개인정보가 유출됐는데 얼마를 배상받을 수 있을까 — 유출 피해자 위자료의 인정 기준과 청구 방법

"고객님의 개인정보가 외부로 유출된 사실이 확인되었습니다"라는 문자나 메일을 받고 나면, 처음에는 당황스럽다가 곧 화가 나고, 그다음에는 "그래서 나는 무엇을 받을 수 있나"라는 생각이 듭니다. 인터넷에는 소송에 참여하면 얼마를 받는다는 이야기가 떠돌지만, 막상 법원의 태도는 생각보다 까다롭습니다. 개인정보가 유출되었다는 사실 하나만으로 위자료가 당연히 인정되는 것은 아니기 때문입니다. 반대로, 요건만 갖추면 손해액을 일일이 증명하지 않고도 배상을 청구할 수 있는 제도도 법에 마련되어 있습니다. 이 글에서는 유출 피해자가 무엇을 근거로 얼마를 청구할 수 있는지, 법원은 어떤 기준으로 정신적 손해를 인정하는지, 그리고 소송과 분쟁조정 중 무엇을 택하는 것이 현실적인지 정리해 드립니다.

배상을 청구할 수 있는 근거는 세 갈래입니다

개인정보 유출 피해자가 손해배상을 청구하는 방법은 하나가 아닙니다. 개인정보 보호법은 성격이 다른 세 가지 청구권을 두고 있고, 어느 것을 택하느냐에 따라 증명해야 할 내용과 받을 수 있는 금액이 달라집니다.

① 일반 손해배상 — 잘못이 없다는 것을 기업이 증명해야 합니다

개인정보 보호법 제39조 제1항은 "정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 손해배상을 청구할 수 있고, 이 경우 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다"고 정하고 있습니다. 일반적인 불법행위 소송에서는 피해자가 상대방의 과실을 증명해야 하지만, 개인정보 유출에서는 그 부담이 뒤집혀 있는 것입니다.

기업 내부의 보안 설정이 어떠했는지, 접속기록을 어떻게 관리했는지는 피해자가 알 수 없는 영역입니다. 그 사정을 아는 쪽이 스스로 해명하도록 한 것이 이 조항의 취지입니다. 다만 뒤에서 보듯 기업이 "법령이 요구하는 안전조치를 다했다"고 증명하면 책임을 면할 수 있으므로, 이 조항이 곧바로 승소를 보장하지는 않습니다. 또한 이 방식으로 청구할 때는 손해가 실제로 발생했다는 점, 즉 정신적 고통을 겪었다는 점은 피해자 측이 주장·증명해야 합니다.

② 법정손해배상 — 300만 원 한도에서 손해액을 증명하지 않아도 됩니다

같은 법 제39조의2는 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우, 정보주체가 300만 원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있도록 하고 있습니다. 이때도 기업이 고의·과실 없음을 증명하지 못하면 책임을 면할 수 없습니다.

이 제도의 핵심은 손해액을 구체적으로 증명하지 않아도 된다는 점입니다. 개인정보 유출은 피해가 눈에 보이지 않고 금액으로 환산하기도 어렵기 때문에, 법원이 변론 전체의 취지와 증거조사 결과를 고려해 상당한 금액을 인정해 주도록 길을 열어 둔 것입니다. 실무적으로 유용한 점은, 제39조에 따라 소를 제기한 뒤에도 사실심 변론이 종결되기 전까지는 법정손해배상 청구로 바꿀 수 있다는 것입니다. 소송 과정에서 손해 입증이 어려워 보이면 청구를 전환하는 선택지가 남아 있는 셈입니다. 다만 '300만 원'은 어디까지나 상한이고, 실제 인정액이 그 근처까지 가는 경우는 거의 없다는 점은 미리 알고 계셔야 합니다.

③ 징벌적 손해배상 — 고의나 중대한 과실이면 손해액의 5배까지

제39조 제3항은 개인정보처리자의 고의 또는 중대한 과실로 개인정보가 유출되어 손해가 발생한 때에는 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있도록 하고 있습니다. 종전에 3배였던 한도가 강화된 것으로, 기업의 관리 부실에 실질적인 제재 효과를 주기 위한 규정입니다.

