발간자료

다루는 주제
개인정보 유출 손해배상의 법적 근거와 전환된 입증 책임·손해배상 청구 방식 세 가지 구분과 요건·재판부의 배상 책임 판단: 기업의 안전조치 및 유출 통지 의무 위반·위자료 산정 기준: 유출 정보의 종류와 2차 피해

글의 구성
1  영역별 쟁점과 법적 기준
2  점검표
3  자주 묻는 질문

이용하던 온라인 서비스에서 내 이름과 연락처가 빠져나갔다는 안내를 받았지만 당장 통장에서 돈이 인출된 것은 아니어서 배상 청구가 가능한지, 기업 서버의 보안 허점을 개인이 어떻게 증명해야 하는지 막막해하는 경우가 많습니다.

• 「개인정보 보호법」은 이러한 사정을 반영해, 피해자가 구체적인 금전 손실액을 증명하지 못하더라도 유출 그 자체로 겪은 정신적 고통(위자료)을 법원이 정한 한도 안에서 청구할 수 있도록 규정하고 있습니다.

• 「개인정보 보호법」 제39조 제1항과 제39조의2 제1항에 따라, 고객 정보를 다루는 기업(개인정보처리자)이 자신들에게 고의나 과실이 없었다는 사실을 직접 증명하지 못하면 손해배상 책임을 면할 수 없습니다.

• 피해자가 기업 내부 서버의 보안 허점을 직접 찾아내야 하는 것이 아니라, 기업이 법에서 정한 안전성 확보 조치 의무(「개인정보 보호법」 제29조)와 유출 통지·신고 의무(같은 법 제34조)를 다했다는 점을 재판부 앞에서 입증해야 하는 구조입니다.

근거 법령 · 「개인정보 보호법」 제29조, 제34조, 제39조 제1항, 제39조의2 제1항 / 「민법」 제750조

다수의 피해자가 함께 절차를 밟을 때는 개별 피해액을 일일이 계산하기 어려우므로 사안의 성격과 기업의 의무 위반 정도에 맞추어 법령이 정한 세 가지 청구 방식 중 적합한 형태를 구성하게 됩니다.

• 법정손해배상 「개인정보 보호법」 제39조의2 제1항·제2항 개인정보가 유출·분실·도난·위조·변조·훼손된 경우, 구체적인 손해액 입증 없이 300만 원 이하의 범위에서 상당한 금액 청구 피해자는 유출 사실만 소명하고, 기업이 고의·과실 없음을 입증하지 못하면 책임 부담.

• 일반 손해배상 「개인정보 보호법」 제39조 제1항 / 「민법」 제750조 법 위반 행위로 발생한 실제 재산상 손해 및 정신적 손해(위자료) 청구 (별도 상한 없음) 과실 부존재는 기업이 입증하되, 구체적인 손해 발생 사실과 손해액은 피해자가 입증.

• 징벌적 손해배상 「개인정보 보호법」 제39조 제3항·제4항 기업의 고의 또는 중대한 과실로 유출 등이 발생해 손해를 입은 경우, 실제 손해액의 5배 이하 범위에서 배상액 산정 기업이 고의 또는 중대한 과실이 없었음을 증명하지 못하면 가중 배상 책임 부담.

근거 법령 · 「개인정보 보호법」 제39조 제1항·제3항·제4항, 제39조의2 제1항·제2항 / 「민법」 제750조

외부 해킹 공격으로 사고가 일어났다는 기업의 해명이 있더라도 법원은 해당 기업이 평소에 법정 보안 기준을 제대로 지켰는지와 사고 직후 이용자들에게 지체 없이 알렸는지를 엄격하게 살펴 과실 유무를 가립니다.

• 대법원 판례는 법정손해배상 제도가 피해자의 손해액 입증 부담을 덜어주는 규정일 뿐, 정신적 손해조차 발생하지 않은 것이 명백한 사안까지 배상을 명하는 취지는 아니라고 보고 있습니다.

• 해킹 등 외부 공격이 있었더라도 기업이 접근권한을 엄격히 제한했는지 확인합니다. 아울러 비밀번호나 고유식별정보를 안전하게 암호화했는지, 접속기록을 보관·점검하며 침입 차단 시스템을 제대로 운영했는지도 재판부에서 확인합니다.

• 아울러 유출 사실을 알게 된 시점부터 법령이 정한 기한 안에 정보주체에게 유출 항목과 시점, 경위를 지체 없이 알렸는지도 과실의 경중을 가르는 중요한 잣대가 됩니다.

근거 법령 · 「개인정보 보호법」 제29조, 제34조

빠져나간 정보가 단순 아이디에 그치지 않고 개인을 특정하거나 다른 플랫폼 본인확인에 쓰이는 항목까지 포함하고 있다면 명의도용 등 추가 범죄에 노출될 우려가 커져 재판부의 배상액 산정에 중요하게 반영됩니다.

• 법원은「개인정보 보호법」 제39조의2 제2항에 따라 변론 전체의 취지와 증거조사 결과를 종합해 배상액을 산정합니다.

