계좌 유출, 실제 피해 없어도 배상받는 순서
개인정보보호법상 계좌번호 등이 유출되면 기업은 유출을 안 때부터 통지·신고해야 하고, 피해자는 분쟁조정이나 소송으로 배상을 청구할 수 있다. 2025년 11월 SK텔레콤 사건에서 분쟁조정위는 실제 금전 피해가 없는 신청인에게도 불안감과 조치 불편을 정신적 손해로 보아 1인당 30만 원을 권고했다. 통지문과 조치 비용 증거를 먼저 모은 뒤, 유출 항목과 피해 규모에 따라 분쟁조정부터 할지 소송까지 갈지 판단하면 된다.
유출 통지문부터 뜯어봐라
계좌번호가 유출됐다는 문자나 메일을 받았다면 그 통지문이 첫 번째 증거다. 개인정보보호법 제34조는 기업이 유출 사실을 알게 된 때부터 정보주체에게 통지하고 개인정보보호위원회나 한국인터넷진흥원(KISA)에 신고하도록 정한다. 기준 시점은 '안 때'이지 내부 조사를 끝낸 때가 아니다.
통지문에는 유출 항목, 시점과 경위, 기업이 취한 조치, 담당 부서 연락처가 담겨야 한다. 계좌번호 같은 고유식별정보가 포함됐거나 1천 명 이상이 유출된 경우, 해킹 등 외부 불법 접근에 의한 경우는 모두 신고 대상이다. 신고하지 않은 기업에는 3천만 원 이하의 과태료가 따로 부과된다.
청구보다 증거 보관이 먼저다
Photo by Jamie Street on Unsplash
배상을 받으려면 무엇이 유출됐고 그래서 내가 무엇을 했는지가 남아야 한다. 통지문 원본, 화면 캡처, 계좌 변경이나 카드 재발급에 쓴 시간과 비용을 모은다.
이 기록이 금액을 가른다. 대법원은 개인정보 유출의 정신적 손해를 인정할 때 정보가 실제로 열람·확산·회수됐는지 등 구체적 사정을 종합해 판단한다고 밝힌 바 있다(2011다59834). 막연히 불안했다는 말보다 유심을 교체했고 계좌를 바꿨다는 구체적 기록이 더 힘을 가진다.
분쟁조정과 소송, 두 갈래 길
청구 경로는 크게 둘이다.
| 구분 | 분쟁조정 | 소송 |
|---|---|---|
| 신청처 | 분쟁조정위(kopico.go.kr) | 법원 |
| 비용·기간 | 적고 빠름 | 많고 김 |
| 특징 | 기업 거부 시 불성립 | 법정손배 300만원·징벌 5배 |
분쟁조정은 개인정보보호법 제43조에 근거하며 상담은 국번 없이 118로 받는다. 조정안을 받은 날부터 15일 안에 수락해야 하고, 한쪽이라도 거부하면 성립하지 않는다. 기업이 끝까지 거부하면 강제력이 없다는 점이 약점이다.
소송은 오래 걸리지만 근거가 넓다. 실제 손해를 입증하기 어려우면 법정손해배상(제39조의2)으로 300만 원 한도에서 청구할 수 있다. 기업의 고의나 중대한 과실이 인정되면 손해액의 최대 5배까지 물을 수 있는데, 이 징벌적 배상은 2023년 개정으로 3배에서 5배로 올랐다(제39조 제3항).
실제 피해가 없어도 받을 수 있을까
결론부터 말하면, 돈을 뜯기는 2차 피해가 없어도 청구는 가능하다.
2025년 11월 개인정보 분쟁조정위원회는 SK텔레콤 유출 사건에서 신청인 3,998명(집단분쟁과 개인 신청 합산)에게 1인당 30만 원을 배상하라고 권고했다. 위원회는 보호조치 의무를 지키지 못해 25종의 정보가 유출된 점, 악용 우려로 인한 불안감, 유심 교체 과정의 불편을 정신적 손해로 인정했다. 금전 피해가 아니라 유출 그 자체의 불안과 뒷수습의 수고가 배상 대상이 된 셈이다.
다만 금액은 크지 않다. 과거 카드사 유출 소송에서 이름·전화번호 유출은 통상 20만 원 안팎으로 인정됐고 SKT 사례도 30만 원이었다.
현실적 기준은 이렇다. 계좌번호처럼 금전과 직결된 정보가 유출됐고 조치에 실제 비용과 시간을 썼다면, 그 기록을 갖춰 분쟁조정부터 신청하는 편이 낫다. 반대로 이메일 주소 하나가 유출된 정도라면 소송 비용을 감수할 실익은 크지 않다.
지금 할 수 있는 것
- 통지문을 저장하고 유출 항목과 시점을 확인한다.
- 금전 정보가 포함됐다면 즉시 비밀번호를 바꾸고 필요하면 계좌를 변경한 뒤 비용과 시간을 기록한다.
- 화면 캡처, 영수증 등 조치 증거를 한곳에 모은다.
- kopico.go.kr 또는 118로 분쟁조정을 먼저 상담한다.
- 피해가 크면 법정손해배상과 징벌적 배상을 염두에 두고 소송을 검토한다.