이충수 개인정보 보호책임자의 디지털 시대의 새로운 에티켓, 개인정보 보호
어느 날, 친한 친구에게서 뜻밖의 메시지가 온다. “너 방금 페이스북 메신저로 200유로 빌려달라고 하지 않았어?” 하지만 그런 메시지를 보낸 적은 없다. 로그인해보니 이미 비밀번호는 바뀌어 있다.
혹은 더 조용한 방식으로 일이 벌어지기도 한다. 나와 똑같은 이름, 같은 사진을 쓰는 인스타그램 계정이 지인들에게 접근하고 있다는 제보가 들어온다.
이 순간 벌어지는 일은 단순한 해킹이 아니다. ‘디지털 정체성’이 통째로 낯선 사람의 손에 넘어가는 사건이다.
독일에 거주하거나 사업을 하는 한인들에게도 이는 더 이상 낯선 이야기가 아니다. 한국에서 사용하던 계정을 그대로 쓰거나, 여러 서비스에 동일한 비밀번호를 사용하는 경우가 많기 때문이다. 문제는 계정을 빼앗긴 뒤 무엇을 해야 하는지, 그리고 독일이라는 법체계 안에서 어떤 도움을 받을 수 있는지가 한국과는 상당히 다르다는 점이다.
가장 먼저 해야 할 일: 속도와 차단
계정 탈취를 인지한 순간 가장 중요한 것은 ‘속도’다. 독일 연방정보보안청(BSI)은 명확한 대응 순서를 제시한다. 먼저 로그인 가능 여부를 확인하고, 가능하다면 즉시 비밀번호를 변경하고 모든 로그인 세션을 종료해야 한다. 여러 기기에서 동시에 접속되어 있을 가능성이 높기 때문이다.
다음 단계는 ‘확산 차단’이다. 동일한 비밀번호를 사용한 다른 계정, 특히 이메일 계정을 반드시 점검해야 한다. 이메일은 다른 서비스의 비밀번호 재설정 관문이기 때문에, 여기가 뚫리면 피해는 연쇄적으로 확산된다. 또한 구글이나 페이스북을 통한 소셜 로그인 서비스 역시 함께 확인해야 한다.
기술적 조치와 함께 반드시 해야 할 일이 있다. 바로 주변에 알리는 것이다. 이미 계정을 통해 메시지가 발송되었다면, 지인들이 추가 피해를 입지 않도록 즉시 공지해야 한다. 독일 소비자보호원 역시 이 단계를 강조한다. 동시에 스크린샷, 메시지 기록, 로그인 이력 등 증거를 확보해두는 것이 이후 대응의 핵심이 된다.
독일 형법: ‘신원도용죄’는 없다
독일 형법에는 ‘신원도용죄’라는 하나의 조항이 존재하지 않는다. 대신 가해자의 행위 단계마다 서로 다른 범죄가 적용되는 구조다.
예를 들어 타인의 계정에 무단으로 접근하는 순간 이미 ‘데이터 불법취득죄’(StGB §202a)가 성립한다. 이후 비밀번호 변경 등으로 계정 접근을 막으면 ‘데이터변경죄’(§303a)가 추가된다.
더 나아가 훔친 정보를 이용해 법적 거래에 사용될 수 있는 데이터를 생성하거나 조작하면 ‘증거가치 있는 데이터 위조’(§269, §270)가 문제되고, 금전적 이익까지 취했다면 ‘컴퓨터사기죄’(§263a) 또는 일반 사기죄(§263)가 적용된다.
즉, 하나의 범죄가 아니라 행위의 정도에 따라 법적 책임이 계단식으로 쌓이는 구조다.
피해자는 관할 경찰서 또는 각 주(州)의 온라인 신고 시스템(Onlinewache)을 통해 형사고발을 할 수 있다. 금전 피해가 없더라도 신고는 가능하다. 다만 현실적으로 가해자가 해외에서 접속했을 경우 추적이 어렵다는 한계는 여전히 존재한다.
두 판결이 보여주는 현실: 삭제는 쉽고, 특정은 어렵다
최근 독일 법원 판례는 흥미로운 방향성을 보여준다.
