개인정보 유출 피해, 손해배상 얼마나 받을 수 있을까

요즘 개인정보 유출 사고 소식이 끊이질 않잖아요. 2025년에만 SK텔레콤 2,700만 명, 쿠팡 3,370만 명, 롯데카드에 신한카드까지 대규모 유출 사건이 줄줄이 터졌거든요. 혹시 여러분도 유출 대상자라는 문자나 이메일 받으셨나요? 받으셨다면 아마 이런 생각 드셨을 겁니다. "도대체 손해배상은 얼마나 받을 수 있는 거야?"

사실 많은 분들이 유출 사실만 확인하고 그냥 넘어가시는데요, 법적으로 청구할 수 있는 보상이 있다는 걸 모르시는 경우가 많습니다. 오늘은 개인정보 유출 피해를 당했을 때 실제로 얼마나 받을 수 있는지, 그 기준과 절차를 정확하게 알려드리겠습니다.

개인정보 유출, 왜 이렇게 자주 터지는 걸까

일단 왜 이런 사고가 자꾸 반복되는지부터 짚고 넘어가야겠죠. 2023년 개인정보보호법이 전면 개정되면서 기업들에게 부과되는 과징금 기준이 확 바뀌었거든요. 예전에는 위반 행위와 관련된 매출액만 따졌는데, 이제는 전체 매출액의 3%까지 과징금을 때릴 수 있게 됐습니다.

SK텔레콤 사건에는 1,348억 원의 과징금이 부과됐고, 쿠팡은 최대 1조 원대 과징금까지 예상되는 상황입니다. 기업 입장에서는 엄청난 제재거든요. 그런데 정작 정보가 유출된 당사자인 우리 국민들에 대한 보상은 어떨까요?

손해배상 금액, 실제로는 얼마나 받을 수 있나

개인정보보호법은 세 가지 방식의 손해배상 제도를 두고 있습니다.

첫 번째는 법정손해배상입니다. 실제 손해액을 증명하기 어려운 경우에도 최대 300만 원까지 청구할 수 있는 제도거든요. 언뜻 보면 괜찮아 보이죠? 그런데 현실은 다릅니다.

법원 판례를 보면 개인정보 유출에 대한 위자료는 통상 1인당 10만 원 선에서 결정되고 있거든요. 2016년 인터파크 유출 사고 때 대법원이 10만 원을 인정한 이후, 이게 기준점처럼 자리 잡았습니다. 카드 3사 유출 사건, 홈플러스 사건 모두 비슷한 수준이었고요.

두 번째는 일반 손해배상입니다. 개인정보 유출로 인해 실제 피해가 발생했다면 그 손해액을 청구할 수 있습니다. 예를 들어 유출된 정보로 보이스피싱 피해를 당했다거나, 명의도용으로 대출이 실행됐다거나 하는 경우죠. 하지만 이건 여러분이 직접 피해 사실을 입증해야 합니다. 생각보다 쉽지 않은 일이거든요.

세 번째는 징벌적 손해배상입니다. 기업의 고의 또는 중대한 과실이 인정되면 손해액의 5배까지 배상받을 수 있는 제도인데요, 이게 가장 강력한 제재입니다. 쿠팡 사건처럼 5개월 동안 유출 사실을 몰랐다거나, 피해 규모를 축소 신고했다거나 하는 경우에는 중대한 과실로 인정될 가능성이 있습니다.

최근 달라지고 있는 보상 수준

그나마 희망적인 건 보상 수준이 조금씩 현실화되고 있다는 점입니다. 2025년 SK텔레콤 사건에서 개인정보분쟁조정위원회는 1인당 30만 원의 위자료를 지급하라는 조정안을 제시했거든요. 기존 10만 원에서 3배 올라간 겁니다.

SK텔레콤은 이 조정안을 거부해서 소송으로 갈 예정이지만, 이전보다는 분명히 보상 기준이 높아지는 추세입니다. 쿠팡 사건도 법무법인들이 1인당 20만 원에서 30만 원 수준의 위자료를 청구하는 집단소송을 준비하고 있고요.

손해배상 청구, 어떻게 하는 건가

개인정보 유출 피해를 당했다면 크게 세 가지 방법으로 대응할 수 있습니다.

먼저 개인정보분쟁조정위원회에 조정을 신청하는 방법이 있습니다. 비용도 안 들고 절차도 간단하거든요. 개인정보 포털 사이트에서 온라인으로 신청할 수 있습니다. 조정이 성립되면 재판상 화해와 같은 효력이 있어서 강제집행도 가능합니다.

두 번째는 집단소송에 참여하는 방법입니다. 최근 대규모 유출 사건마다 여러 법무법인들이 집단소송을 준비하고 있거든요. 쿠팡 사건만 해도 10개 이상의 집단소송 모임이 만들어졌고, 25만 명 이상이 참여 의사를 밝혔습니다. 참여 비용은 통상 3만 원에서 5만 원 정도입니다.

세 번째는 개인적으로 소송을 제기하는 방법인데요, 솔직히 말씀드리면 10만 원에서 30만 원 정도 받으려고 소송까지 가는 건 시간과 비용 측면에서 비효율적입니다. 소송은 보통 4년 이상 걸리거든요.

실제 피해가 발생했다면

만약 개인정보 유출로 인해 2차 피해가 발생했다면 얘기가 달라집니다. 보이스피싱 피해, 명의도용, 스미싱 피해, 쿠팡 사건처럼 공동현관 비밀번호까지 유출돼서 주거침입 위험이 생긴 경우 등이죠.

이런 경우에는 실제 손해액을 청구할 수 있고, 기업의 중대한 과실이 인정되면 징벌적 손해배상까지 받을 수 있습니다. 단, 피해 사실과 유출 사고 사이의 인과관계를 입증해야 하는데, 이게 생각보다 까다롭습니다. 보이스피싱 전화를 받았다는 것만으로는 부족하고, 실제로 금전적 피해가 발생했고 그게 이번 유출 사건 때문이라는 걸 증명해야 하거든요.

기업은 어떤 책임을 지나

혹시 "기업이 과실이 없다고 주장하면 어떻게 되나요?"라고 궁금하신 분들 계실 겁니다. 개인정보보호법은 입증책임을 전환해뒀거든요. 즉, 기업이 자기들에게 고의나 과실이 없다는 걸 증명해야 합니다. 우리가 증명할 필요가 없다는 거죠.

또한 기업은 개인정보 유출 사실을 알게 된 후 72시간 이내에 피해자에게 통지해야 하고, 개인정보보호위원회에 신고해야 합니다. 이 의무를 위반하면 별도의 과태료가 부과되고요.

---

개인정보 유출 사고는 이제 남의 일이 아니잖아요. 2025년에만 수천만 명이 피해를 입었으니까요. 금액이 크지 않더라도 제대로 된 보상을 받는 것은 우리의 권리입니다.

유출 대상자라는 통지를 받으셨다면 일단 개인정보분쟁조정위원회 사이트나 집단소송 카페를 확인해보시길 권합니다. 2차 피해 예방을 위해 비밀번호도 바로 변경하시고요. 실제 피해가 발생했다면 증거를 꼼꼼히 모아두시는 게 중요합니다.