개인정보 불법 수집·판매, 내 정보가 팔렸다면 — 신고 절차와 손해배상 받는 법 

어느 날 가입한 적도 없는 대출·보험·코인 업체에서 내 이름과 전화번호를 정확히 부르며 전화가 걸려 온다면, 내 개인정보가 어딘가에서 새어 나가 사고팔린 것은 아닌지 의심해 볼 만합니다. 실제로 개인정보는 동의 없이 수집·유통되는 순간 그 자체로 형사처벌 대상이자 손해배상의 대상이 됩니다. 그런데 막상 피해를 당하면 어디에 신고해야 하는지, 돈으로 배상까지 받을 수 있는지 막막하게 느끼는 분이 많습니다. 이 글에서는 내 정보가 불법 수집·판매된 정황을 확인했을 때 어떤 절차로 신고하고, 어떤 근거로 손해배상을 청구할 수 있는지 순서대로 정리했습니다.

법무법인 도모 강대현 변호사

---

개인정보 불법 수집·판매, 어떤 행위가 처벌되나

개인정보를 사고파는 행위는 단순한 도덕적 문제가 아니라 개인정보 보호법 제71조가 정면으로 처벌하는 범죄입니다. 이 조항은 정보주체의 동의를 받지 않고 개인정보를 제3자에게 제공한 자, 그리고 영리 또는 부정한 목적으로 개인정보를 이용하거나 제3자에게 제공한 자를 처벌합니다. 중요한 점은 정보를 넘긴 사람뿐 아니라 그런 사정을 알면서 정보를 넘겨받아 이용한 사람까지 함께 처벌한다는 것입니다.

법정형은 5년 이하의 징역 또는 5천만원 이하의 벌금으로, 재산범죄 중에서도 가볍지 않은 수준입니다. 예를 들어 헬스장 회원 명단을 대출 중개업자에게 건네고 대가를 받았다면, 명단을 넘긴 직원과 그 명단이 불법으로 수집된 것임을 알면서 사서 영업에 쓴 업자 모두가 처벌 대상이 될 수 있습니다. 결국 내 정보를 판 사람과 산 사람 양쪽을 상대로 문제 삼을 수 있다는 뜻입니다.

여기서 말하는 개인정보는 이름·주민등록번호처럼 그 자체로 개인을 알아볼 수 있는 정보뿐 아니라, 다른 정보와 쉽게 결합해 특정 개인을 식별할 수 있는 정보까지 포함합니다. 전화번호와 구매 이력, 대출 상담 내역이 묶여 유통됐다면 그 자체가 보호 대상 개인정보입니다.

• 동의 없는 제3자 제공: 내가 동의한 적 없는데 내 정보가 다른 회사로 넘어간 경우.

• 영리·부정 목적 제공: 돈을 받거나 부당한 목적으로 명단을 넘긴 경우.

• 정을 알고 제공받아 이용: 불법 수집된 정보인 줄 알면서 사서 영업·마케팅에 쓴 경우.

내 정보를 판 사람만이 아니라, 불법 정보인 줄 알면서 사서 쓴 업체까지 형사책임을 물을 수 있습니다.

내 정보가 팔린 걸 어떻게 알아채나 — 정황과 확인 방법

개인정보 유통은 은밀하게 이뤄지기 때문에 피해자는 대개 간접 정황으로 먼저 눈치챕니다. 가입한 적 없는 업체의 정확한 개인정보를 아는 마케팅 전화·문자, 내가 이용하지 않은 서비스의 가입·결제 알림, 명의도용으로 인한 요금 청구 등이 대표적 신호입니다. 최근에는 기업의 대규모 해킹·유출 사고 통지를 받고서야 자신의 정보가 새어 나간 사실을 아는 경우도 많습니다.

정황이 의심되면 확인 단계로 넘어갑니다. 개인정보 보호법은 정보주체에게 자신의 개인정보를 어디서 어떻게 처리하는지 물어볼 수 있는 열람 요구권을 보장하므로, 정보를 보유했을 것으로 의심되는 업체에 처리 내역과 취득 경로를 서면으로 요구할 수 있습니다. 또한 개인정보처리자는 정보가 유출된 사실을 알게 되면 정보주체에게 유출 항목·시점·경위와 대응 방법을 통지하도록 되어 있으므로, 받은 통지문은 이후 신고와 배상 청구의 핵심 증거가 됩니다.