• 단순 아이디나 강하게 암호화된 정보만 유출된 경우와 달리, 이름·생년월일·휴대전화번호·주소처럼 개인을 곧바로 특정할 수 있는 정보나 플랫폼 간 본인확인을 위해 쓰이는 연계정보(CI)까지 함께 빠져나간 경우에는 타인에 의한 명의도용이나 보이스피싱 등 2차 피해 가능성이 훨씬 높게 평가됩니다.

• 유출된 데이터가 외부로 얼마나 퍼졌는지, 기업이 사고 직후 추가 확산을 막기 위해 어떤 조치를 취했는지 역시 인용(청구를 받아들임) 금액을 결정하는 핵심 요소입니다.

근거 법령 · 「개인정보 보호법」 제39조의2 제2항

☑ 유출 통지 내역 원본·캡처: 기업이 보낸 이메일, 문자메시지, 카카오톡 알림톡 또는 웹사이트 '유출 여부 조회' 결과 화면을 날짜와 본인 식별 표시(이름·아이디 등)가 보이게 캡처합니다. (사건 당사자인 피해 정보주체 적격(정당한 당사자 자격) 및 유출 사실의 1차 입증 자료)

☑ 유출된 세부 항목 확인: 통지문에 적힌 유출 항목(성명, 연락처, 이메일, 주소, 암호화 여부, 연계정보 CI 등) 및 손해배상·법정손해배상 청구 권리 안내 포함 여부를 확인합니다. (침해된 법익(법으로 보호되는 이익)의 중대성, 정신적 손해 발생 가능성 소명 및 법정 통지사항 준수 여부 확인)

☑ 통지 시점과 사고 시점 대조: 실제 유출 사고가 일어난 날짜와 기업이 나에게 통지서를 보낸 날짜 사이의 간격 확인 (「개인정보 보호법」 제34조에 따른 통지 지연 여부 검토)

☑ 계정 보안 조치 및 탈퇴 주의: 비밀번호 변경, 타 사이트 동일 비밀번호 수정, 해외 로그인 차단 설정 — 단, 유출 조회 화면을 캡처하기 전에는 성급히 회원 탈퇴를 하지 마세요 (추가 해킹·도용 예방 및 탈퇴로 인한 유출 조회 불가능 상황 방지)

☑ 2차 피해 정황 기록 (선택): 유출 시점 이후 급증한 스팸 문자, 모르는 번호의 피싱 시도, 해외 결제 시도 알림 등이 있다면 화면 캡처 보관 (재판에서 피해자들의 현실적 불안감과 피해 확산을 뒷받침하는 정황 자료)

참여하실 수 있습니다. 개인정보 유출 단체소송은 보이스피싱 등으로 실제 금전을 편취(속여서 빼앗음)당한 재산상 손해만을 청구하는 절차가 아닙니다. 「개인정보 보호법」 제39조의2(법정손해배상의 청구)는 내 정보가 동의 없이 외부로 유출되어 통제권을 잃고, 언제 범죄에 악용될지 모른다는 불안감과 정신적 고통을 겪은 것 자체에 대해 300만 원 이하의 범위에서 손해배상을 청구할 수 있도록 정하고 있습니다.

유출 사고가 발생했을 당시 해당 기업의 회원이었고 내 개인정보가 유출 대상에 포함되었다면, 그 이후에 계정을 탈퇴하셨더라도 손해배상 청구권은 사라지지 않습니다. 다만 법원에 내가 유출 피해자라는 사실을 증명할 자료는 제출해야 하므로, 탈퇴 전에 받아두신 유출 통지 이메일이나 문자메시지, 또는 고객센터를 통해 발급받은 유출 사실 확인 내역이 남아 있어야 합니다. 아직 탈퇴하지 않으셨다면 홈페이지의 유출 확인 화면을 먼저 캡처해 두신 뒤에 탈퇴 여부를 결정하시는 편이 안전합니다.

피해자가 직접 기업의 서버 기록이나 보안 시스템을 분석해 증명하실 필요는 없습니다. 「개인정보 보호법」 제39조 제1항 및 제39조의2 제1항은 기업(개인정보처리자)이 자신들에게 고의나 과실이 없었다는 점을 직접 입증하지 못하면 배상 책임을 지도록 입증 책임을 전환해 두었습니다. 참여자께서는 본인의 정보가 유출되었다는 통지 내역만 챙겨 주시면 되고, 기업이 접근통제나 암호화 같은 법정 안전조치 의무를 소홀히 했다는 점은 소송 과정에서 법무법인이 감독기관 조사 결과와 법원 사실조회 등을 통해 다툽니다.

기업이 일괄적으로 지급하는 소액의 포인트나 이용권이 곧바로 법적 손해배상 합의금으로 인정되는 것은 아닙니다. 다만 기업이 포인트 수령 화면이나 신청 절차에 '수령 시 향후 일체의 민·형사상 이의를 제기하지 않는다(부제소 합의)'는 조건을 달아두었는지는 살펴보아야 합니다. 아무런 조건 없이 전체 회원에게 일방적으로 적립해 준 쿠폰이나 포인트는 받으셨더라도 소송 참여에 지장이 없지만, 별도의 동의 버튼을 눌러야 지급되는 보상안이라면 약관 문구를 먼저 확인하시는 것이 좋습니다.

비슷한 상황이라면 혼자 정리하기 전에