개인정보 유출 통지를 받았다면 — 손해 입증 없이 청구하는 300만원과 대응 4단계
개인정보 유출 통지를 받았다면 — 손해 입증 없이 청구하는 300만원과 대응 4단계
- 유출 통지에는 유출 항목·시점·경위·대응조치·연락처 등 5가지가 반드시 들어 있어야 합니다(제34조 제1항).
- 얼마나 손해를 봤는지 입증하지 않아도 300만원 이하를 청구할 수 있습니다(제39조의2 — 법정손해배상).
- 입증책임이 뒤집혀 있습니다. 회사가 “고의·과실이 없었다”를 증명하지 못하면 책임을 면하지 못합니다(제39조 제1항).
- 고의나 중대한 과실이면 법원이 손해액의 5배까지 배상액을 정할 수 있습니다(제39조 제3항).
- 소송 대신 분쟁조정을 신청할 수 있고, 회사는 특별한 사유가 없으면 응해야 합니다(제43조 제3항).
“고객님의 개인정보가 유출되었습니다”라는 문자를 받으면 대부분 불안해하다 그냥 넘깁니다. 그런데 개인정보 보호법은 유출 피해자를 위해 일반 손해배상보다 훨씬 유리한 장치를 여러 개 두고 있습니다. 특히 “얼마나 손해를 봤는지 증명하라”는 가장 큰 장벽을 법이 직접 걷어냈습니다. 통지를 받았을 때 확인할 것과 실제로 할 수 있는 일을 조문 기준으로 정리했습니다.
통지에는 이 다섯 가지가 들어 있어야 한다 (제34조 제1항)
회사는 개인정보가 분실·도난·유출된 사실을 알게 되면 지체 없이 정보주체에게 알려야 하고, 통지에는 다음이 포함돼야 합니다.
- 유출된 개인정보의 항목 — 이름·연락처인지, 주민등록번호·계좌번호인지
- 유출된 시점과 경위
- 피해를 최소화하기 위해 정보주체가 할 수 있는 방법
- 회사의 대응조치와 피해 구제절차
- 피해 발생 시 신고를 접수할 담당부서와 연락처
받은 통지에 이 항목들이 빠져 있다면 회사에 보완을 요구할 수 있습니다. 어떤 항목이 유출됐는지가 이후 대응의 출발점이므로 반드시 확인하세요. 주민등록번호나 계좌·카드 정보가 포함됐다면 대응 수위가 완전히 달라집니다.
회사는 나에게만 알리는 게 아니다 (제34조 제3항)
유출 사실을 알게 된 회사는 개인정보의 유형과 유출 경로·규모를 고려해 개인정보보호위원회 또는 전문기관에도 지체 없이 신고해야 합니다. 즉 유출 사고는 회사와 나 사이의 문제로 끝나지 않고 감독기관이 들여다보는 사안이 됩니다. 통지를 받았다면 같은 사고가 이미 신고돼 조사 중일 가능성이 큽니다.
손해를 입증하지 않아도 청구할 수 있다 — 법정손해배상 (제39조의2)
개인정보 유출에서 피해자가 가장 막히는 지점이 “그래서 얼마나 손해를 봤느냐”입니다. 유출만으로는 금전적 손해를 숫자로 증명하기가 사실상 불가능합니다. 법은 이 문제를 정면으로 해결했습니다.
개인정보가 분실·도난·유출·위조·변조·훼손된 경우, 정보주체는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있습니다. 손해액을 따로 증명할 필요가 없고, 회사가 고의·과실이 없음을 입증하지 못하면 책임을 면하지 못합니다. 법원은 변론 전체의 취지와 증거조사 결과를 고려해 그 범위 안에서 금액을 정합니다.
이미 일반 손해배상(제39조)으로 소송을 걸었더라도, 사실심 변론이 끝나기 전까지는 법정손해배상 청구로 바꿀 수 있습니다(제39조의2 제3항). 실제 손해를 입증하기 어렵다는 판단이 서면 전환하는 선택지가 열려 있습니다.
입증책임이 뒤집혀 있다 (제39조 제1항)
일반적인 손해배상 소송에서는 청구하는 쪽이 상대방의 잘못을 증명해야 합니다. 그런데 개인정보 보호법은 반대로 정해 두었습니다. 정보주체가 법 위반 행위로 손해를 입었다고 주장하면, 개인정보처리자가 “고의 또는 과실이 없었다”를 입증하지 못하는 한 책임을 면할 수 없습니다.
회사 내부의 보안 조치가 어땠는지는 피해자가 알 수 없는 영역입니다. 그 부분을 회사가 해명하도록 한 것이 이 조항의 취지입니다.
고의·중과실이면 5배까지 (제39조 제3항)
회사의 고의 또는 중대한 과실로 개인정보가 유출되고 그로 인해 손해가 발생했다면, 법원은 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다. 이른바 징벌적 손해배상입니다.
법원이 금액을 정할 때는 고의의 정도, 피해 규모, 회사가 얻은 경제적 이익, 위반 기간과 횟수, 회사의 재산 상태, 그리고 유출된 개인정보를 회수하려고 얼마나 노력했는지와 피해 구제를 위해 얼마나 노력했는지까지 함께 봅니다(제39조 제4항). 사고 후 회사의 태도가 배상액에 직접 반영되는 구조입니다.
