개인정보 유출 통지 받았다면, 배상 청구 이렇게

유출 통지를 받았다면 먼저 확인할 세 가지

2026년 8월 15일 서강대학교는 학번, 성명, 소속, 이메일, 휴대전화번호, 암호화된 통합 로그인 비밀번호 등 약 18만 건의 개인정보가 외부 공격으로 유출됐다고 밝혔다. 이런 통지를 받았다면 배상을 따지기 전에 확인할 것이 있다.

개인정보처리자는 유출 사실을 알게 되면 지체 없이, 시행령상 72시간 이내에 정보주체에게 알려야 한다. 이 통지에는 유출된 항목, 유출 시점과 경위, 처리자의 대응 조치, 피해 구제 절차, 신고를 접수할 담당 부서와 연락처가 담긴다. 사람마다 유출된 항목이 다를 수 있으므로, 내 통지문에 적힌 항목이 무엇인지부터 정확히 봐야 한다.

당장 할 일은 두 가지다. 유출된 비밀번호와 같은 비밀번호를 다른 사이트에서 쓰고 있다면 즉시 바꾼다. 그리고 이메일과 휴대전화가 유출된 만큼, 이후 오는 피싱 문자나 사칭 연락을 의심하고 이상 거래 알림을 켜 둔다.

손해배상, 받을 수 있지만 금액은 다른 문제

Photo by Jonas Leupe on Unsplash

청구 자체는 어렵지 않다. 개인정보보호법 제39조의2는 법정손해배상을 두고 있어, 유출로 인한 구체적 손해액을 정보주체가 입증하지 못해도 300만 원 이하 범위에서 배상을 청구할 수 있다. 처리자가 자신에게 고의나 과실이 없었음을 입증하지 못하면 책임을 진다.

문제는 실제로 인정되는 금액이다. 유출됐다는 사실만으로 인정되는 정신적 손해는 크지 않다. 보이스피싱이나 명의도용 같은 2차 피해가 실제로 발생하고 그것이 유출과 연결됨을 보여야 배상액이 올라간다. 2001년 삼성생명 개인정보 무단제공 사건에서 법원이 1인당 위자료 200만 원을 인정한 사례가 있지만, 이는 예외적으로 높은 편에 속한다. 반대로 대형 유출에서 회사가 요구되는 안전조치 의무를 다했다고 판단돼 배상책임이 부정된 경우도 있다.

정리하면, 300만 원은 상한이지 기준액이 아니다.

집단분쟁조정과 개인 소송, 무엇이 현실적일까

혼자 민사소송을 걸면 시간과 비용이 배상액을 넘어서기 쉽다. 그래서 개인 피해자에게는 개인정보 분쟁조정위원회의 집단분쟁조정이 더 현실적인 선택지다. 같은 사건의 피해자가 50명 이상이면 신청할 수 있고, 소송보다 빠르고 비용 부담이 적다.

18만 명 규모라면 인터넷 커뮤니티나 피해자 모임을 통해 집단분쟁조정이나 공동소송이 조직될 가능성이 크다. 조정 결과에 동의하지 못하면 그때 개별 소송으로 갈 수 있으니, 우선 조정 절차를 지켜보는 편이 부담이 적다.

다만 조정은 강제력이 약하다는 한계가 있다. 처리자가 조정안을 받아들이지 않으면 결국 소송으로 이어질 수 있다는 점은 감안해야 한다.

청구 전에 챙겨야 할 증빙

배상 청구에서 가장 먼저 잃기 쉬운 것이 통지문 자체다. 문자나 이메일로 온 유출 통지를 캡처해 날짜와 함께 보관한다. 이것이 유출 사실과 시점을 증명하는 기본 자료다.

다음은 2차 피해의 흔적이다. 유출 이후 급증한 스팸 문자, 내 정보를 아는 척하는 피싱 연락, 모르는 가입·결제 알림이 있다면 시점을 알 수 있게 저장한다. 금전 피해가 있었다면 거래내역과 신고 접수증을 함께 모은다.

• 유출 통지문(캡처, 수신일 포함)
• 비밀번호 변경 등 본인이 취한 조치 기록
• 유출 이후의 스팸·피싱·명의도용 정황
• 금전 피해가 있다면 거래내역과 신고 접수증

이 자료들이 있어야 "유출만 있었다"에서 "유출로 이런 피해까지 이어졌다"로 주장의 무게가 옮겨간다. 배상액을 가르는 것은 결국 이 연결고리다.

출처

1. 서강대, 18만명 개인정보 유출…박근혜 전 대통령도 포함(종합)
2. 개인정보 보호법 제39조의2(법정손해배상의 청구)
3. 개인정보 유출, 손해배상 받는 방법 (현실적 배상액 공개)
4. 개인정보 유출 사고 발생 시 대응 방법