개인정보 유출 손해배상, 고의·중과실이면 손해액 5배까지 징벌적 배상받는다 

개인정보가 유출됐다는 통지를 받으면 곧바로 손해배상부터 떠올리는 경우가 많습니다. 실제로 개인정보 보호법은 개인정보처리자의 고의 또는 중대한 과실로 유출이 발생했다면 법원이 실제 손해액의 5배까지 배상액을 정할 수 있도록 하는 징벌적 손해배상 제도를 두고 있습니다. 그러나 5배라는 숫자만 보고 큰 금액을 기대했다가, 정작 손해 자체를 입증하지 못해 배상을 거의 받지 못하는 경우도 적지 않습니다. 이 글에서는 징벌적 손해배상이 실제로 성립하는 요건, 법원이 배상액을 정할 때 무엇을 보는지, 그리고 손해 입증이 어려울 때 택할 수 있는 다른 구제수단까지 정리합니다.

법무법인 도모 강대현 대표변호사

---

개인정보 유출 손해배상, 일반손해배상과 법정손해배상 두 갈래

개인정보 보호법은 개인정보가 유출되어 정보주체(피해자)가 손해를 입은 경우 손해배상을 청구할 수 있는 경로를 두 가지로 마련해두고 있습니다. 첫째는 같은 법 제39조 제1항에 따른 일반 손해배상으로, 정보주체가 실제로 발생한 손해의 내용과 액수를 구체적으로 주장·입증해야 하는 방식입니다. 둘째는 제39조의2에 따른 법정손해배상으로, 실제 손해액을 개별적으로 입증하지 않고도 300만원 이하의 범위에서 법원이 상당하다고 인정하는 금액을 배상받는 방식입니다. 두 제도 모두 개인정보처리자가 자신에게 고의나 과실이 없었음을 스스로 입증하지 못하면 책임을 면할 수 없도록 입증책임을 전환해두었다는 공통점이 있습니다.

어느 쪽을 선택하느냐에 따라 소송의 양상이 크게 달라집니다. 일반손해배상을 청구하면 유출로 인한 정신적 고통이나 재산상 손해를 구체적으로 소명해야 하지만, 손해액이 크게 인정될수록(그리고 고의·중과실까지 인정되면) 그 금액의 5배까지 배상액이 늘어날 여지가 생깁니다. 반면 법정손해배상은 입증 부담이 훨씬 가볍지만, 상한액 자체가 300만원으로 낮게 묶여 있어 애초에 5배 규정이 적용될 여지가 없습니다. 소를 제기한 뒤에도 사실심 변론이 종결되기 전까지는 일반손해배상 청구를 법정손해배상 청구로 변경할 수 있으므로, 소송 진행 상황에 따라 입증 전략을 조정하는 것도 가능합니다. 이 글에서 다루는 손해액의 5배까지 인정되는 징벌적 손해배상은 이 중 첫 번째, 일반손해배상 경로를 전제로 한 제도입니다.

법정손해배상(300만원 이하)은 입증 부담을 낮추는 대신 5배 규정이 적용되지 않는다 — 5배 징벌적 배상은 실손해액을 구체적으로 입증한 일반손해배상 경로에서만 문제된다.

징벌적 손해배상의 성립 요건 — 고의 또는 중대한 과실

손해액의 5배까지 배상을 명할 수 있는 근거는 개인정보 보호법 제39조 제3항입니다. 이 조항은 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우로서 정보주체에게 손해가 발생했을 때 적용됩니다. 여기서 핵심은 '고의 또는 중대한 과실'이라는 요건으로, 단순한 경과실만으로는 징벌적 손해배상이 적용되지 않고 제1항의 일반 손해배상 책임만 문제 됩니다. 중대한 과실이 인정되려면 통상적인 주의만 기울였어도 쉽게 피할 수 있었던 결과를 방치했다는 사정, 예컨대 개인정보 보호법령이 요구하는 접근통제·암호화 등 안전조치 의무를 장기간 방치했거나 이미 알려진 취약점을 보완하지 않은 채 방치한 사정 등이 함께 주장·증명되어야 합니다.