소송이 부담스럽다면 — 분쟁조정 (제43조)
개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있습니다. 비용이 들지 않고 절차도 소송보다 훨씬 가볍습니다. 무엇보다 2023년 개정으로 개인정보처리자는 분쟁조정 통지를 받으면 특별한 사유가 없는 한 조정에 응해야 합니다(제43조 제3항). 회사가 무시하고 넘어가기 어려워졌다는 뜻입니다.
피해자가 많다면 — 집단분쟁조정 (제49조)
대규모 유출처럼 다수의 정보주체에게 같거나 비슷한 유형의 피해가 발생한 경우에는 일괄적인 분쟁조정을 신청할 수 있습니다. 개인이 각자 다투는 대신 대표당사자를 선임해 한 번에 진행합니다.
두 가지가 특히 유용합니다. 첫째, 처음에 당사자가 아니었더라도 나중에 당사자로 추가해 달라고 신청할 수 있습니다. 둘째, 회사가 조정안을 수락하면 위원회는 당사자가 아닌 다른 피해자들을 위한 보상계획서를 작성하도록 권고할 수 있습니다. 조정 기간은 공고가 끝난 다음 날부터 60일 이내가 원칙입니다.
회사에는 매출액의 3%까지 과징금 (제64조의2)
개인정보가 유출된 경우 보호위원회는 전체 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있습니다. 매출액이 없거나 산정이 곤란하면 20억원 이내입니다. 다만 회사가 법이 요구하는 안전성 확보 조치를 다한 경우에는 부과하지 않습니다.
과징금은 국가에 내는 돈이라 피해자에게 직접 돌아오지는 않습니다. 하지만 부과 여부와 조사 결과는 손해배상 다툼에서 중요한 자료가 됩니다. 보호위원회의 처분 사실을 확인해 두는 편이 좋습니다.
통지를 받은 직후 해야 할 일 — 4단계
1단계 · 통지 내용을 보존한다. 문자·메일·공지 화면을 캡처해 두세요. 유출 항목과 시점이 적힌 통지 자체가 이후 청구의 기본 증거입니다.
2단계 · 유출 항목에 맞춰 차단한다. 계좌·카드 정보라면 카드사·은행에 즉시 알리고 재발급을 받으세요. 주민등록번호가 포함됐다면 명의도용 방지를 위해 금융권의 개인정보 노출자 사고예방 등록을 검토할 수 있습니다. 아이디·비밀번호라면 같은 비밀번호를 쓰는 다른 사이트부터 모두 바꿔야 합니다.
3단계 · 2차 피해를 경계한다. 유출 직후에는 그 정보를 이용한 보이스피싱·스미싱이 따라옵니다. “유출 보상금을 드린다”, “피해 접수를 받는다”며 앱 설치나 계좌 이체를 유도하면 100% 사기입니다.
4단계 · 구제 절차를 고른다. 금액이 크지 않고 빠른 해결을 원하면 분쟁조정, 피해자가 많으면 집단분쟁조정, 손해 입증이 어렵다면 법정손해배상 청구를 검토합니다. 신고는 개인정보보호위원회 또는 개인정보침해 신고센터(국번 없이 118)로 할 수 있습니다.
자주 하는 오해
- “실제 피해가 없으면 청구도 못 한다” — 법정손해배상은 손해액 입증 없이 300만원 이하를 청구하도록 만든 제도입니다.
- “회사 잘못을 내가 증명해야 한다” — 반대입니다. 회사가 고의·과실 없음을 증명해야 면책됩니다.
- “소송밖에 방법이 없다” — 분쟁조정은 비용이 들지 않고, 회사는 특별한 사유가 없으면 응해야 합니다.
- “과징금이 나왔으니 나도 보상받는다” — 과징금은 국가에 내는 돈입니다. 개인 배상은 별도로 청구해야 합니다.
- “오래된 유출은 이제 못 따진다” — 손해배상 청구권에는 소멸시효가 있으므로, 시점을 확인해 미루지 말고 판단하는 것이 좋습니다.
자주 묻는 질문
Q. 개인정보가 유출됐는데 실제 피해는 없습니다. 청구할 수 있나요?
개인정보 보호법 제39조의2는 손해액을 입증하지 않아도 300만원 이하의 범위에서 배상을 청구할 수 있도록 정하고 있습니다. 법원이 변론 전체의 취지와 증거조사 결과를 고려해 금액을 정합니다.
Q. 회사의 잘못을 제가 증명해야 하나요?
아닙니다. 개인정보처리자가 고의 또는 과실이 없음을 입증하지 못하면 책임을 면할 수 없습니다(제39조 제1항).
Q. 유출 통지에는 무엇이 들어 있어야 하나요?
유출된 개인정보의 항목, 유출 시점과 경위, 피해 최소화 방법, 회사의 대응조치와 구제절차, 신고 접수 담당부서와 연락처 다섯 가지입니다(제34조 제1항).
Q. 소송 말고 다른 방법은 없나요?
개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있습니다. 개인정보처리자는 특별한 사유가 없으면 조정에 응해야 합니다(제43조 제3항). 피해자가 다수라면 집단분쟁조정도 가능합니다.
Q. 배상액이 5배까지 늘어날 수도 있나요?
회사의 고의 또는 중대한 과실로 유출되어 손해가 발생한 경우, 법원은 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다(제39조 제3항).