이때 스팸 문자, 통화 녹음, 발신번호, 알림 화면 등을 삭제하지 말고 캡처·저장해 두는 것이 중요합니다. 나중에 어느 업체가 언제부터 내 정보를 쥐고 있었는지 다투는 국면에서, 이런 기록이 유통 경로를 역추적하는 실마리가 되기 때문입니다.

첫 대응 — 개인정보 침해 신고센터(118)와 개인정보보호위원회

피해 정황을 확인했다면 가장 먼저 국가기관에 침해 사실을 신고할 수 있습니다. 개인정보 침해 신고는 개인정보보호위원회가 접수 전문기관으로 지정한 한국인터넷진흥원(KISA)의 개인정보침해 신고센터에서 접수하며, 국번 없이 118번 전화 또는 신고센터 누리집(privacy.kisa.or.kr)을 통해 할 수 있습니다. 접수된 사건은 법 위반 여부를 검토해 시정 등 행정지도를 하고 그 결과를 신고자에게 알려 줍니다.

사안이 중대하면 개인정보를 관장하는 개인정보보호위원회가 직접 조사에 나서 시정명령과 과징금·과태료 처분을 내릴 수 있습니다. 특히 2023년 개정된 개인정보 보호법은 과징금 상한을 위반행위 관련 매출액 기준에서 전체 매출액의 100분의 3(3%) 이하로 대폭 끌어올려, 대규모 유출·불법 판매 사업자에 대한 제재 강도를 높였습니다.

다만 여기서 반드시 구분해야 할 점이 있습니다. 과징금·과태료는 국가에 귀속되는 제재이지 피해자 개인에게 지급되는 배상금이 아닙니다. 즉 신고를 통해 가해 업체가 제재를 받더라도, 내 손해를 메우려면 뒤에서 설명할 민사상 손해배상을 별도로 청구해야 합니다.

과징금은 국가가 받는 제재이고, 내 손해를 돌려받는 것은 별개의 손해배상 절차입니다.

정보주체의 권리 행사 — 처리정지와 삭제 요구

신고와 별개로, 정보주체는 자신의 정보가 더 이상 함부로 쓰이지 않도록 직접 권리를 행사할 수 있습니다. 개인정보 보호법은 정보주체에게 자신의 개인정보에 대한 열람 요구권, 잘못된 정보의 정정·삭제 요구권, 그리고 처리를 멈추라는 처리정지 요구권을 부여합니다. 불법으로 취득된 정보라면 삭제와 처리정지를 함께 요구하는 것이 실효적입니다.

요구를 받은 개인정보처리자는 법이 정한 기간 안에 필요한 조치를 하고 그 결과를 알려야 하며, 정당한 사유 없이 이를 이행하지 않으면 그 자체가 또 다른 법 위반이 됩니다. 따라서 삭제·처리정지 요구는 내용증명 등 기록이 남는 방식으로 하고, 회신 여부와 이행 여부를 남겨 두는 것이 이후 분쟁에서 유리합니다.

가령 어떤 대부중개업체가 내 대출 상담 이력을 계속 돌려쓰고 있다면, 그 업체에 처리정지와 삭제를 요구하고 응하지 않을 경우 이를 근거로 신고·손해배상으로 연결할 수 있습니다. 권리 행사 기록 자체가 가해자의 고의·과실을 드러내는 정황이 되기도 합니다.

손해배상 받는 법 — 세 갈래의 청구

개인정보 침해로 인한 손해배상은 크게 세 갈래로 나뉩니다. 첫째는 일반 손해배상입니다. 개인정보 보호법 제39조는 개인정보처리자의 고의·과실로 정보가 유출·오용돼 손해를 입은 경우 배상을 청구할 수 있도록 하면서, 가해자가 스스로 고의·과실이 없음을 증명하지 못하면 책임을 면할 수 없도록 입증책임을 사실상 전환해 두었습니다. 일반 민사소송보다 피해자에게 유리한 구조입니다.

