업배상책임보험(CGL)만 제출한 경우 충분한가요?
아니오, 충분하지 않습니다. 일반 CGL은 주로 신체 상해나 물건의 물리적 파손을 보상하므로 데이터 유출이나 정보 침해로 인한 손해는 보상 대상에서 제외되는 경우가 많습니다. '개인정보유출 배상책임' 또는 '사이버 리스크' 특약 가입 여부를 별도로 확인해야 합니다.
Q2. 위탁 처리 계약서에 데이터 유출 시 전액 배상 조항을 넣으면 보험 확인이 없어도 안전한가요?
안전하지 않습니다. 계약서상 배상 책임을 명시하더라도 업체가 재무적으로 배상 능력이 없으면 실제 손해를 보상받기 어렵습니다. 계약서상 조항과 별개로 보험 증권의 유효성과 보상한도를 함께 검증해야 실효성 있는 손해배상 이행이 가능합니다.
Q3. 매각 전 데이터를 사내에서 직접 영구 삭제해도 업체의 배상책임보험이 필요한가요?
네, 필요합니다. 사내에서 자체 삭제를 완료했더라도 반출 및 운송 과정에서 장비 분실이나 물리적 도난 리스크가 남아 있고, 삭제 여부에 대한 분쟁이 발생할 수 있습니다. 운송 및 보관 단계를 담보하는 배상책임보험 확인이 필요합니다.
마무리
전산자산 매각 시 데이터 유출 리스크를 막으려면 업체의 구두 약속이나 형식적인 계약서에 의존하지 않고, 손해배상책임보험의 담보 항목과 보상한도를 직접 확인하는 절차가 필요합니다. 자산 리스트 수립부터 반출, 데이터 삭제 증빙까지 각 단계의 책임 소재를 문서로 남겨두시기 바랍니다.
처분 대상 전산 자산 리스트나 매각 절차에 대해 궁금한 점이 있으시다면, 무료 견적 받기를 통해 법인 전문 매각 절차와 예상 회수 가치를 확인해 보세요.