개인정보 유출 배상, 회사 보상금이 전부 아니다

10만원 보상금은 법이 정한 금액이 아니다

제주항공이 고객 100여 명의 이름과 여권번호가 인터넷에 노출된 사고를 확인하고, 피해자에게 여권 재발급 비용을 전액 부담하고 별도로 1인당 10만원의 보상금을 지급하기로 했다. 언론 보도에 따르면 네이버 검색창에 '제주항공'과 특정 편명을 넣으면 예약자 이름과 여권번호가 검색 결과에 뜨는 상태였고, 회사는 8월 5일 이를 확인해 페이지를 차단한 뒤 7일 개인정보보호위원회에 신고했다.

여기서 헷갈리기 쉬운 부분이 있다. 이 10만원은 개인정보보호법이 "유출 시 10만원을 줘라"고 정해둔 금액이 아니다. 회사가 소송으로 가기 전에 먼저 제시한 자율적 합의금에 가깝다. 재발급 비용 지원도 마찬가지로 회사가 책임을 인정하고 실비를 메워주는 조치다. 법이 정한 손해배상은 이것과 별개의 트랙으로 존재한다.

회사가 배상 책임을 지는 근거

Photo by Raghavendra Mithare on Unsplash

개인정보보호법 제39조는 개인정보 유출로 손해를 입은 사람이 회사에 손해배상을 청구할 수 있다고 정한다. 이 조항의 핵심은 입증 책임을 뒤집어 놓았다는 점이다. 보통의 민사소송은 피해자가 상대방의 잘못을 증명해야 하지만, 이 경우에는 회사가 "우리는 고의도 과실도 없었다"는 점을 스스로 입증하지 못하면 책임을 벗지 못한다.

소비자 입장에서 회사의 내부 보안 관리가 부실했는지 일일이 캐내기는 어렵다. 그 부담을 회사 쪽에 지운 것이라, 유출 사실 자체가 확인되면 피해자가 배상을 받을 가능성이 그만큼 높아진다.

손해액을 증명하기 어려울 때: 법정손해배상 300만원

유출은 됐는데 "그래서 내가 얼마를 손해 봤느냐"를 숫자로 대기는 쉽지 않다. 여권번호가 새어 나갔다고 당장 통장에서 돈이 빠지는 것은 아니기 때문이다.

이럴 때 쓰는 것이 제39조의2 법정손해배상제도다. 피해자가 구체적인 손해 금액을 증명하지 못해도, 법원이 위자료 성격으로 300만원 한도 안에서 배상액을 정할 수 있다. 실제 인정되는 금액은 유출된 정보가 얼마나 민감한지, 2차 피해가 있었는지에 따라 갈린다. 법률 상담 자료를 보면 단순 유출은 10만원대에서 30만원 안팎, 여권번호처럼 민감한 정보가 새면 50만~100만원 이상, 보이스피싱이나 명의도용 같은 실제 악용까지 입증되면 100만원에서 300만원 선까지 올라간다.

이 기준에 비추면 제주항공이 제시한 10만원은 단순 유출 구간의 하단에 해당한다. 여권번호가 포함됐다는 점을 감안하면, 소송으로 다툴 경우 더 받을 여지가 있다는 계산이 나온다. 다만 이는 개별 사정과 2차 피해 입증 여부에 크게 좌우되므로 단정하기는 어렵다.

5배까지 물릴 수 있는 경우

회사가 단순 실수가 아니라 고의 또는 중대한 과실로 정보를 흘렸다면 이야기가 달라진다. 제39조 제3항은 이 경우 실제 손해액의 5배를 넘지 않는 범위에서 징벌적 배상을 물릴 수 있게 해두었다. 다만 '중대한 과실'의 문턱이 높아, 보안 조치를 아예 방치한 수준이 입증되어야 적용되는 예외적 장치다. 대부분의 유출 사고는 앞서 본 일반 배상과 법정손해배상의 범위에서 다뤄진다.

추가로 청구하려면 무엇을 챙겨야 하나

회사가 준 보상금을 받았더라도, 그 금액이 실제 피해에 못 미친다고 판단하면 별도로 손해배상을 청구할 수 있다. 준비할 것은 정해져 있다.

• 유출 사실 증빙: 회사의 사과문, 유출 통지 문자나 이메일을 캡처해 보관한다.
• 2차 피해 기록: 유출 이후 스팸·스미싱 문자, 낯선 인증번호, 보이스피싱 시도를 날짜별로 정리한다. 이 기록이 배상액을 좌우한다.
• 정보의 민감도: 여권번호, 주민등록번호처럼 재발급이 번거롭거나 도용 위험이 큰 정보일수록 인정액이 올라간다.

받은 보상금이 실제 피해 수준과 비슷하다고 느껴지면 그대로 정리하는 편이 낫고, 명의도용 같은 구체적 피해가 이미 벌어졌다면 법정손해배상 청구를 검토할 만하다. 판단의 기준은 결국 "새어 나간 정보로 실제 어떤 일이 벌어졌는가"에 있다.

출처

1. 제주항공, 고객 100여 명 여권 번호 유출…재발급 비용·인당 10만 원 보상
2. 제주항공 고객 100여명 개인정보 노출…여권 재발급·10만원 보상
3. 개인정보 유출, 손해배상 받는 방법 (현실적 배상액 공개)
4. 개인정보 보호법 제39조의2(법정손해배상의 청구)