내 정보 노출됐을 때 배상, 분쟁조정부터 따져보기

'노출됐다'는 사실만으로 배상되지 않는다

이름과 소속, 전화번호가 외부에 노출됐다는 통지를 받으면 먼저 떠오르는 질문은 하나다. 배상을 받을 수 있나. 결론부터 보면 노출 사실 자체가 곧바로 배상으로 이어지지는 않는다.

대법원은 2026년 1월 14일, 2021년 해킹으로 40만여 명의 정보가 유출된 사건에서 개인정보처리자가 '위자료로 배상할 만한 정신적 손해가 발생하지 않았다'는 점을 스스로 증명하면 손해배상 책임을 면할 수 있다고 판단했다. 이 사건에서 유출된 비밀번호는 암호화돼 있었고 이메일 주소만으로는 당사자를 특정하기 어려웠다. 대법원은 스팸메일이나 보이스피싱 걱정 정도로는 배상 대상인 정신적 손해로 보지 않았다. 막연한 불안감만으로는 배상 책임이 성립하지 않는다는 뜻이다.

배상을 가르는 여섯 가지 기준

Photo by Romain Dancre on Unsplash

그렇다면 법원은 무엇을 보고 배상 여부를 정할까. 대법원이 정신적 손해가 있었는지 판단할 때 고려한 요소는 대체로 여섯 가지다.

• 유출된 정보의 종류와 성격
• 그 정보로 당사자를 식별할 수 있는지
• 제3자가 실제로 열람했거나 앞으로 열람할 가능성이 있는지
• 정보가 얼마나 넓게 퍼졌는지
• 추가적인 법익 침해로 이어질 가능성이 있는지
• 기업이 평소 개인정보를 어떻게 관리했는지

이 기준에 비춰 보면 이름·소속·전화번호처럼 민감정보가 빠진 노출은 배상 인정의 문턱이 상대적으로 높다. 반대로 주민등록번호나 계좌·카드 정보가 포함되고, 정보가 불특정 다수에게 퍼졌으며, 실제 열람·악용 정황이 있다면 배상 가능성과 금액이 모두 올라간다. 내 사례가 어느 쪽에 가까운지부터 따져 보는 것이 출발점이다.

손해액 입증이 어렵다면, 법정손해배상

개인정보 유출 피해의 가장 큰 벽은 내가 얼마를 손해 봤는지 숫자로 증명하기 어렵다는 점이다. 이를 덜어 주는 장치가 개인정보보호법 제39조의2의 법정손해배상이다. 기업의 고의나 과실로 개인정보가 분실·도난·유출·위조·변조·훼손된 경우, 구체적 손해액을 입증하지 않아도 300만 원 이하 범위에서 상당한 금액을 청구할 수 있다.

주의할 점이 있다. 이 제도도 손해가 전혀 없는 경우까지 배상하라는 취지는 아니다. 앞의 여섯 기준에 비춰 정신적 손해가 인정돼야 하고, 금액은 법원이 사건별 사정을 따져 재량으로 정한다. 300만 원은 상한이지 받게 될 금액이 아니다.

소송보다 먼저 쓸 수 있는 분쟁조정

비민감 정보 노출로 받을 수 있는 배상액이 크지 않다면, 시간과 비용이 드는 소송이 늘 답은 아니다. 먼저 개인정보 분쟁조정위원회(kopico.go.kr)에 조정을 신청하는 길이 있다. 온라인이나 서면으로 접수할 수 있고, 위원회는 당사자 간 자율적 합의를 먼저 권고한 뒤 합의가 안 되면 손해배상·침해 중지 등을 담은 조정안을 제시한다.

조정은 소송보다 절차가 간단하고 비용 부담이 적다는 것이 장점이다. 다만 양 당사자가 조정안을 받아들여야 효력이 생기므로, 기업이 수용하지 않으면 결국 소송으로 가야 할 수 있다는 점은 감안해야 한다.

피해자가 많다면 집단분쟁조정

같은 사고로 피해를 본 사람이 많을 때는 집단분쟁조정이 효율적이다. 피해를 입은 정보주체가 50명 이상이고 사건의 핵심 쟁점이 공통되면 신청할 수 있다. 위원회가 의결로 절차를 개시하면 홈페이지나 일간지에 14일 이상 개시 사실을 공고하고, 처음에 참가하지 않았던 피해자도 공고 기간 안에 문서로 참가를 신청할 수 있다.

혼자 소액을 다투는 대신 같은 사고의 피해자들이 한 번에 조정을 받는 구조라, 대규모 노출 사고에서 개인이 들이는 품을 크게 줄여 준다. 내가 받은 통지가 수만 명 규모의 사고라면 개별 소송보다 이 경로를 먼저 알아보는 편이 현실적이다.

지금 준비해 둘 것

배상을 받든 못 받든 판단의 근거는 결국 자료다. 노출 통지 문자와 이메일 원문, 어떤 정보가 노출됐다고 했는지 캡처, 노출 기간과 삭제 시점에 대한 기업 발표를 모아 두자. 실제 피싱 문자나 사칭 연락을 받았다면 그 기록도 남겨 둔다. 이름·전화번호만 노출된 사안이라면 큰 배상을 기대하기는 어렵지만, 정보가 널리 퍼졌거나 2차 피해가 확인되면 이야기가 달라진다. 기대치는 현실에 맞추되 입증 자료는 지금 챙겨 두는 것이 안전하다.

출처

1. 대법 "개인정보 유출됐어도 손해 없다 증명하면 법정손배책임 없다"
2. 개인정보 집단분쟁조정 절차 (개인정보보호위원회)
3. 개인정보 분쟁조정 제도의 의의 (개인정보분쟁조정위원회)
4. 개인정보 유출 손해액 입증 안 해도 배상 받는다 (정책뉴스)