법원은 배상액을 정할 때 고의 또는 손해 발생 우려를 인식한 정도, 피해 규모, 기업이 위반행위로 얻은 경제적 이익, 부과된 벌금과 과징금, 위반행위의 기간과 횟수, 기업의 재산상태, 유출된 정보를 회수하기 위해 노력한 정도, 피해구제를 위해 노력한 정도를 함께 고려합니다. 여기서 눈여겨볼 대목은 회수 노력과 피해구제 노력이 감액 요소로 명시되어 있다는 점입니다. 유출 후 기업이 어떻게 대응했는지가 배상액에 직접 반영되는 구조입니다. 다만 '중대한 과실'은 통상의 부주의를 넘어 현저히 주의를 게을리한 경우를 말하므로, 단순한 보안 미비만으로 5배 배상이 인정되기는 쉽지 않습니다.

유출됐다고 곧바로 위자료가 나오지는 않습니다

많은 분들이 오해하시는 지점입니다. 개인정보 유출 소송에서 실제로 승패를 가르는 것은 "유출이 있었느냐"가 아니라 "그 유출로 정신적 고통이라는 손해가 실제로 발생했다고 볼 수 있느냐"입니다. 법원은 유출 사실이 인정되더라도 정신적 손해까지 당연히 발생한 것으로 보지는 않습니다.

법원이 종합적으로 따지는 사정들

판례는 개인정보 유출로 정신적 손해가 발생했는지를 판단할 때 다음과 같은 사정을 종합적으로 고려한다는 기준을 제시하고 있습니다.

• 유출된 개인정보의 종류와 성격 — 이름·이메일 정도인지, 주민등록번호·계좌번호·카드번호·여권번호 같은 고유식별정보나 금융정보인지, 건강·성생활 등 민감정보인지

• 확산의 범위 — 유출된 정보가 실제로 제3자에게 열람·유통되었는지, 아니면 유출 직후 회수되어 외부로 퍼지지 않았는지

• 추가적인 법익침해 가능성 — 명의도용, 보이스피싱, 스팸·스미싱 등 2차 피해로 이어질 위험이 실질적으로 존재하는지

• 관리 실태와 유출 경위 — 기업이 평소 개인정보를 어떻게 관리해 왔는지, 유출이 외부 해킹인지 내부자의 유출인지

• 피해 확산 방지를 위한 조치 — 통지·신고가 신속했는지, 정보 회수와 재발 방지에 어떤 조치를 했는지

• 법률상 의무 위반의 정도 — 안전조치의무 위반이 어느 정도로 중한지

인정된 사건과 부정된 사건은 어디에서 갈렸나

실제 대법원 사건들을 보면 결론이 갈린 지점은 비교적 뚜렷합니다.

배상이 부정된 사건들에서는 대체로 유출된 정보가 외부로 퍼지기 전에 회수되어 제3자가 실제로 열람한 적이 없었거나, 유출은 있었지만 기업이 당시 기술 수준에서 요구되는 보호조치를 갖추고 있었다고 판단되었습니다. 대규모 고객정보가 담긴 파일이 빠져나갔지만 수사기관이 신속히 확보해 유통되지 않은 사안, 그리고 외부의 정교한 해킹으로 정보가 유출되었으나 사업자가 고시가 정한 기술적·관리적 보호조치를 이행하고 있었다고 본 사안이 대표적입니다. "유출은 있었으나 손해는 없다" 또는 "유출은 있었으나 과실이 없다"는 것이 결론이었습니다.

반대로 배상이 인정된 사건들에서는 주민등록번호나 카드번호 같은 정보가 대량으로 유출되어 되돌릴 수 없는 상태가 되었거나, 기업이 애초에 정보를 부정한 방법으로 수집·제공했거나, 관리상의 허점이 명백해 유출이 예견 가능했다는 점이 인정되었습니다. 특히 주민등록번호처럼 평생 바뀌지 않고 본인 확인의 핵심으로 쓰이는 정보가 유출된 사안에서는 위험이 장기간 지속된다는 점이 정신적 손해를 인정하는 근거가 되어 왔습니다.

실제 인정되는 위자료는 얼마인가

가장 궁금하실 부분입니다. 결론부터 말씀드리면, 개인정보 유출로 배상이 인정된 사건에서 1인당 위자료는 대체로 10만 원 안팎이고, 사안에 따라 수만 원에서 30만 원 정도의 범위에서 정해져 왔습니다. 카드사에서 주민등록번호를 포함한 대량의 고객정보가 유출된 사건에서 1인당 10만 원 수준이 인정된 것이 실무의 기준점처럼 작용하고 있습니다.

