개인정보 유출됐다고 바로 배상되진 않는다

유출됐다고 자동으로 배상받는 건 아니다

유출 통지를 받으면 당연히 배상받을 수 있다고 생각하기 쉽지만, 실제 판단은 그렇게 단순하지 않다.

2026년 1월 대법원이 내놓은 판단이 이 점을 분명히 보여 준다. 학술자료 사이트 해피캠퍼스가 2021년 해킹으로 회원 40만여 명의 이메일 주소와 암호화된 비밀번호 등을 유출한 사건에서, 한 이용자가 법정손해배상 30만원을 청구했다. 대법원은 기업의 안전조치의무 위반은 인정하면서도, 암호화된 비밀번호는 제3자가 내용을 알아내 쓰기 어렵고 이메일만으로는 개인을 식별하기 어렵다는 이유로 원고 패소를 확정했다. 유출 사실만 증명되면 되지만, 기업이 '배상할 만한 정신적 손해가 발생하지 않았다'를 증명하면 책임을 면한다는 법리를 처음 제시한 것이다.

손해배상이 인정되려면 무엇을 따지나

Angela Roma

개인정보보호법은 이용자가 유출 자체를 입증하면, 기업이 고의·과실이 없었음을 스스로 증명하도록 입증 책임을 기업 쪽에 지운다. 이용자가 기업의 잘못을 일일이 밝혀야 하는 부담은 상대적으로 가벼운 셈이다.

배상 방식도 여러 갈래다. 실제 손해액을 입증하기 어려울 때를 위해 300만원 이하 범위에서 청구하는 법정손해배상이 있고, 기업의 고의나 중대한 과실이 인정되면 손해액의 최대 5배까지 물리는 징벌적 손해배상도 마련돼 있다.

관건은 '정신적 손해가 현실적으로 발생했는가'다. 법원은 유출된 정보를 제3자가 열람했거나 열람할 가능성, 정보가 퍼진 범위, 추가 피해 가능성, 유출 경위와 관리 실태 등을 종합해 판단한다.

유출 항목에 따라 판단이 갈린다

그래서 어떤 정보가 유출됐느냐가 결정적이다. 주민등록번호처럼 식별성이 높고 사생활과 밀접한 정보가 빠져나가 2차 범죄에 악용될 수 있는 경우에는 정신적 손해가 인정되기 쉽다. 과거 판례에서는 이런 사정을 고려해 1인당 위자료를 10만원, 30만원 수준으로 정한 사례가 있다.

반대로 유출된 저장매체가 모두 회수·폐기돼 제3자가 이용할 가능성이 사라졌거나, 앞서 본 사건처럼 암호화된 정보여서 악용 위험이 낮다고 보면 배상이 부정됐다. 같은 '유출'이라도 항목과 정황에 따라 결론이 달라지는 이유다.

어떻게 청구하나 — 경로와 증거

청구 경로는 크게 세 가지다. 비용과 시간을 아끼려면 개인정보분쟁조정위원회(kopico.go.kr)에 조정을 신청할 수 있다. 같은 사건 피해자가 많으면 집단분쟁조정으로 묶이기도 한다. 실제로 2025년 SK텔레콤 유출 사건에서는 유출 통지를 받았거나 조회 서비스로 피해를 확인한 이용자를 대상으로 집단분쟁조정이 진행됐다. 조정으로 풀리지 않으면 민사소송을 제기한다.

어느 경로든 증거가 승패를 가른다. 기업이 보낸 유출 통지서, 유출된 개인정보 항목, 그리고 보이스피싱이나 스미싱, 명의도용처럼 실제로 겪은 2차 피해의 정황을 함께 모아 두는 것이 좋다. 특히 식별성 높은 정보가 포함됐는지, 2차 피해로 이어졌는지를 구체적으로 보여 줄수록 배상이 인정될 가능성이 커진다. 통지를 받은 직후부터 피해 내용과 날짜를 함께 기록해 두면 나중에 입증이 한결 수월해진다.

출처

1. 대법 "개인정보 유출됐어도 손해 없다 증명하면 법정손배책임 없다" (머니투데이)
2. 개인정보 유출 피해, 징벌적 손해배상 (개인정보보호법 제39조)
3. 개인정보위, SKT 개인정보 유출 집단분쟁조정 절차 재개 (바이라인네트워크)