정보 유출 피해, 보상 요구 어디서 시작하나
개인정보 유출 피해자는 기업이 72시간 안에 보내는 유출 통지와 열람 요청으로 피해 범위를 먼저 파악할 수 있다. 보상은 무료로 빠른 개인정보 분쟁조정과 금액을 다투는 손해배상 청구 두 갈래로 나뉘며 피해 규모에 따라 선택이 달라진다. 어느 길을 택하든 유출 통지문과 2차 피해 기록 같은 증거 정리가 결과를 좌우한다.
유출 통지문이 첫 증거다
내 정보가 유출됐다는 사실을 아는 첫 통로는 대개 기업이나 기관이 보내는 유출 통지다. 개인정보 보호법은 개인정보처리자가 유출을 알게 된 때부터 72시간 안에 피해자 본인에게 알리도록 정한다. 통지에는 어떤 항목이 샜는지, 언제 어떻게 벌어졌는지, 피해를 줄이는 방법과 구제 절차, 담당자 연락처가 담겨야 한다.
이 통지문은 나중에 보상을 요구할 때 가장 기본이 되는 증거다. 문자나 메일, 홈페이지 공지 어느 형태로 왔든 캡처해 두는 편이 좋다. 유출 규모가 1천 명 이상이거나 해킹 같은 외부 침입이 원인이면 기업은 개인정보보호위원회나 한국인터넷진흥원에도 72시간 안에 신고해야 한다.
통지가 부실하거나 내 정보가 포함됐는지 분명치 않다면, 보호법 제35조의 열람권을 쓸 수 있다. 해당 기업에 본인 정보의 처리 내역을 열람해 달라고 요구하면, 유출 범위를 스스로 확인하는 자료가 된다.
무료로 빠른 길, 분쟁조정
Photo by Olena Kholina on Unsplash
보상을 요구하는 길은 크게 두 갈래다. 첫째는 개인정보 분쟁조정위원회를 통한 조정이다. 누구나 무료로 온라인(kopico.go.kr)이나 서면으로 신청할 수 있고, 위원회는 신청받은 날부터 60일 안에 조정안을 내놓아야 한다. 사정이 있으면 기간을 연장하지만, 소송보다 훨씬 빠르다.
조정안이 나오면 양쪽은 15일 안에 수락 여부를 회신한다. 회신하지 않으면 수락한 것으로 본다. 양쪽이 모두 받아들여 조정이 성립하면 그 조정서는 재판상 화해, 즉 법원의 확정판결과 같은 효력을 갖는다. 기업이 약속한 배상을 이행하지 않으면 별도 소송 없이 강제집행에 들어갈 수 있다는 뜻이다.
소액이거나 다툼이 크지 않은 사안, 빠른 마무리를 원할 때 맞는 경로다. 다만 기업이 조정안을 거부하면 조정은 불성립으로 끝나고, 결국 민사소송으로 넘어간다.
금액을 다툴 때, 손해배상 청구
배상액이 크거나 책임을 분명히 가리고 싶다면 손해배상 청구가 있다. 보호법은 세 가지 방식을 둔다.
| 구분 | 법정손해배상 | 일반 손해배상 | 징벌적 손해배상 |
|---|---|---|---|
| 근거 | 제39조의2 | 민법·보호법 | 제39조 제3항 |
| 손해액 입증 | 불요(300만원 한도) | 실제 손해 입증 | 실제 손해 입증 |
| 적용 조건 | 유출 사실 | 손해 발생 | 고의·중대한 과실 |
| 배상 한도 | 300만원 이하 | 입증된 손해 | 손해액의 5배 |
법정손해배상은 손해액을 일일이 증명하기 어려울 때 300만 원 한도에서 법원이 액수를 정해 주는 제도다. 입증 부담을 덜어 줄 뿐 손해가 아예 없어도 되는 것은 아니라는 점은 2026년 1월 대법원 판단에서도 확인됐다. 징벌적 손해배상은 기업의 고의나 중대한 과실이 있을 때 손해액의 최대 5배까지 물릴 수 있는데, 2016년 3배로 신설됐다가 2023년 개정으로 5배로 올랐다. 단순 과실만으로는 적용되지 않는다.
유리한 점은 입증 책임이 뒤집혀 있다는 것이다. 기업이 "고의나 과실이 없었다"를 스스로 증명하지 못하면 책임을 면하기 어렵다. 다만 현실의 위자료는 크지 않은 경우가 많다. 주민등록번호가 포함된 사안에서도 1인당 7만 원대가 인정된 판결이 있었다.
조정과 소송, 판단 기준
둘 중 하나를 고를 때는 금액과 다툼의 크기, 들일 시간을 따진다. 피해가 스미싱 문자 몇 건 수준이고 빠른 해결을 원한다면 무료인 분쟁조정이 현실적이다. 반대로 명의도용으로 실제 금전 손해가 생겼거나 기업의 과실이 뚜렷해 큰 배상을 받으려는 상황이라면 손해배상 청구가 맞다. 조정을 먼저 신청했다가 불성립되면 그때 소송으로 넘어가도 늦지 않다.
증거부터 모아라
어느 길을 가든 성패는 증거에서 갈린다. 먼저 받은 유출 통지문과, 열람 요청에 기업이 보낸 회신을 보관한다. 둘째, 2차 피해의 흔적을 남긴다. 유출 이후 온 스미싱 문자, 모르는 명의도용 시도, 평소와 다른 로그인 알림 같은 것을 날짜와 함께 캡처한다. 셋째, 피해에 대응하며 쓴 비용의 영수증을 모은다. 공인인증서 재발급, 카드 재발급, 명의보호 서비스 가입 비용 등이다.
중요한 것은 유출 시점과 2차 피해 사이의 연결고리다. 언제 유출됐고 그 뒤 어떤 피해가 이어졌는지 시간 순으로 정리해 두면, 조정이든 소송이든 기업의 책임을 설명하기가 한결 쉬워진다.