입증책임의 구조도 정보주체에게 유리하게 설계돼 있습니다. 정보주체는 개인정보가 유출된 사실과 그로 인해 손해가 발생했다는 사실만 주장하면 되고, 개인정보처리자 쪽에서 스스로 고의나 중과실이 없었음을 증명하지 못하면 책임을 면할 수 없습니다. 다만 이 입증책임 전환은 '고의 또는 과실 없음'의 부존재에 대한 것이지, 애초에 손해가 발생했다는 사실 자체까지 개인정보처리자가 반박해야 하는 구조는 아닙니다. 손해 발생 사실은 여전히 정보주체 쪽에서 먼저 주장해야 하고, 이 지점에서 뒤에서 다룰 손해액 입증의 어려움이 생깁니다.

경과실만으로는 5배 규정이 적용되지 않는다 — 안전조치 의무 위반을 장기간 방치하는 등 '고의 또는 중대한 과실'에 해당하는 사정까지 함께 주장해야 한다.

법원이 배상액을 정할 때 보는 8가지 기준

손해액의 몇 배를 인정할지는 법원의 재량에 맡겨져 있지만, 개인정보 보호법 제39조 제4항은 그 재량이 자의적으로 흐르지 않도록 법원이 반드시 고려해야 할 사항을 구체적으로 열거해두고 있습니다. 이 조항이 정한 고려요소는 손해의 발생 경위뿐 아니라 개인정보처리자가 사고 이후 어떻게 대응했는지까지 폭넓게 아우릅니다. 소송에서는 이 8가지 요소 각각에 대해 유리한 사실을 구체적으로 제시하는 쪽이 실제 인정 배수에서 차이를 만듭니다.

• 고의 또는 손해 발생의 우려를 인식한 정도

• 위반행위로 인하여 정보주체가 입은 피해 규모

• 위법행위로 개인정보처리자가 취득한 경제적 이익

• 위반행위에 따라 부과된 벌금 및 과징금

• 위반행위의 기간·횟수 등

• 개인정보처리자의 재산상태

• 유출된 개인정보를 회수하기 위해 노력한 정도

• 정보주체의 피해구제를 위해 노력한 정도

이 목록에서 눈여겨볼 지점은 앞의 다섯 항목이 '위반행위 자체가 얼마나 중했는가'를 보는 반면, 뒤의 세 항목(재산상태·회수노력·피해구제노력)은 유출 이후 개인정보처리자가 어떻게 움직였는지를 본다는 것입니다. 즉 유출 자체를 막지 못했더라도 사고 직후 신속하게 정보를 회수하고 피해자 구제에 성실히 나섰다면 그 사정이 배상액을 낮추는 방향으로 작용할 수 있고, 반대로 유출 사실을 은폐하거나 뒤늦게 알리는 등 사후 대응이 부실했다면 배상액을 높이는 사정으로 반영될 수 있습니다. 정보주체 입장에서는 소송 과정에서 상대방의 사후 대응 부실을 구체적으로(신고 지연 경위, 피해자 안내 미비 등) 자료로 정리해 제시하는 것이 배상액 산정에 실질적인 영향을 줍니다.

8가지 기준 중 절반가량은 '유출 이후 무엇을 했는가'를 본다 — 사고 직후의 회수·피해구제 노력이 배상액을 가르는 실질적 변수다.

손해액 자체를 입증하기 어려운 현실 — 위자료 인정의 문턱

5배 규정이 아무리 넓게 열려 있어도, 곱셈의 대상이 되는 손해액 자체가 인정되지 않으면 배수는 의미가 없습니다. 대법원 2018. 12. 28. 선고 2018다214142 판결은 개인정보가 정보주체의 의사에 반하여 유출된 경우 위자료로 배상할 만한 정신적 손해가 발생했는지를 판단할 때, 유출된 정보의 종류와 성격, 정보주체의 식별 가능성, 제3자의 열람 여부 또는 열람 가능성, 정보가 확산된 범위, 추가적인 법익침해로 이어질 가능성, 개인정보처리자의 관리 상태와 유출 경위 등을 종합적으로 고려해야 한다고 판시했습니다. 단순히 이름과 연락처 정도가 유출된 사안과, 주민등록번호·계좌정보·비밀번호처럼 그 자체로 2차 피해를 낳을 수 있는 정보가 유출된 사안은 위자료 인정 여부와 액수에서 뚜렷한 차이가 납니다.

