[判例.zip] 游戏公司泄露了我的个人信息，能拿到赔偿吗？
[판례.zip] 게임사에서 정보 털렸는데, 돈 받을 수 있나요?
2026.01.15 15:42 UTC+9
人工智能概要
本文按时间顺序梳理了NC、NEXON及Golfzon等重大个人信息泄露案的判决脉络。法院对游戏公司责任的判定标准已从“形式化合规”正式转向“实质性防御”。单纯依靠政府指南或安装安全程序已无法轻易免责，企业必须切实落实安全运营。
隔三差五就能听到个人信息泄露的消息。身为玩家，大概所有人都有过一次“我的账号该不会也……”的焦虑经历。
然而看新闻就会发现，有时公司要赔偿数十亿韩元，而另一些情况下则以“公司没有责任”为由导致用户败诉。法院究竟是以什么标准来追究游戏公司责任的呢？
在本期判例.zip中，我们梳理了从NC（《天堂2》）、NEXON（《冒险岛》）到近期Golfzon（高尔夫模拟器）事态等重大案件的判决书，按时间顺序剖析了法院针对个人信息泄露审判时所秉持的原则与脉络。
连基本措施都没有就得承担游戏公司责任——NC《天堂2》个人信息泄露事件
首先要看的是确立了“游戏相关个人信息保护判例标准”的2005年NC事件。
2005年5月，NC在《天堂2》更新过程中失误，导致用户的ID和密码未加密就被直接存入日志文件中。这使得任何人只要打开网吧等公共电脑上存储的日志文件，就能查看到他人的账号信息。
对于NC的这种失误，法院认为公司未尽到合同及法律要求的注意义务。游戏公司本应对密码采取加密技术等安全措施，但因负责员工的失误导致其泄露，这被视为明确的过失。
因此，法院做出了原告部分胜诉的判决，要求NC向遭受泄露损失的用户支付每人10万韩元的慰问金。
尽力而为——NEXON《冒险岛》个人信息泄露事件
然而进入2010年代后，随着黑客手段的高级化，法院的氛围发生了一些变化。泄露1320万名信息的历史级事件——NEXON《冒险岛》事件便是代表。
在该事件中，黑客通过APT（高级持续性威胁）攻击潜入NEXON的备份服务器，窃取了大量个人信息。对此，用户们以“公司对安全投资懈怠”为由发起了集体诉讼。
法院对本案做出了怎样的判决呢？经过一路打到大法院的漫长攻关，法院最终还是站在了游戏公司NEXON这一边。法院在判决书中阐述：“应综合考虑黑客攻击当时的普遍技术水平、信息安全所需的经济成本及其效用程度、黑客技术的发展程度等。”
也就是说，企业没有义务花费无限的成本去建立完美的安全性，只需达到社会通念上合理期待的程度即可。特别是审判部明确表示：“若遵守了韩国放送通信委员会公告的技术性、管理性保护措施标准，在没有特殊情况的情况下，很难视为违反了法律义务。”
当时黑客所使用的攻击工具和手法是旨在绕过NEXON原有安全系统（访问控制等）的高级方式，因此法院判断企业很难提前侦测或阻止。
这一判决成为游戏业及IT企业的一种“免责指南”。“只要遵守政府制定的公告（检查清单），即便遭到黑客攻击也没有法律责任”的认知就此固化。这也是之后许多游戏公司将安全投资仅集中于“满足法律要求水平”的一个契机。
仅凭形式上的措施已经不够了——Golfzon事件
但进入2020年代后，法院的判断标准变得更加严格。去年3月宣判的高尔夫模拟器企业Golfzon事件可以说是这一趋势的信号弹。
事件的起因是这样的：黑客通过勒索软件攻击窃取了约221万名Golfzon用户信息，个人信息保护委员会对Golfzon处以了超过70亿韩元、创下历史最高纪录的罚款。
因此，Golfzon不服罚款处分向首尔行政法院提起行政诉讼，这就是本案的起因。Golfzon方面在审判过程中喊冤称“我们连让装的系统都全部安装了”。其表示当时安装并运营着法令（公告）中规定的入侵检测系统（IDS）与入侵防御系统（IPS）。如果按照过去NEXON判例的标准，这本是可以被认定为尽到义务的情况。
然而根据去年3月宣判的首尔行政法院 2023구합81091判决书显示，法院并未接受Golfzon的主张。法院反而直截了当地指出“Golfzon违反了保护措施标准”。
首先，Golfzon虽然安装了安全系统，但真正重要的功能（能够查看加密通信的解密功能等）却没有开启。甚至还将必须阻止黑客暴力破解攻击的系统设置留在了“允许（Allow）”状态。
针对Golfzon的这种行径，法院判断：“只有系统外壳并不代表尽到了义务。”甚至还指出事件发生后Golfzon简单强化了安全政策这一点，并批判公司的麻痹大意称：“又不是花很多钱，为什么在事故发生前不这么做。”
