개인정보 유출 통지, 위자료 받는 조건
2026년 1월 대법원은 개인정보가 유출됐더라도 배상할 만한 정신적 손해가 없으면 기업이 위자료 책임을 면할 수 있다고 판단했다. 유출 사실만으로 자동 배상되지 않으며, 주민번호 같은 정보의 포함 여부와 2차 피해 정황이 인정 여부를 가른다. 통지문에서 유출 항목을 확인하고 증거를 모은 뒤, 소송보다 빠른 개인정보분쟁조정 신청을 검토하는 것이 현실적이다.
통지문을 받으면 세 가지부터 확인한다
금융사에서 "귀하의 개인정보가 유출됐다"는 통지를 받으면 불안이 먼저 밀려온다. 그러나 배상 가능성은 통지문 안의 세부 내용에서 갈린다.
먼저 유출된 항목을 본다. 이름과 이메일만 새어 나간 경우와 주민등록번호가 포함된 경우는 법적 무게가 전혀 다르다. 주민번호는 당사자가 바꿀 수 없는 정보라 법원이 피해 가능성을 더 무겁게 본다.
다음은 유출 시점과 사업자가 취한 조치다. 2026년 10월 금융위원회와 금융감독원 발표에 따르면, 이번 금융권 해킹으로 확인된 유출은 약 10만 건이며 성명·연락처·주민등록번호·이메일이 포함됐다. 당국은 계좌 비밀번호와 카드번호 유출은 확인되지 않았다고 설명했다. 통지문에 적힌 유출 항목이 이 설명과 일치하는지부터 맞춰봐야 한다.
유출됐다고 자동으로 배상되지는 않는다
Photo by Jonas Leupe on Unsplash
여기서 많은 사람이 오해한다. 유출 사실이 곧 배상으로 이어지지는 않는다.
2026년 1월 대법원은 약 40만 명의 정보가 유출된 사건에서 회사의 위자료 배상 책임을 인정하지 않았다. 개인정보보호법 제39조의2는 처리자에게 고의·과실이 있으면 300만 원 이하를 배상하도록 하는 법정손해배상 제도를 두고 있다. 입증 구조는 이렇다. 이용자가 유출 사실을 보이면, 기업이 "위자료로 배상할 만한 정신적 손해가 발생하지 않았다"는 점을 증명해야 책임을 면한다.
문제는 기업이 이 면책을 해낼 수 있다는 데 있다. 당시 대법원은 비밀번호가 암호화돼 있었고, 이메일만으로는 신원 식별이 어려우며, 사고 후 2년간 2차 피해가 확인되지 않은 점을 들어 배상할 손해가 없다고 봤다.
그래도 위자료가 인정되는 조건
그렇다면 어떤 경우에 배상이 인정될까. 대법원이 제시한 판단 요소는 유출된 정보의 종류, 제3자가 열람했거나 열람할 가능성, 정보의 확산 범위, 추가 피해 가능성, 사업자의 방지 조치 등이다.
핵심은 두 가지다. 바꿀 수 없는 정보가 샜는지, 그리고 스팸·보이스피싱·명의도용 같은 2차 피해 정황이 있는지다. 2019년 카드사 정보 유출 사건에서 대법원은 주민번호가 포함되고 제3자 열람 가능성이 있다는 점을 인정해 1인당 7만 원을 배상하도록 했다. 액수는 크지 않지만, 유출 항목이 무겁고 2차 피해 우려가 있으면 배상의 문이 열린다는 뜻이다.
주민번호가 포함된 이번 금융권 유출은 2026년 1월 판결의 사안보다 피해 가능성을 다툴 여지가 크다. 다만 실제 인정 여부는 결국 2차 피해 정황을 얼마나 입증하느냐에 달려 있다.
소송보다 빠른 길, 분쟁조정
개별 소송은 2~3년, 길게는 수년이 걸린다. 그래서 현실적인 선택지가 개인정보분쟁조정위원회를 통한 조정이다.
2025년 11월, 분쟁조정위원회는 SK텔레콤 유심 해킹 피해자에게 1인당 30만 원을 배상하라고 결정했다. 신청 인원은 3,998명이었다. 위원회는 25종의 정보가 유출됐고, 복제 피해 불안과 유심 교체 과정의 불편을 정신적 손해로 인정했다. 앞선 법원의 통상 인정액보다 높은 수준이다.
조정은 성립하면 재판상 화해와 같은 효력을 갖는다. 다만 신청인과 기업 어느 한쪽이라도 조정안을 받아들이지 않으면 성립하지 않는다. 실제로 SK텔레콤은 결정 직후 수락 여부를 신중히 검토하겠다는 입장을 밝혔다. 조정이 만능은 아니라는 뜻이다. 그래도 비용과 시간 부담이 적어 먼저 시도해볼 만하다.
지금 해둘 일: 증거부터 챙긴다
배상 여부가 2차 피해 정황으로 갈리는 만큼, 통지를 받은 날부터 할 일은 정해져 있다.
- 통지문을 캡처하거나 저장한다. 유출 항목과 시점이 기록된 유일한 증거다.
- 유출 이후 늘어난 스팸 문자, 모르는 번호의 전화, 보이스피싱 시도를 날짜와 함께 기록·캡처한다.
- 명의도용이 의심되면 금융결제원 계좌정보통합관리나 신용조회로 본인 명의 계좌·대출 개설 여부를 확인한다.
- 증거가 모이면 개인정보분쟁조정위원회에 조정을 신청한다. 신청 후 절차 개시 공고가 나고, 공고 종료일부터 60일 안에 처리된다.
유출 통지는 그 자체로 손해가 확정됐다는 뜻이 아니다. 하지만 아무것도 하지 않으면 나중에 2차 피해가 생겼을 때 이를 입증할 근거가 남지 않는다. 통지를 받았다면, 불안해하기보다 기록부터 남겨두는 편이 현실적이다.