실무에서 반복적으로 확인되는 경향은, 유출 이후 실제로 스팸이나 보이스피싱, 명의도용 같은 2차 피해로 이어졌다는 정황이 없는 한 인정되는 위자료 액수가 크지 않다는 점입니다. 카드사 고객 1,000만여 명의 개인정보가 유출된 사건을 다룬 대법원 2019. 9. 26. 선고 2018다222303 판결에서도, 주민등록번호 등 영구적으로 변경하기 어려운 정보가 포함되고 제3자가 열람했을 가능성이 있다는 점을 인정하면서도 실제로 인정된 위자료는 피해자 1인당 7만원에 그쳤습니다. 이는 5배 징벌적 손해배상이 적용된다고 해도 기초가 되는 손해액이 작으면 최종 배상액 역시 크게 늘어나지 않는다는 뜻이기도 합니다. 그래서 소송을 준비할 때는 5배라는 배수 자체보다, 유출된 정보의 민감도와 실제 피해 정황을 얼마나 구체적으로 소명할 수 있는지가 더 중요한 쟁점이 됩니다.

2차 피해로 이어진 정황이 없으면 위자료 자체가 1인당 수만원 수준에 그친 사례가 있다 — 5배를 곱해도 기초 손해액이 작으면 결과 금액은 크지 않다.

실손해액이 작으면 5배를 곱해도 크지 않다 — 실익을 따지는 법

위 판례처럼 위자료가 1인당 7만원 수준으로 인정된 사안에 5배 규정을 그대로 적용해도 배상액은 35만원에 그칩니다. 이처럼 개인정보 유출 손해배상에서 5배라는 숫자가 주는 인상과 실제로 받을 수 있는 금액 사이에는 상당한 간극이 있을 수 있습니다. 그럼에도 대규모 유출 사건에서 5배 규정이 의미를 가지는 것은, 피해자 개개인의 청구액은 작더라도 유출된 개인정보의 규모가 수만~수백만 건에 이르는 경우 총 배상액 자체가 커지고, 그만큼 개인정보처리자에게 실질적인 억지 효과를 낼 수 있기 때문입니다.

정보주체 개인의 입장에서 소송의 실익을 판단할 때는 예상되는 위자료 액수, 소송에 드는 시간과 비용, 그리고 다른 피해자들과 함께 대응할 수 있는지를 함께 살펴야 합니다. 같은 유출 사고로 피해를 입은 사람이 다수라면 여러 명이 함께 소송을 제기하거나 소송대리인을 통해 공동으로 대응함으로써 개별 소송에 드는 부담을 낮추는 방법이 실무에서 자주 쓰입니다. 반대로 유출된 정보가 이름·연락처 정도에 그치고 2차 피해 정황도 없다면, 민사소송보다 비용 부담이 훨씬 적은 다음 항목의 분쟁조정 절차를 먼저 활용하는 편이 현실적일 수 있습니다.

위자료가 1인당 수만원 수준에 그치면 5배를 곱해도 개인이 얻는 실익은 크지 않다 — 대규모 유출에서는 다수 피해자의 공동 대응이 현실적인 전략이 된다.

개인정보 분쟁조정위원회를 통한 신속한 구제

소송 대신 활용할 수 있는 제도로 개인정보 보호법에 따라 설치된 개인정보 분쟁조정위원회가 있습니다. 정보주체는 개인정보 침해로 인한 피해를 이유로 이 위원회에 조정을 신청할 수 있고, 위원회는 신청을 접수한 날부터 60일 이내에 사실관계를 조사해 조정안을 작성하는 것을 원칙으로 합니다. 소송과 달리 별도의 인지대나 송달료 없이 신청할 수 있고, 절차가 서면과 사실조사 위주로 진행되어 소송보다 훨씬 신속하게 결론이 나오는 경우가 많습니다.