这一判决的意义十分明确。如今，“仅在法律上形式化地安装安全程序已无法免责”。法院现在不仅审查程序是否存在，还要严苛审查该系统是否在实际设置下能够有效阻止黑客攻击。
“免责时代”已经落幕，现在是需要证明“实质性防御”的时刻
归根结底，法院看待企业责任的标准正在从“形式”向“实质”发生重心转移。
正如过去《天堂2》事件那样连基本的加密都不做的无防备状态自然不必多说，在《冒险岛》事件后成为业界护身符的“只要安装安全程序即可免责”的公式也已被打破。本次Golfzon的判决明确指出，即便具备了系统，若其运营和设置流于表面，也无法逃脱责任。
近期，在KT和Coupang等与我们生活息息相关的大型平台企业中，个人信息泄露争议也接连爆发，用户的焦虑情绪比以往任何时候都要高涨。
在此时期做出的法院判决，不仅向游戏公司，也向IT业界整体发出了强烈的警告信息：“仅仅停留在遵守政府指南的水平是远远不够的。”
比获得法律赔偿更重要的，是守护好宝贵的个人信息不被泄露。撇开企业责任标准提高这一因素不谈，请大家务必牢记，当下立即设置包括OTP在内的附加安全装置这一小小的习惯，才是守护宝贵游戏账号最切实的锁具。
하루가 멀다 하고 들려오는 개인정보 유출 소식. 게이머라면 누구나 한 번쯤 "혹시 내 계정도?"라며 불안에 떤 경험이 있을 겁니다.
그런데 뉴스를 보면 어떤 때는 회사가 수십억 원을 물어주는 데, 또 다른 경우에는 '회사는 책임이 없다'라며 유저들이 패소하기도 합니다. 도대체 법원은 무엇을 기준으로 게임사의 책임을 묻는 걸까요?
이번 판례.zip에서는 엔씨소프트(리니지 2), 넥슨(메이플스토리), 최근 골프존(스크린골프) 사태까지, 굵직한 사건의 판결문을 통해 법원이 개인정보 유출에 대해 어떤 원칙을 가지고 판결을 내리고 있는지 그 흐름을 시간 순서대로 분석해서 살펴보는 시간을 마련했습니다.
기본적인 조치조차 없었다면 게임사 책임 – 엔씨소프트 리니지 2 개인정보 유출 사건
가장 먼저 살펴볼 사례는 '게임 관련 개인정보 보호 판례의 기준'을 정립한 2005년 엔씨소프트 사건입니다.
2005년 5월, 엔씨소프트는 리니지 2 업데이트 과정에서 실수로 유저들의 ID와 비밀번호를 암호화하지 않은 채 로그파일에 그대로 저장되게 만들었습니다. 이로 인해 PC방 등 공용 컴퓨터에 저장된 로그파일을 열어보면 누구나 타인의 계정 정보를 알 수 있게 되었죠.
이러한 엔씨소프트의 잘못에 대해 법원은 회사가 계약상, 법상 요구되는 주의의무를 다하지 않았다고 판단했습니다. 게임사는 비밀번호는 암호화 기술 등을 이용해 보안 조치를 했어야 하는데, 담당 직원 실수로 이를 노출시킨 것을 명백한 과실로 본 것이죠.
이로 인해 법원은 엔씨소프트가 유출 피해를 본 유저에게 1인당 위자료 10만 원을 지급하라는 취지로, 원고 일부 승소 판결을 했습니다.
할 만큼 했다 - 넥슨 메이플스토리 개인정보 유출 사건
하지만 2010년대 들어 해킹 수법이 고도화되면서 법원의 분위기가 조금 달라집니다. 1,320만 명의 정보가 유출된 역대급 사건인 넥슨 메이플스토리 사건이 대표적입니다.
이 사건에서 해커는 APT(지능형 지속 위협) 공격을 통해 넥슨의 백업 서버에 침투, 대량의 개인정보를 탈취했습니다. 이에 유저들은 "회사가 보안 투자를 소홀히 했다"라며 집단 소송을 제기했죠.
이 사건에서 법원은 어떤 판결을 했을까요? 대법원까지 간 긴 공방 끝에, 법원은 결국 게임사인 넥슨의 손을 들어줬습니다. 판결문에서 법원은 "해킹 당시의 보편적인 기술 수준, 정보보안에 필요한 경제적 비용 및 그 효용의 정도, 해킹 기술의 발전 정도 등을 종합적으로 고려해야 한다"라고 판시했습니다.
즉 기업이 무한대의 비용을 들여 완벽한 보안을 갖출 의무는 없으며, 사회 통념상 합리적으로 기대 가능한 정도로만 하면 된다는 것입니다. 특히, 재판부는 "방송통신위원회가 고시한 기술적·관리적 보호조치 기준을 다하였다면, 특별한 사정이 없는 한 법률상 의무를 위반했다고 보기 어렵다"라고 명시했습니다.