기대에 못 미치는 금액이라고 느끼실 수 있습니다. 하지만 위자료는 '유출로 인해 겪은 불안과 번거로움' 자체에 대한 보상이지, 앞으로 생길지 모르는 피해를 미리 보상하는 것이 아니라는 것이 법원의 기본 시각입니다. 실제로 명의도용이나 금전 피해가 발생했다면 그것은 위자료와 별개의 재산상 손해로 따로 청구해야 합니다.

다만 개인 단위로는 소액이어도 피해자가 수십만·수백만 명에 이르면 기업이 부담하는 총액은 막대해집니다. 여기에 징벌적 손해배상까지 적용되면 규모는 더 커집니다. 그래서 개인정보 유출 사건은 개별 금액보다 집단적 대응의 규모가 협상력을 좌우하는 구조를 갖게 됩니다.

기업이 책임을 벗어나는 관문 — 안전조치의무를 다했는가

개인정보 보호법 제29조는 개인정보처리자에게 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 내부 관리계획 수립, 접근권한 통제, 접속기록 보관, 암호화 등 기술적·관리적·물리적 조치를 하도록 의무를 지우고 있습니다. 구체적인 기준은 시행령과 개인정보보호위원회 고시(개인정보의 안전성 확보조치 기준)에 상세히 규정되어 있습니다.

소송의 실질적 승부처는 바로 여기입니다. 판례는 사업자가 침해사고 당시 보편적으로 알려져 있던 정보보안 기술 수준, 업종과 영업 규모, 전체적인 보안조치의 내용, 보안 기술 도입에 드는 비용과 그로써 막을 수 있었던 피해의 정도, 관련 법령의 규정 등을 고려하여 사회통념상 합리적으로 기대 가능한 정도의 보호조치를 다하였는지를 기준으로 판단한다는 법리를 제시하고 있습니다. 인터넷은 본래 개방성을 전제로 하는 공간이어서 모든 침입을 막는 것이 불가능하다는 점도 함께 고려됩니다.

이 때문에 해킹으로 인한 유출 사건에서는 기업이 고시 기준을 지키고 있었다는 점을 들어 면책되는 경우가 적지 않았습니다. 반대로 접속기록을 남기지 않았거나, 퇴직자 계정을 방치했거나, 주민등록번호를 암호화하지 않고 저장했거나, 외주업체에 대한 관리·감독을 하지 않은 것처럼 고시가 명시적으로 요구하는 항목을 어긴 정황이 드러나면 과실 인정으로 곧장 이어집니다. 소송에서 개인정보보호위원회의 조사·처분 자료, 수사기록, 언론에 공개된 조사 결과가 결정적 역할을 하는 이유가 여기에 있습니다.

보이스피싱·명의도용 같은 2차 피해까지 배상받으려면

유출 이후 모르는 번호로 정확한 개인정보를 언급하는 전화를 받거나, 본인도 모르는 통신 가입·대출이 확인되는 경우가 있습니다. 이런 실제 금전 피해는 위자료와 별개의 재산상 손해이지만, 기업에 청구하려면 그 피해가 이번 유출 때문에 발생했다는 인과관계를 피해자 측이 보여야 합니다. 개인정보는 여러 경로로 유통되기 때문에 이 연결고리를 세우는 것이 실무상 가장 어려운 부분입니다.

그래서 다음과 같은 자료가 중요합니다. 사기 전화나 문자에서 해당 기업에만 제공했던 정보(그 회사에서만 쓰던 아이디, 거래내역, 회원번호 등)가 그대로 언급되었다는 점, 유출 시점과 피해 발생 시점이 근접하다는 점, 수사기관이 확보한 유출 데이터에 본인 정보가 포함되어 있다는 점 등입니다. 사기 피해를 입으셨다면 즉시 경찰에 신고하여 사건접수증을 확보하고, 통화 녹음·문자·계좌 이체 내역을 시간 순으로 남겨 두시는 것이 이후 청구의 기초가 됩니다.

유출 통지를 받은 뒤 해야 할 일

순서대로 정리하면 다음과 같습니다.

1. 통지 내용을 원문 그대로 보관합니다. 개인정보 보호법 제34조는 유출을 알게 된 때 지체 없이(시행령상 원칙적으로 72시간 이내) 유출된 항목, 유출 시점과 경위, 피해 최소화 방법, 기업의 대응조치와 피해구제 절차, 신고·상담 연락처를 정보주체에게 알리도록 하고 있습니다. 이 통지문은 뒤에 나올 소멸시효의 기산점이자 유출 사실을 증명하는 1차 자료이므로 캡처·인쇄해 두십시오.

