공공기관 정보 유출, 배상 청구의 조건과 한계
공공기관도 개인정보보호법상 '개인정보처리자'라 유출 시 손해배상을 청구할 수 있고, 유출 사실만 증명하면 300만원 이하 법정손해배상도 가능하다. 다만 대법원은 정신적 손해가 없는 게 분명하면 배상 책임이 없다고 봤고 그간 인정된 1인당 위자료도 수만~수십만 원대에 그쳐 실제 손에 쥐는 돈은 크지 않다. 특히 공공기관은 손해배상책임보험 의무가입에서 빠진 곳이 많아 집단 승소해도 집행이 불확실한 만큼, 유출 통지문과 2차 피해 기록 같은 증거부터 확보해 청구 실익을 따져야 한다.
공공기관이 내 정보를 흘렸다면, 청구할 길은 있다
공공기관이나 정부 산하기관에서 개인정보가 새어 나갔다는 소식이 잇따른다. 이런 뉴스를 보면 "민간 회사도 아니고 국가 기관이 흘렸는데, 나는 배상을 받을 수 있나"라는 의문이 먼저 든다. 결론부터 말하면 청구할 근거는 분명히 있다. 공공기관도 개인정보보호법상 개인정보를 다루는 '개인정보처리자'에 포함되기 때문이다.
핵심 무기는 두 가지다. 개인정보보호법 제39조는 법 위반으로 손해가 생기면 배상하도록 하고, 제39조의2(2015년 신설)는 유출 사실만 증명하면 손해액을 일일이 입증하지 않아도 300만원 이하에서 법정손해배상을 청구할 수 있게 한다. 피해자에게 상당히 유리한 구조다.
민간 유출과 공공기관 유출, 근거가 어떻게 다른가
Ron Lach
둘의 출발점은 같다. 민간 기업이든 공공기관이든 개인정보보호법으로 청구한다. 이 법의 특징은 입증책임이 뒤집혀 있다는 점이다. 보통 민사소송은 피해자가 상대의 과실을 증명해야 하지만, 여기서는 개인정보처리자가 "우리는 고의도 과실도 없었다"는 걸 스스로 증명해야 책임을 면한다.
| 구분 | 민간 기업 유출 | 공공기관 유출 |
|---|---|---|
| 기본 근거 | 개인정보보호법 | 개인정보보호법 |
| 입증책임 | 처리자가 무과실 증명 | 동일 |
| 추가 경로 | 없음 | 국가배상법 거론 가능 |
| 배상 재원 | 회사·책임보험 | 보험 공백 많음 |
공공기관에만 열려 있는 추가 경로가 국가배상법이다. 공무원이 직무를 집행하다 고의나 과실로 법령을 어겨 손해를 입혔다면 국가나 지자체를 상대로 배상을 청구할 수 있다. 다만 이 길은 '어떤 공무원이 어떤 직무상 과실을 저질렀는지'를 특정해야 해 문턱이 높고, 실무에서는 개인정보보호법에 따른 청구가 중심이 된다.
그런데 대법원은 "손해 없으면 배상 없다"고 했다
근거가 있다고 다 받는 건 아니다. 2026년 초 알려진 대법원 판단(2023다311184)이 분수령이다. 2021년 한 사이트가 해킹당해 약 40만 명의 정보가 샜지만, 대법원은 처리자가 "정신적 손해가 발생하지 않았음"을 증명하면 법정손해배상 책임을 면할 수 있다고 봤다. 이 사건에서는 비밀번호가 암호화돼 있었고 이메일 주소만으로는 신원 식별이 어려웠으며, 2년이 넘도록 2차 피해가 확인되지 않았다는 점이 받아들여졌다.
대법원은 위자료를 인정할지 판단할 때 일곱 가지를 종합하라고 제시했다. 유출된 정보의 종류와 성격, 신원이 식별될 가능성이 생겼는지, 제3자가 열람했거나 앞으로 열람할 가능성, 정보가 퍼진 범위, 추가 피해 가능성, 기관의 관리 상태와 유출 경위, 그리고 사고 후 확산을 막는 조치를 했는지다. 바꿔 말하면, 주민등록번호나 계좌처럼 민감한 정보가 암호화 없이 널리 퍼지고 실제 피해까지 생겼다면 배상 가능성이 올라간다.
이겨도 손에 쥐는 돈은 적다, 특히 공공기관은
실제 금액은 기대보다 작다. 그간 법원이 인정한 1인당 위자료는 대체로 수만 원에서 수십만 원 선에 그쳤다. 담당자의 단순 과실이었다거나, 전산망 유출을 기술적으로 완벽히 막기 어렵다거나, 사고 직후 접속 차단·비밀번호 강제 변경 같은 조치를 신속히 했다는 사정이 감액 사유로 작동한다.
공공기관에는 함정이 하나 더 있다. 손해배상책임보험 의무가입 기준이 매출과 이용자 수로 정해져 있어 중앙정부기관 상당수가 대상에서 빠진다. 한 지역신문 보도를 보면, 올해 약 48만 건을 유출한 농촌진흥청은 책임보험이 없었고 이듬해 예산에도 반영되지 않았다. 국민연금공단처럼 가입한 곳도 한도가 10억원 수준인데, 가입자 약 2000만 명의 정보가 전부 샜다고 가정하면 1인당 돌아갈 수 있는 돈은 약 50원에 불과하다는 계산이 나온다. 집단소송에서 이겨도 받아낼 재원 자체가 얇다는 뜻이다.
유출 통지를 받았다면, 이 순서로 움직인다
보상 여부를 가르는 건 결국 '실제 피해를 얼마나 입증하느냐'다. 감정만으로는 위자료가 잘 인정되지 않는다.
- 증거부터 보관한다: 유출 통지문, 어떤 항목이 샜는지(주민등록번호·계좌·연락처 등), 통지 날짜를 캡처하거나 출력해 둔다.
- 2차 피해를 기록한다: 유출 이후 늘어난 스팸, 보이스피싱 시도, 명의도용 흔적을 날짜와 함께 남긴다. 이게 위자료 인정의 핵심 근거가 된다.
- 청구 방식을 고른다: 혼자 소액을 다투기보다 같은 피해자들과 집단소송을 하거나, 손해액 입증이 어렵다면 300만원 이하 법정손해배상을 활용한다.
- 실익을 따진다: 민감정보가 샜고 실제 피해가 있다면 적극적으로 청구할 만하다. 반대로 암호화돼 있었거나 추가 피해가 없다면, 대법원 기준상 배상이 소액에 그치거나 인정되지 않을 수 있다는 점을 미리 감안한다.
공공기관이 흘린 내 정보에 대한 배상은 "되느냐 안 되느냐"의 문제가 아니라 "무엇을 입증해 얼마를 받느냐"의 문제다. 뉴스의 분노와 별개로, 증거를 먼저 챙기는 쪽이 실익을 가져간다.