기업의 개인정보 유출로 내 정보가 노출됐을 때, 피해 보상을 받을 수 있을까요? 개인정보보호법과 판례를 통해 손해배상 가능성과 청구 방법을 알아봅니다.
개인정보보호법상 손해배상
개인정보보호법 제39조는 개인정보 처리자의 법령 위반으로 손해를 입은 정보 주체가 손해배상을 청구할 수 있다고 규정합니다. 고의나 과실이 없음을 처리자가 입증하지 못하면 책임을 집니다(입증책임 전환).
또한 법정손해배상 조항(제39조의2)에 따라 실제 손해액 입증이 어려운 경우에도 300만 원 이하의 법정손해배상을 청구할 수 있습니다. 집단소송이나 개인 단독 소송 모두 가능합니다.
실제 손해 입증과 위자료
개인정보 유출 그 자체만으로는 재산적 손해가 발생하지 않는 경우가 많습니다. 이 경우 정신적 고통에 대한 위자료를 청구합니다. 법원은 유출된 개인정보의 종류와 민감성, 유출 규모, 기업의 과실 정도 등을 고려하여 위자료를 산정합니다. 통상 10만~50만 원 수준이지만, 금융정보·의료정보 등 민감 정보가 유출된 경우에는 더 높게 인정되기도 합니다.
개인정보보호위원회 신고
개인정보 침해 피해는 개인정보보호위원회(privacy.go.kr)에 신고할 수 있습니다. 개인정보보호위원회가 조사하여 시정 명령과 과징금을 부과할 수 있고, 피해자는 분쟁조정위원회를 통해 신속하게 피해 보상을 받을 수 있습니다. 집단 피해가 발생한 경우에는 집단분쟁조정도 가능합니다.
이 주제와 관련하여 더 궁금한 점이 있으시면 법무법인 우리로 상담을 신청해 주시기 바랍니다.
법정손해배상 — 손해액 증명 없이도 청구 가능
개인정보 보호법 제39조의2제1항은 “정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다”고 규정합니다. 대법원 2025. 12. 4. 선고 2023다311184 판결은 이 조항에 따른 법정손해배상을 청구하려면 “개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되었다는 사실만 주장ㆍ증명하면 되고 손해의 발생 사실을 구체적으로 주장ㆍ증명할 필요는 없다”고 판시했습니다.
다만 같은 판결은 개인정보처리자가 “정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 아니하였음을 주장ㆍ증명”하면 책임을 면할 수 있다고도 밝혔습니다. 실제로 위 사건에서는 유출된 정보가 암호화된 비밀번호와 이메일 주소에 그쳤고, 유출된 개인정보의 종류·성격, 제3자의 열람 여부와 확산 범위, 추가 법익침해 가능성, 처리자의 사고 수습 노력 등을 종합적으로 고려하여 원고의 청구가 최종적으로 기각되었습니다. 즉 유출 사실만으로 배상이 자동 인정되는 것은 아니며, 유출된 정보의 민감도와 실제 악용 가능성이 관건이 됩니다.
일반 손해배상(제39조)과 법정손해배상(제39조의2)의 선택
제39조에 따른 일반 손해배상은 실제 발생한 손해액을 증명해야 하는 대신 금액 상한이 없고, 개인정보처리자의 고의·중대한 과실이 인정되면 제39조제3항에 따라 손해액의 5배까지 배상액을 정할 수 있습니다(징벌적 손해배상). 반면 제39조의2의 법정손해배상은 300만원 한도 내에서 손해액 증명 부담 없이 청구할 수 있는 대신 상한이 낮습니다. 소송 중에는 사실심 변론종결 전까지 두 청구 사이에서 변경이 가능하므로, 유출 정보의 민감도와 실제 피해 정도에 따라 유리한 쪽을 선택하거나 소송 진행 상황에 맞춰 변경하는 전략을 검토해야 합니다.
💡 실무 팁: 유출 통지를 받았다면 개인정보처리자가 개인정보 보호위원회에 신고한 유출 규모, 유출 항목, 재발방지 대책을 반드시 확인해 두십시오. 이는 소송에서 위자료 인정 여부를 좌우하는 핵심 증거가 됩니다.
■ 실무에서 자주 나오는 질문
Q. 유출 통지를 받지 못했는데, 나중에 알게 된 경우에도 청구할 수 있나요?
개인정보 보호법 제34조는 개인정보처리자에게 유출 사실을 안 때부터 지체 없이(72시간 이내) 정보주체에게 통지할 의무를 부과합니다. 통지를 받지 못했더라도 유출 사실 자체를 확인할 수 있다면 손해배상 청구는 가능하며, 통지의무 위반 사실 자체가 개인정보처리자에게 불리한 정황으로 작용할 수 있습니다.