2. '무엇이' 유출됐는지부터 확인합니다. 이름과 이메일만인지, 주민등록번호·계좌·카드번호·비밀번호까지 포함되었는지에 따라 대응의 강도와 배상 가능성이 완전히 달라집니다. 통지문에 불분명하게 적혀 있다면 기업에 서면으로 정확한 유출 항목을 문의하고 그 회신을 남겨 두십시오.

3. 2차 피해를 먼저 차단합니다. 같은 비밀번호를 쓰던 다른 계정의 비밀번호를 모두 변경하고 2단계 인증을 설정합니다. 금융감독원의 개인정보 노출자 사고예방 시스템에 등록하면 금융거래 시 본인확인이 강화되고, 통신 명의도용방지 서비스(엠세이퍼)로 본인 명의 통신 가입 현황 조회와 신규 가입 제한을 걸 수 있습니다. 신용정보 조회중지 서비스도 함께 활용할 수 있습니다.

4. 개인정보보호위원회에 신고·민원을 제기합니다. 기업의 법 위반이 확인되면 시정명령·과징금 등 처분이 내려지고, 그 조사 결과는 이후 민사청구에서 과실을 입증하는 유력한 자료가 됩니다. 다만 과징금은 국고로 들어갈 뿐 피해자에게 지급되지 않는다는 점은 구분해 두셔야 합니다.

5. 피해 자료를 시간 순으로 정리합니다. 통지문, 가입 시점과 제공한 정보 내역, 유출 이후 받은 의심 문자·전화 기록, 실제 금전 피해가 있다면 그 증빙까지 한 묶음으로 만들어 두면 조정이든 소송이든 바로 활용할 수 있습니다.

분쟁조정과 소송 중 무엇을 택할까

위자료가 10만 원 안팎인 사건에서 개인이 혼자 소송을 제기하는 것은 비용 대비 실익이 크지 않습니다. 그래서 실무에서는 두 가지 경로를 먼저 검토합니다.

첫째는 개인정보 분쟁조정위원회의 조정입니다. 소송보다 절차가 간단하고 비용 부담이 거의 없으며, 조정이 성립하면 재판상 화해와 같은 효력을 갖습니다. 개인정보처리자는 조정 신청을 받으면 특별한 사유가 없는 한 조정 절차에 응하여야 합니다. 특히 피해자가 50명 이상이고 쟁점이 공통되는 사건은 집단분쟁조정으로 한 번에 처리할 수 있어, 대규모 유출 사건에서 가장 현실적인 통로가 되는 경우가 많습니다.

둘째는 다수가 함께 제기하는 공동소송입니다. 청구금액이 소액이라도 원고가 모이면 자료 수집과 감정, 전문가 대응의 비용을 나눌 수 있고 협상력도 생깁니다. 다만 우리 법의 개인정보 단체소송은 권리침해 행위의 금지·중지를 구하는 것만 가능하고 손해배상 청구는 할 수 없다는 점은 유의하셔야 합니다. 소비자 집단소송처럼 판결의 효력이 참여하지 않은 피해자에게까지 미치는 제도가 아니므로, 배상을 받으려면 본인이 청구 절차에 직접 참여해야 합니다.

소멸시효 — 통지를 받은 날부터 시계가 돌아갑니다

개인정보 유출로 인한 손해배상청구권은 불법행위에 기한 것이므로 민법 제766조가 적용됩니다. 손해 및 가해자를 안 날부터 3년, 불법행위를 한 날부터 10년이 지나면 청구할 수 없습니다. 실무에서는 통상 유출 통지를 받은 날을 '안 날'로 보게 되므로, 통지를 받고 상황을 지켜보다가 몇 년이 지나 버리면 되돌릴 수 없는 상태가 됩니다. 언론 보도로 사건을 접한 경우에도 마찬가지이니, 대규모 유출 사건에 본인이 포함되어 있다면 시기를 놓치지 않는 것이 중요합니다.

자주 묻는 질문

유출 통지를 받았지만 아직 아무런 피해도 없습니다. 그래도 청구할 수 있나요?