둘째는 법정손해배상입니다. 제39조의2는 정보주체가 구체적인 손해액을 일일이 증명하기 어려운 점을 고려해, 개인정보가 분실·도난·유출·위조·변조·훼손된 경우 300만원 이하의 범위에서 법원이 상당한 금액을 손해로 인정할 수 있도록 정합니다. 이 경우에도 가해자가 고의·과실 없음을 입증하지 못하면 책임을 지며, 정보주체는 실제 손해액을 세밀하게 증명하지 못해도 배상을 받을 길이 열립니다.

셋째는 징벌적 손해배상입니다. 개인정보처리자의 고의 또는 중대한 과실로 정보가 유출·훼손되어 피해가 발생하면, 법원은 제39조에 따라 실제 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다. 악의적으로 정보를 팔아넘겼거나 관리를 심각하게 소홀히 한 사안일수록 배상액이 커질 수 있다는 의미입니다. 세 갈래는 사안에 맞게 선택하거나 조합해 청구하게 됩니다.

손해액을 정밀하게 증명하기 어렵다면 300만원 이하의 법정손해배상을, 악의성이 크다면 손해액의 5배까지의 징벌적 배상을 검토합니다.

소송 대신 — 개인정보 분쟁조정위원회와 집단분쟁조정

손해배상을 반드시 법원 소송으로만 받아야 하는 것은 아닙니다. 개인정보와 관련한 분쟁은 개인정보 분쟁조정위원회에 조정을 신청할 수 있으며, 위원회는 신청을 받은 날부터 60일 이내에 심사해 조정안을 마련합니다. 소송보다 비용과 시간 부담이 작고, 조정이 성립하면 재판상 화해와 같은 효력이 인정되므로 개인 피해자가 우선 고려할 만한 통로입니다.

피해자가 다수인 대규모 유출 사건이라면 집단분쟁조정을 활용할 수 있습니다. 피해를 입은 정보주체의 수가 50명 이상이고 사건의 중요한 쟁점이 사실상 또는 법률상 공통되면 집단분쟁조정을 신청할 수 있고, 위원회는 절차 개시를 일정 기간 공고한 뒤 조정을 진행합니다. 한 명 한 명이 개별적으로 다투기 어려운 대량 유출 사안에서 피해자들이 힘을 모을 수 있는 제도입니다.

조정으로 만족스러운 결과가 나오지 않으면 그때 소송으로 넘어가면 됩니다. 실무에서는 증거가 비교적 명확하고 다수 피해가 얽힌 사건은 조정을, 배상액이 크고 다툼이 첨예한 사건은 소송을 택하는 식으로 전략을 나눕니다.

실무에서 놓치기 쉬운 점

가장 흔한 오해는 형사 신고만 하면 배상까지 자동으로 이뤄진다고 생각하는 것입니다. 앞서 짚었듯 형사처벌·과징금과 민사 손해배상은 별개의 트랙이므로, 처벌을 원한다면 고소·신고를, 돈을 돌려받으려면 손해배상 청구나 분쟁조정을 각각 진행해야 합니다. 두 절차를 병행하되, 형사 절차에서 확보되는 수사기록이 민사 입증에 도움이 되는 경우가 많습니다.

증거 확보도 승패를 가릅니다. 스팸 연락 기록, 유출 통지문, 열람·삭제 요구와 그 회신, 명의도용 피해 내역 등을 시간 순으로 정리해 두면 어느 단계에서든 주장을 뒷받침할 수 있습니다. 또한 손해배상 청구권에는 소멸시효가 적용되므로, 피해와 가해자를 안 때로부터 지나치게 오래 방치하면 권리 자체를 잃을 수 있다는 점도 유의해야 합니다.

마지막으로, 상대방이 개인인지 사업자인지에 따라 적용 법리와 회수 가능성이 달라집니다. 개인 간에 정보가 오간 사안은 형사 대응이 중심이 되고, 관리 책임이 있는 기업의 유출·판매 사안은 위에서 본 법정·징벌적 손해배상까지 폭넓게 검토할 수 있습니다. 사안의 구조를 먼저 파악한 뒤 신고·조정·소송의 조합을 설계하는 것이 효율적입니다.