당시 해커가 사용한 공격 툴과 수법은 넥슨의 기존 보안 시스템(접근 통제 등)을 우회하도록 설계된 고도화된 방식이었기에, 기업이 이를 미리 탐지하거나 막기는 어려웠다고 판단한 셈이죠.
이 판결은 게임업계와 IT 기업에게 일종의 '면책 가이드라인'이 됐습니다. '정부가 정해준 고시(체크리스트)만 지키면, 해킹을 당해도 법적 책임은 없다'라는 인식이 굳어지게 된 건데요. 이후 많은 게임회사가 보안 투자를 '법적 요구사항을 충족하는 수준'으로 맞추는 데만 집중하게 된 계기가 된 사건이기도 합니다.
형식적인 조치만으로는 이젠 부족하다 - 골프존 사건
그러나 2020년대 들어 법원의 판단 기준은 한층 더 엄격해졌습니다. 작년 3월에 선고된 스크린골프 업체 골프존 사건이 그 신호탄이라고 할 수 있습니다.
사건 발단은 이렇습니다. 해커가 랜섬웨어 공격을 통해 골프존 이용자 약 221만 명의 정보를 탈취했고, 개인정보보호위원회는 골프존에 70억 원이 넘는 역대 최고 수준의 과징금을 부과했습니다.
이에 골프존이 과징금 처분에 불복해 서울행정법원에 행정소송을 제기한 것이 이 사건의 발단입니다. 골프존 측은 '우리도 하라는 대로 시스템 다 깔았다'라며 재판 과정에서 억울함을 호소했습니다. 법령(고시)에서 정한 침입탐지시스템(IDS)과 침입방지시스템(IPS)을 모두 설치해서 운영하고 있었다는 것입니다. 과거 넥슨 판례의 기준대로라면, 의무를 다한 것으로 인정받을 수도 있는 상황이었죠.
하지만 작년 3월 선고된 서울행정법원 2023구합81091 판결문에 따르면, 법원은 골프존의 주장을 받아들이지 않았습니다. 오히려 법원은 '골프존이 보호조치 기준을 위반했다'라고 못을 박았습니다.
먼저, 골프존은 보안 시스템을 설치만 해두고, 정작 중요한 기능(암호화된 통신을 들여다볼 수 있는 복호화 기능 등)은 켜놓지 않았습니다. 심지어 해커의 무차별 대입 공격을 막아야 할 시스템 설정을 '허용(Allow)'으로 해두기도 했습니다.
이러한 골프존의 행태에 대하여 법원은 "시스템 껍데기만 있다고 의무를 다한 것이 아니다"라고 판단했습니다. 오히려 사건 직후 골프존이 간단하게 보안 정책을 강화한 것을 지적하며, "돈이 많이 드는 것도 아닌데 사고 전에는 왜 안 했느냐"며 회사의 안일함을 질타하기까지 했습니다.
이 판결의 의미는 명확합니다. 이제는 '법정 보안 프로그램을 형식적으로 설치만 해서는 면책될 수 없다'라는 것입니다. 이제 법원은 프로그램 존재 여부를 넘어, 그 시스템이 실질적으로 해킹을 막을 수 있게 세팅되어 운영되고 있는지까지 깐깐하게 심사하고 있습니다.
'면책의 시대'는 끝났다, 이제는 '실질적 방어'를 증명해야 할 때
결론적으로 법원이 바라보는 기업의 책임 기준은 '형식'에서 '실질'로 무게중심이 완전히 이동하고 있습니다.
과거 리니지 2 사건처럼 기본적인 암호화조차 하지 않은 무방비 상태는 말할 것도 없고, 메이플스토리 사건 후 업계의 방패막이가 되었던 '보안 프로그램만 설치하면 면책'이라는 공식도 깨졌습니다. 이번 골프존 판결은 시스템을 갖췄더라도, 그 운영과 설정이 허술했다면 책임을 피할 수 없다는 점을 명확히 했습니다.
최근 KT와 쿠팡 등 우리 생활과 밀접한 대형 플랫폼 기업에서도 개인정보 유출 논란이 연이어 터지며 이용자들의 불안감이 그 어느 때보다 높은 상황입니다.
이러한 시기에 내려진 법원의 판단은 게임사를 넘어 IT 업계 전반에 '단순히 정부 가이드라인을 지키는 수준으로는 부족하다'라는 강력한 경고 메시지를 던지고 있습니다.
법적인 배상을 받는 것보다 훨씬 중요한 것은, 소중한 개인정보가 유출되지 않도록 지키는 것입니다. 기업의 책임 기준이 높아지는 것과는 별개로, 지금 당장 OTP를 비롯한 추가 보안장치를 설정하는 작은 습관이 소중한 게임 계정을 지키는 가장 확실한 잠금장치임을 잊지 마시기 바랍니다.
这则新闻由人工智能翻译。
推荐新闻
媒体合作伙伴
GAMEMECA社交媒体