뮌헨 고등법원(OLG München, 2026.01.20, Az. 18 U 2360/25)은 플랫폼의 책임을 확대했다. 타인의 이름과 사진을 도용한 가짜 계정이 신고되었음에도 삭제가 지연된 사건에서, 법원은 플랫폼을 간접 침해자(mittelbarer Störer)로 보았다.
특히 주목할 점은 단순 삭제 의무를 넘어, 동일한 형태의 재발 콘텐츠까지 능동적으로 탐지하고 차단해야 한다고 판시한 부분이다. 이는 EU 디지털서비스법(DSA)의 방향성과 맞닿아 있다.
반면 코블렌츠 지방법원(LG Koblenz, 2025.08.25, Az. 2 O 1/25)은 다른 결론에 도달했다. 피해자가 가짜 계정 운영자의 가입자 정보를 요구했지만, 법원은 이를 허용하지 않았다. 통신디지털서비스데이터보호법(TDDDG) §21의 적용 범위를 좁게 해석해, 해당 사례가 시청각 콘텐츠에 해당하지 않는다고 본 것이다.
두 판결을 함께 보면 법원의 판단이 분명해진다.
“삭제하라”는 요구는 점점 인정되지만, “누가 했는지 밝혀라”는 요구는 여전히 높은 장벽에 가로막혀 있다.
Bundesnetzagentur: 새롭게 등장한 창구
2024년 디지털서비스법(DDG) 시행 이후, 독일 연방망청(Bundesnetzagentur)은 기존 업무에 더해 디지털서비스 코디네이터(DSC)로 지정되었다. 이 기관은 플랫폼이 DSA상의 의무를 제대로 이행하는지 감독하며, 이용자의 신고를 접수하는 창구 역할도 수행한다.
이 창구는 시행 첫해부터 활발히 활용되고 있다. 2024년 한 해에만 824건의 민원이 접수되었고, 2025년에는 그 수가 2천 건을 넘어섰다.
예를 들어 플랫폼이 신고에 응답하지 않거나, 계정 제한•삭제에 대한 이유를 설명하지 않는 경우 DSC에 문제를 제기할 수 있다. 다만 이 기관은 개별 분쟁을 직접 해결하는 곳이 아니라, 플랫폼의 구조적 위반을 감독하고 제재하는 기관이라는 점은 분명히 해야 한다.
한국과의 차이: 형사 vs 플랫폼 규제
한국에서 SNS 계정이 해킹 당했을 때의 대응 경로는 독일과 결이 다르다. 경찰청은 ‘계정도용’을 정보통신망 침해형 범죄로 별도 분류하며, 사이버범죄 신고시스템(ECRM)을 통해 온라인으로 즉시 신고할 수 있다. 처벌 근거도 비교적 명확하다. 해킹으로 부정한 이익을 취했다면 형법 제347조의2(컴퓨터등사용사기죄), 무단으로 개인정보를 수집•유출했다면 개인정보보호법이 적용된다.
반면 독일은 여러 형법 조항을 조합하는 구조로 상대적으로 복잡하다. 대신 플랫폼 자체에 책임을 부과하는 규제가 빠르게 발전하고 있다.
결국 두 체계의 차이는 접근 방식에 있다. 한국이 ‘가해자 처벌’ 중심이라면, 독일과 EU는 ‘플랫폼 통제’라는 또 하나의 축을 동시에 강화하고 있다.
결국 남는 것: 속도와 기록
계정 탈취는 몇 분 만에 발생하지만, 그 이후의 대응은 길고 복잡하다. 초기 대응은 몇 시간 안에 끝나지만, 계정 복구와 법적 대응은 몇 주 또는 몇 달이 걸릴 수 있다.
이 모든 과정에서 결국 가장 중요한 것은 복잡한 절차 자체가 아니라, 가능한 한 신속하게 대응하고 그 과정에서 발생하는 모든 정황과 증거를 빠짐없이 기록해 두는 일이다. 스크린샷 하나, 로그인 기록 하나가 이후의 모든 절차에서 결정적인 역할을 한다.
낯선 법체계 앞에서 막막함을 느낄 수 있지만, 적어도 현재의 독일은 피해자가 활용할 수 있는 법적•제도적 수단을 점차 확충해가고 있다.
1467호 16면, 2026년 7월 17일