자주 묻는 질문

Q. 스팸 전화만 받았을 뿐인데 개인정보가 팔렸다고 신고할 수 있나요?

A. 가능합니다. 가입한 적 없는 업체가 내 정보를 정확히 알고 연락해 온 것 자체가 불법 유통을 의심할 정황입니다. 다만 신고와 조사를 통해 유통 경로가 드러나야 하므로, 연락 기록과 발신번호를 보존하고 개인정보 침해 신고센터(118)에 정황을 구체적으로 진술하는 것이 좋습니다.

Q. 정보를 판 업체를 특정하지 못해도 배상받을 수 있나요?

A. 가해자가 특정되지 않으면 손해배상 청구의 상대방을 정하기 어렵습니다. 그래서 신고·조사와 열람 요구로 먼저 유통 경로와 책임 주체를 밝히는 것이 중요합니다. 반대로 유출 통지를 보낸 기업처럼 책임 주체가 분명한 경우에는 곧바로 손해배상이나 분쟁조정으로 나아갈 수 있습니다.

Q. 법정손해배상 300만원은 신고만 하면 무조건 받는 금액인가요?

A. 아닙니다. 300만원은 법원이 인정할 수 있는 상한일 뿐이며, 실제 인정액은 유출 정보의 민감도, 피해 정도, 가해자의 과실 정도 등을 따져 그 범위 안에서 정해집니다. 다만 구체적 손해액을 정밀하게 증명하지 못해도 배상을 받을 수 있다는 점에서 피해자에게 유리한 제도입니다.

Q. 회사가 해킹당해 유출된 경우에도 회사에 배상을 청구할 수 있나요?

A. 회사가 안전조치 의무를 다했는지가 관건입니다. 개인정보 보호법은 가해자인 개인정보처리자가 스스로 고의·과실 없음을 증명하지 못하면 책임을 면할 수 없도록 하고 있어, 관리 소홀이 인정되면 해킹으로 인한 유출이라도 배상 책임이 성립할 수 있습니다. 중대한 과실이 있으면 징벌적 배상까지 문제될 수 있습니다.

Q. 신고하면 정보를 판 사람이 처벌받고 저는 돈을 받는 건가요?

A. 형사처벌과 손해배상은 별개입니다. 신고·고소로 가해자가 처벌되거나 회사가 과징금을 물더라도 그 금액이 피해자에게 오는 것은 아닙니다. 손해를 돌려받으려면 손해배상 청구나 분쟁조정을 따로 진행해야 하며, 두 절차를 함께 밟는 것이 일반적입니다.

Q. 비용 부담 없이 배상을 받아 보는 방법이 있나요?

A. 개인정보 분쟁조정위원회에 조정을 신청하는 방법이 있습니다. 소송보다 절차가 간이하고 비용 부담이 작으며, 조정이 성립하면 재판상 화해와 같은 효력이 있습니다. 다수 피해가 얽힌 사건이라면 50명 이상이 참여하는 집단분쟁조정도 고려할 수 있습니다.

맺음말

내 정보가 불법으로 수집·판매됐다는 정황을 발견하면, 대응은 크게 두 축으로 나뉩니다. 하나는 개인정보 침해 신고센터(118)와 개인정보보호위원회를 통한 신고·제재의 축이고, 다른 하나는 일반·법정·징벌적 손해배상과 분쟁조정을 통한 배상의 축입니다. 두 축은 목적이 다르므로, 처벌과 회수를 모두 원한다면 병행하는 것이 원칙입니다.

핵심은 초기 증거 확보와 절차 선택입니다. 스팸 기록·유출 통지문·삭제 요구 회신을 남겨 두고, 사안이 개인 간 유통인지 기업의 관리 소홀인지에 따라 신고·조정·소송을 조합하면 피해 회복 가능성이 높아집니다. 반대로 시간을 오래 흘려보내면 소멸시효로 권리 자체를 잃을 수 있으니 대응은 이를수록 좋습니다.

개인정보 유출·불법 판매 사건은 유통 경로가 복잡하고 형사·행정·민사가 얽혀 있어 혼자 판단하기 어려운 경우가 많습니다. 수원·경기남부 지역에서 이런 문제로 대응 방향을 잡기 어렵다면, 사안의 구조를 함께 살펴 신고와 배상 전략을 세워 보시길 권합니다.

조력이 필요하시면 010-3432-1451 강대현 변호사에게 연락주십시오. 신속히 도와드리겠습니다.

의뢰인을 위한 최선의 전략을 끊임없이 고민합니다.