청구 자체는 가능합니다. 위자료는 실제 금전 피해가 아니라 정신적 고통에 대한 배상이기 때문입니다. 다만 앞서 본 것처럼 법원은 유출 사실만으로 정신적 손해를 당연히 인정하지는 않고, 유출된 정보의 종류와 확산 범위, 2차 피해 가능성 등을 종합적으로 따집니다. 정보가 회수되어 외부로 퍼지지 않은 사안이라면 배상이 인정되지 않을 수 있습니다. 반면 주민등록번호나 금융정보가 포함되었고 실제로 유통된 정황이 있다면 인정 가능성이 높아집니다.

회사가 개인정보보호위원회로부터 과징금을 받았습니다. 그 돈을 피해자가 나눠 받나요?

받지 못합니다. 과징금과 과태료는 행정제재로서 국고에 귀속되는 것이지 피해자에 대한 배상이 아닙니다. 다만 제재 처분의 조사 결과와 처분서에 담긴 법 위반 사실은 민사청구에서 기업의 과실을 입증하는 매우 강력한 자료가 됩니다. 처분이 내려졌다면 그 내용을 확보해 배상 청구의 근거로 삼는 것이 실질적인 활용 방법입니다.

10만 원을 받자고 소송하는 것이 실익이 있을까요?

혼자 정식 소송을 진행한다면 인지대·송달료·변호사 비용을 고려할 때 실익이 크지 않은 것이 사실입니다. 그래서 소액 사건은 집단분쟁조정을 우선 검토하고, 소송으로 간다면 다수가 함께 제기하는 공동소송 형태로 진행하는 것이 일반적입니다. 유출 규모가 크고 기업의 관리 부실이 뚜렷하며 징벌적 손해배상이 문제 될 수 있는 사안이라면, 개인 단위 금액과 무관하게 다투어 볼 실익이 충분한 경우도 있습니다.

유출된 정보로 보이스피싱 피해를 입었습니다. 그 금액도 회사에 청구할 수 있나요?

이론상 가능하지만, 그 피해가 이번 유출에서 비롯되었다는 인과관계를 보여야 한다는 점이 관건입니다. 사기범이 해당 기업에만 제공했던 정보를 정확히 알고 있었다는 정황, 유출 시점과 피해 시점의 근접성, 수사기관이 확보한 유출 자료에 본인 정보가 포함된 사실 등이 뒷받침되면 인정될 여지가 생깁니다. 우선 경찰 신고와 지급정지 신청부터 하시고, 통화·문자·이체 기록을 그대로 보존해 두시기 바랍니다.

주민등록번호가 유출됐습니다. 번호를 바꿀 수 있나요?

가능합니다. 주민등록법은 주민등록번호 유출로 생명·신체에 위해를 입거나 재산에 피해를 입은 사람, 또는 그러할 우려가 있다고 인정되는 사람이 주민등록번호 변경을 신청할 수 있도록 하고 있습니다. 주소지 시·군·구청에 신청하면 주민등록번호변경위원회의 심사를 거쳐 뒤 6자리가 변경됩니다. 유출 통지문과 피해 자료를 소명자료로 제출하게 되므로, 통지문을 보관해 두는 것이 여기서도 필요합니다.

법무법인 도모가 함께하겠습니다

개인정보 유출 사건에서 결과를 가르는 것은 "유출이 있었다"는 사실이 아니라, 유출된 정보가 무엇이고 어디까지 퍼졌는지, 기업이 법령이 요구한 안전조치 중 무엇을 지키지 않았는지를 자료로 구성해 낼 수 있느냐입니다. 같은 사건에서도 어떤 청구를 택하느냐에 따라 증명해야 할 내용이 달라집니다. 손해 입증이 어려우면 법정손해배상으로, 기업의 관리 부실이 뚜렷하면 징벌적 손해배상까지 함께 검토하는 것이 그래서 중요합니다.

유출 통지를 받으셨는데 회사에서는 "조사 중"이라는 답변만 반복하고 있거나, 진행 중인 집단분쟁조정·공동소송에 참여하는 것이 나은지 판단이 서지 않으신다면, 통지문과 확인 가능한 자료를 들고 한 번 점검해 보시기를 권합니다. 통지를 받은 날부터 소멸시효가 진행되므로 시간도 중요합니다. 비슷한 상황으로 고민하고 계신다면 법무법인 도모로 문의해 주시기 바랍니다. 유출된 정보의 성격과 기업의 대응 경위를 함께 살펴, 실제로 다툴 수 있는 범위와 현실적인 대응 방향을 짚어 드리겠습니다.