Q. 여러 명이 함께 소송을 진행하면 유리한가요?
대규모 유출 사건에서는 다수의 피해자가 공동으로 소송을 제기하는 경우가 많습니다. 개별 소송에 비해 소송비용을 분담할 수 있고, 사실관계와 법리 판단을 공통으로 다툴 수 있어 효율적입니다. 다만 개인별로 유출된 정보의 항목이나 피해 정도가 다르면 개별 위자료 액수는 달라질 수 있습니다.
개인정보보호위원회 신고와 과징금
개인정보 유출 피해를 입은 경우 민사소송 외에도 개인정보보호위원회에 신고하여 조사를 요청할 수 있습니다. 위원회는 조사 결과 위반 사실이 확인되면 시정명령과 함께 과징금을 부과할 수 있고, 이러한 조사 결과와 처분 내용은 이후 민사소송에서 손해배상 청구의 근거 자료로 활용될 수 있습니다. 개인정보 침해 신고센터(국번없이 118)를 통해서도 상담과 신고가 가능합니다.
Q. 회사가 유출 사실을 은폐하려 한 정황이 있다면 어떻게 되나요?
개인정보처리자가 유출 사실을 알고도 정당한 사유 없이 통지·신고 의무를 이행하지 않은 경우, 이는 개인정보 보호법 위반으로 형사처벌 및 과태료 부과 대상이 될 뿐 아니라, 민사소송에서 고의ㆍ중대한 과실을 인정하는 데 유리한 정황으로 작용하여 제39조제3항의 징벌적 손해배상(5배 이내) 인정 가능성을 높일 수 있습니다.
결국 개인정보 유출 피해 구제는 유출된 정보의 성격과 실제 악용 가능성을 얼마나 구체적으로 소명하느냐에 성패가 달려 있습니다. 유출 통지문, 위원회 조사 결과, 2차 피해(피싱, 스팸, 명의도용 시도) 정황을 꼼꼼히 수집한 뒤 소송 전략을 세우는 것이 바람직합니다.
변호사와 함께 유출 규모, 관련 판례, 위원회 처분 사례를 종합적으로 검토하면 청구 방식(제39조 일반 손해배상 또는 제39조의2 법정손해배상)을 보다 유리하게 선택할 수 있습니다.
개인정보 유출로 손해배상을 청구하려면 유출 사실뿐 아니라 그로 인한 실질적인 피해(정신적 손해 포함)가 발생했음을 입증해야 하는데, 법원은 유출된 정보의 종류와 유출 규모, 사업자의 관리 소홀 정도 등을 종합적으로 고려해 배상액을 정하는 경향이 있습니다. 개인정보보호법 위반이 확인되면 개인정보보호위원회에 신고하여 별도의 행정 제재를 받도록 할 수 있고, 집단분쟁조정을 통해 다수 피해자가 함께 구제받는 방법도 있습니다. 유출 통지를 받았다면 2차 피해(피싱, 명의도용 등) 예방을 위한 조치도 함께 취해야 합니다.
Q. 개인정보 유출 손해배상액은 보통 얼마나 인정되나요?
A. 유출된 정보의 민감도와 규모, 2차 피해 발생 여부에 따라 달라지며, 사안에 따라 배상액이 크게 달라질 수 있습니다.
Q. 회사가 유출 사실을 알리지 않았다면 어떻게 되나요?
A. 개인정보보호법은 유출 사실을 지체 없이 정보주체에게 알리도록 의무화하고 있으며, 이를 위반하면 별도의 과태료 부과 대상이 됩니다.
Q. 탈퇴한 서비스에서도 개인정보가 유출될 수 있나요?
A. 법정 보관기간이 남아있거나 파기 의무를 제대로 이행하지 않은 경우 탈퇴 후에도 유출 피해가 발생할 수 있어, 이 경우 개인정보 파기의무 위반도 함께 다툴 수 있습니다.
유출 통지를 받았다면 즉시 비밀번호 변경 등 2차 피해 예방 조치를 취하는 것이 중요합니다.
다수의 피해자가 발생한 대규모 유출 사고라면 집단소송이나 공동소송을 통한 대응도 검토할 수 있습니다.
Q. 개인정보 유출 소송은 혼자 진행하기 어렵지 않나요?
A. 개인정보 유출 사고는 통상 다수의 피해자가 발생하므로, 소비자단체나 법무법인이 진행하는 공동소송에 참여하는 방법도 효율적인 대응이 될 수 있습니다.
개인정보 보호를 위한 사업자의 관리 수준을 평소에 확인해두는 것도 좋은 예방책입니다.
개인정보 관리에 대한 사회적 관심이 높아지는 만큼 관련 법령도 계속 강화되는 추세입니다.
