금융정보 유출 배상, 인정되는 경우와 청구 순서
금융위는 10월 14일 침해 사고가 확인된 금융사가 16곳으로 늘었다고 밝혔고, 산은캐피탈에서만 고객 848명의 주민등록번호 등이 유출됐다. 그러나 유출 사실만으로 손해배상이 자동 인정되지는 않으며, 법원은 유출 정보의 민감도와 실제 2차 피해를 함께 따진다. 통지서의 유출 항목과 2차 피해 증거를 먼저 확보한 뒤 분쟁조정과 소송 중 자신에게 맞는 경로를 선택해야 한다.
유출 통지를 받았다면, 먼저 '무엇이' 나갔는지 본다
개인정보가 유출됐다고 해서 곧바로 배상이 보장되지는 않는다. 법원은 유출 사실 자체보다 그로 인해 실제 손해가 생겼는지를 따진다. 그래서 통지서에 적힌 유출 항목부터 확인하는 것이 순서다.
금융위원회가 10월 14일 밝힌 금융권 침해 사고에서는 피해가 확인된 금융사가 16곳으로 늘었고, 빠져나간 개인정보는 약 10만 건으로 추산됐다. 산은캐피탈에서는 고객 848명의 성명과 주민등록번호, 생년월일이 노출됐다. 당국이 555개 회사에 자체 점검을 요구했더니 130곳(23.4%)이 보완이 필요하다고 보고했다.
유출된 정보의 종류는 뒤에 배상액을 가르는 핵심 변수가 된다. 주민등록번호처럼 바꾸기 어렵고 민감한 정보일수록 법원이 손해를 인정할 여지가 커진다. 반대로 이메일 주소 하나라면 그 자체만으로 위험하다고 보기는 어렵다.
손해를 어떻게 입증하나
Photo by Colin Lloyd on Unsplash
소송에서 가장 높은 벽은 손해 입증이다. 통장에서 돈이 빠져나간 금전 피해는 증명하기 쉽지만, 대부분의 유출 피해는 "불안하다"는 정신적 손해로 귀결되는데 이걸 숫자로 입증하기가 어렵다.
개인정보보호법 제39조의2의 법정손해배상 제도가 이 부담을 덜어준다. 손해액을 구체적으로 증명하지 못해도 1인당 300만 원 이하 범위에서 법원이 상당한 금액을 정할 수 있다. 다만 300만 원은 상한일 뿐, 실제 인정액은 그보다 훨씬 낮은 경우가 많다.
고의나 중대한 과실로 유출한 기업에는 징벌적 손해배상도 청구할 수 있다. 실제 손해액의 몇 배를 물리는 제도다. 기준이 되는 손해액 자체가 작으면 배수를 곱해도 최종 금액이 크게 늘지는 않는다는 한계가 있다.
분쟁조정과 소송, 어느 쪽이 맞나
피해자가 택할 수 있는 민사 경로는 크게 두 갈래다. 개인정보 분쟁조정위원회에 조정을 신청하는 방법과, 법원에 손해배상 소송을 내는 방법이다. 가해자 처벌을 원하면 형사고소를 따로 진행할 수 있다.
| 구분 | 분쟁조정 | 민사소송 |
|---|---|---|
| 비용·기간 | 부담 적고 비교적 빠름 | 비용·시간 큼 |
| 결정 효력 | 성립 시 재판상 화해와 동일 | 확정판결 |
| 적합한 경우 | 소액·다수 피해 | 조정안 불만족·금전피해 큼 |
조정이 성립하면 재판상 화해와 같은 효력이 생겨, 같은 사안으로 다시 소송을 걸 수 없다. 피해자가 많을 때는 집단분쟁조정을 쓸 수 있는데, 개시가 의결되면 14일간 공고한 뒤 그다음 날부터 60일 안에 조정을 마치도록 되어 있다(사정이 있으면 연장된다).
배상이 갈린 실제 지점
2014년 카드사 대규모 유출 사건에서 대법원은 1인당 10만 원 배상을 확정했다. 이름·주민등록번호·전화번호 같은 기본 정보가 유출된 경우 하급심은 대체로 20만 원 안팎을 인정해 왔다.
반대 방향의 판결도 있다. 2026년 1월 대법원은 약 40만 명의 정보가 해킹으로 빠져나간 사건에서 회사 측 손을 들어줬다. 유출 사실은 인정하되 배상할 만한 실질적 정신적 손해는 없다고 봤다. 근거는 비밀번호가 암호화돼 있었고, 이메일 주소만으로는 위험에 노출된다고 보기 어려우며, 제3자에게 넘어가 확산된 증거가 없고, 회사가 신속히 조치했다는 점이었다.
두 판결을 겹쳐 보면 기준이 드러난다. 유출된 정보가 얼마나 민감한지, 실제 2차 피해로 이어졌는지, 회사가 어떻게 대응했는지가 배상 여부를 가른다. 유출 통지만으로 소송을 서두르기보다 이 세 가지 증거를 먼저 확보하는 편이 현실적이다.
배상 가능성, 이렇게 점검한다
- 통지서의 유출 항목 확인: 주민등록번호·계좌·카드번호 같은 민감정보가 포함됐는가
- 2차 피해 증거 보관: 스미싱 문자, 명의도용 알림, 부정결제 내역을 캡처해 둔다
- 유출 시점과 통지받은 시점을 기록해 둔다
- 피해 금액이 작고 피해자가 많다면 집단분쟁조정부터 검토한다
- 금전 손해가 뚜렷하면 민사소송, 가해자 처벌을 원하면 형사고소를 함께 고려한다
정보가 유출됐다는 통지는 불쾌하지만, 그 자체가 곧 배상으로 이어지지는 않는다. 내 손에 남은 유출 항목과 피해 증거가 결국 배상의 크기를 정한다.