개인정보 유출 배상, 근거는 있지만 자동은 아니다

'유출됐다'는 연락, 회사의 법적 의무다

기업에서 개인정보가 새어 나가면 그 사실을 알리는 건 이용자의 몫이 아니라 회사의 의무다. 개인정보보호법 제34조는 유출이 확인되면 개인정보처리자가 정보주체에게 지체 없이 통지하도록 정한다. 어떤 항목이 유출됐는지, 언제 어떻게 벌어졌는지, 어떻게 대응해야 하는지를 함께 안내해야 한다.

규모가 크면 신고 의무도 붙는다. 1천 명 이상의 정보나 주민등록번호 같은 고유식별정보가 걸려 있거나 외부의 불법 접근이 있었다면, 회사는 72시간 안에 개인정보보호위원회 등에 신고해야 한다. 2026년 강화된 규정은 데이터가 실제로 빠져나간 정황이 없어도 유출 가능성만 있으면 통지·신고 의무가 생기도록 문턱을 낮췄다. 이를 어기면 3천만 원 이하의 과태료가 부과된다.

손해배상, 청구할 근거는 법에 있다

Tima Miroshnichenko

배상을 요구할 통로는 세 갈래다. 기본은 같은 법 제39조의 손해배상책임인데, 여기엔 이용자에게 유리한 장치가 있다. 회사가 스스로 고의도 과실도 없었음을 입증하지 못하면 책임을 벗지 못한다. 내부 시스템의 허점을 개인이 밝혀내기 어렵다는 점을 고려한 조항이다.

손해액을 계산하기 막막할 때를 위한 길도 있다. 제39조의2 법정손해배상은 구체적 피해 금액을 증명하지 않아도 300만 원 한도 안에서 청구할 수 있게 한다. 회사의 고의나 중대한 과실이 있었다면 법원이 손해액의 다섯 배까지 물리는 징벌적 배상도 가능하다.

유형	특징	한도
일반 손해배상	회사가 무과실을 입증해야 함	실손해액
법정손해배상	손해액 입증 없이 청구	300만 원
징벌적 손해배상	고의·중과실일 때	손해액의 5배

그런데 '받는 것'은 다른 문제다

근거가 있다고 배상이 자동으로 나오지는 않는다. 법원은 유출 사실만으로 위자료를 인정하지 않는다. 유출된 정보가 얼마나 민감한지, 외부로 퍼졌는지, 2차 피해 위험이 있는지, 회사가 보안조치를 제대로 했는지를 함께 따진다.

실제 인정 금액도 생각보다 크지 않다. 과거 카드사 정보 유출 사건에서 대법원은 유출된 정보가 사생활과 밀접하고 2차 범죄에 악용될 수 있다는 점을 들어 정신적 손해를 인정했지만, 위자료는 1인당 10만 원 안팎이었다. 대체로 수만 원에서 30만 원 사이에서 정해진다.

최근에는 기업 쪽 방어 논리도 판례로 정리됐다. 대법원은 2025년 12월, 유출 사고가 있었더라도 회사가 배상할 만한 정신적 손해가 발생하지 않았음을 입증하면 책임을 면할 수 있다고 판단했다(2023다311184). 정보가 곧바로 회수돼 제3자가 보지 못했거나 회사가 당시 기술 수준의 보호조치를 갖췄다면 배상이 부정되기도 한다. 결국 관건은 내 피해를 얼마나 구체적으로 연결해 보여주느냐다.

지금 무엇부터 해야 하나

걱정만 하기보다 확인이 먼저다. 개인정보보호위원회가 운영하는 '털린 내 정보 찾기'(kidc.eprivacy.go.kr)에서 내 이메일과 계정 정보의 유출 여부를 무료로 조회할 수 있다. 유출 이력이 나오면 즉시 비밀번호부터 바꾼다.

이후 대응은 순서대로 정리하면 이렇다.

• 회사가 보낸 유출 통지문 원문을 캡처해 보관한다
• 비밀번호를 바꾸고 2단계 인증을 설정해 명의도용·보이스피싱에 대비한다
• 개인정보 침해는 국번 없이 118로 신고한다
• 배상은 개인정보분쟁조정위원회를 먼저 활용한다. 절차가 간단하고 비용이 거의 없으며, 조정이 성립하면 재판상 화해와 같은 효력을 갖는다
• 피해자가 많고 쟁점이 같다면 50명 이상이 함께하는 집단분쟁조정을 신청할 수 있다

시간제한은 기억해 두는 게 좋다. 손해배상 청구권은 보통 손해와 가해자를 안 날로부터 3년 안에 행사해야 한다. 걱정이 든다면 통지문을 받은 시점부터 증거를 모으고, 소액이라면 소송보다 분쟁조정을 먼저 두드리는 편이 현실적이다.

출처

1. 개인정보 유출 피해자 위자료의 인정 기준과 청구 방법 | 법무법인 도모
2. 개인정보 유출과 법정손해배상: '무조건적 배상'은 없다
3. 개인정보 유출 '가능성'만 있어도 72시간 내 통지…보호법 강화
4. 털린 내 정보 찾기 서비스 (개인정보보호위원회)