개인정보 유출 배상, 소송 전 챙길 증거는
증권사·가상자산거래소 등의 개인정보 유출 통지가 잇따르는 가운데, 유출 사실만으로 배상 청구는 가능하지만 기업이 정신적 손해가 없음을 증명하면 면책될 수 있다. 명의도용 같은 실제 피해는 제3자 범죄가 끼어들어 인과관계 입증이 까다롭고, 단체소송으로는 금전 배상을 받을 수 없어 개별 소송이나 분쟁조정이 현실적이다. 통지 문자와 2차 피해 내역을 지금 보관해두고, 분쟁조정 경로부터 확인하는 것이 소송 전 할 일이다.
"개인정보가 유출됐다"는 통지를 받았다면
증권사나 가상자산거래소에서 "회원님의 개인정보가 유출됐다"는 안내를 받으면 가장 먼저 드는 질문은 하나다. 배상을 받을 수 있나. 결론부터 말하면 유출 사실만으로 청구는 할 수 있지만, 그것이 곧 배상으로 이어지는 건 아니다.
최근 이런 통지가 늘었다. 고팍스는 9월 계정 이상 접근으로 이용자·직원 정보가 노출된 뒤 10월에 추가 유출이 있었고, 11월 6일에는 해킹 협박 메일을 받아 입출금과 거래를 멈췄다. 빗썸은 그룹웨어가 뚫려 직원 715명과 고객 844명의 이름·전화번호·신분증 사본이 노출됐다. 금융감독원은 가상자산사업자 보안책임자들을 소집해 긴급 점검에 나섰다.
유출 사실만으로 배상이 되나
cottonbro studio
개인정보보호법 제39조의2는 법정손해배상을 두고 있다. 피해자가 손해액을 구체적으로 입증하지 못해도 300만 원 이하 범위에서 배상을 청구할 수 있는 제도다. 유출됐다는 사실 자체만 증명하면 청구의 문은 열린다.
문제는 그다음이다. 대법원은 2025년 12월 회원 40만여 명의 이메일과 비밀번호가 유출된 사건에서, 기업이 "위자료로 배상할 만한 정신적 손해가 발생하지 않았다"는 점을 증명하면 책임을 면할 수 있다고 봤다. 이 사건에서는 비밀번호가 암호화돼 있었고 이메일만으로는 구체적 위험을 인정하기 어렵다는 이유로 배상이 부정됐다. 즉 법원은 유출된 정보의 종류, 제3자가 열람했거나 앞으로 열람할 가능성, 확산 범위, 추가 피해 가능성 등을 종합해 개별적으로 판단한다. 유출이 자동으로 배상을 보장하지 않는 이유다.
실제 피해는 어떻게 입증하나
위자료가 아니라 명의도용 대출 같은 실제 금전 피해를 물으려면 벽이 하나 더 있다. 유출과 피해 사이에 범죄자라는 제3자가 끼어들기 때문에, "그 유출 때문에 이 피해가 생겼다"는 인과관계를 입증하기가 까다롭다.
그래서 정황 증거가 중요하다. 유출 직후 생긴 낯선 대출이나 결제에, 유출된 바로 그 항목(주민번호, 계좌, 신분증 사본 등)이 그대로 쓰인 흔적이 남아 있으면 인과관계 주장이 힘을 얻는다. 반대로 시점이 한참 떨어져 있거나 다른 경로로도 샐 수 있는 정보라면 연결 짓기 어렵다. 피해가 의심되는 순간의 기록을 남겨 두는 것이 입증의 출발점이다.
집단·단체 대응, 무엇이 다른가
혼자 소송하기 부담스럽다면 공동 대응을 떠올리게 된다. 다만 방식마다 요건과 가능한 청구가 다르다.
| 방식 | 요건 | 손해배상 | 특징 |
|---|---|---|---|
| 개별 분쟁조정 | 제한 없음 | 가능 | 무료, 기업이 수락해야 성립 |
| 집단분쟁조정 | 50인 이상·공통 쟁점 | 가능 | 공고기간 중 추가 참가 가능 |
| 단체소송 | 100명 이상 요청 | 불가 | 금지 청구만, 변호사 선임 필요 |
눈여겨볼 점은 단체소송으로는 금전 배상을 받을 수 없다는 것이다. 개인정보보호위원회가 단체소송에 손해배상을 넣는 방안을 2026년 접고 법무부 중심의 집단소송제로 방향을 틀었기 때문에, 돈을 돌려받는 길은 당분간 개별 소송이나 분쟁조정이 현실적이다. 실제로 한 통신사 유출 사건에서는 분쟁조정위가 1인당 30만 원 배상을 권고했지만 기업이 거부해 소송으로 넘어갔다.
지금 보관해둘 증거와 청구 경로
소송 여부를 정하기 전에 할 일은 증거를 흩어지지 않게 모으는 것이다.
- 유출 안내 문자·이메일·앱 화면을 캡처하고 수신일을 기록
- 스미싱, 명의도용, 모르는 결제 등 2차 피해가 생기면 그 내역과 발생 시점을 함께 저장
- 해당 서비스 가입·계약 정보, 어떤 항목이 유출됐는지 안내문 보관
경로는 개인정보보호 종합포털(privacy.go.kr)의 분쟁조정부터 확인하는 게 비용 면에서 가볍다. 50명 이상이 같은 사건으로 묶이면 집단분쟁조정도 신청할 수 있다. 다만 배상 여부와 금액은 사건마다 다르게 판단되므로, 구체적 요건은 개인정보보호위원회나 변호사를 통해 확인하는 편이 안전하다. 지금 당장은 통지를 지우지 말고 증거부터 남겨 두는 것이 가장 확실한 대비다.