조정안을 당사자 양쪽이 수락하면 그 조정은 재판상 화해와 같은 효력을 가지게 되어, 상대방이 이를 이행하지 않을 경우 별도의 소송 없이 강제집행 절차로 나아갈 수 있습니다. 다만 개인정보처리자가 조정안을 거부하거나 조정이 성립하지 않으면, 정보주체는 그동안의 조사 결과와 자료를 가지고 그대로 민사소송으로 넘어갈 수 있습니다. 손해액이 크지 않은 사안에서는 이 분쟁조정 절차를 먼저 거쳐보고, 여기서 만족스러운 결과를 얻지 못했을 때 비로소 소송에서 징벌적 손해배상까지 주장하는 순서로 대응하는 것이 비용 대비 효율적인 경우가 많습니다.

분쟁조정이 성립하면 재판상 화해와 같은 효력이 생긴다 — 조정 불성립 시에는 조사 자료를 그대로 들고 소송으로 이행할 수 있어 손해가 크지 않은 사안에서 먼저 검토할 가치가 있다.

개인정보처리자가 배상액을 줄이려면 — 회수·피해구제 노력의 무게

앞서 살펴본 8가지 고려요소 중 회수 노력과 피해구제 노력은 개인정보처리자가 유출 이후 스스로 통제할 수 있는 유일한 변수입니다. 개인정보 보호법 제34조는 개인정보처리자가 유출 사실을 알게 된 때부터 72시간 이내에 개인정보 보호위원회 또는 한국인터넷진흥원 같은 전문기관에 신고하도록 의무를 두고 있고, 정당한 사유 없이 이를 넘기면 별도의 과태료 제재까지 뒤따릅니다. 신고와 통지를 지체 없이 이행했다는 사정 자체가 8가지 고려요소 중 '피해구제를 위해 노력한 정도'를 뒷받침하는 자료가 되므로, 유출 인지 즉시 대응 매뉴얼에 따라 움직이는 것이 소송 국면에서도 유리하게 작용합니다.

• 72시간 이내 개인정보 보호위원회·전문기관 신고

• 정보주체에게 유출 항목·경위·피해 최소화 방법 통지

• 2차 피해 방지 조치(비밀번호 변경 안내, 카드 재발급 등) 시행

• 신고·통지·조치 경과를 문서로 기록해 보관

유출된 정보가 외부로 확산되기 전에 회수하거나 접근을 차단한 경위, 피해자들에게 개별 통지를 하고 상담 창구를 운영한 내역, 2차 피해를 막기 위해 비밀번호 일괄 변경이나 카드 재발급을 안내한 조치 등은 모두 소송에서 배상액을 다투는 국면에 구체적인 증거로 제출할 수 있습니다. 반대로 유출 사실을 뒤늦게 공지했거나 초기 대응 과정에서 피해 규모를 축소해 안내한 정황이 드러나면, 이는 고의·중과실 판단과 배상액 산정 양쪽에서 불리하게 작용할 수 있습니다. 개인정보처리자 입장에서는 유출 자체를 완벽히 막는 것 못지않게, 유출 이후의 대응 기록을 처음부터 체계적으로 남겨두는 것이 소송 리스크를 줄이는 실질적인 방법입니다.

72시간 이내 신고, 신속한 통지, 회수·피해구제 조치의 기록 — 유출 자체를 막지 못했더라도 사후 대응의 흔적이 배상액을 가른다.

자주 묻는 질문

Q. 개인정보가 유출됐다는 사실만으로 손해배상을 받을 수 있나요?

A. 유출 사실만으로 곧바로 배상이 인정되는 것은 아니며, 그로 인한 정신적 손해가 실제로 발생했다고 볼 수 있어야 합니다. 법원은 유출된 정보의 종류와 성격, 확산 범위, 2차 피해 가능성 등을 종합적으로 살펴 손해 발생 여부를 판단하므로, 이름·연락처가 잠깐 노출된 정도라면 손해 자체가 인정되지 않을 수 있습니다.

Q. 징벌적 손해배상(5배)과 법정손해배상(300만원) 중 어느 쪽을 청구하는 게 유리한가요?

A. 손해액을 구체적으로 입증할 수 있고 그 액수가 어느 정도 클 것으로 예상된다면 일반손해배상을 청구해 5배 규정까지 노려볼 수 있습니다. 반대로 입증이 까다롭거나 예상 손해액이 크지 않다면 입증 부담이 가벼운 법정손해배상이 더 실용적일 수 있고, 소송 도중에도 사실심 변론 종결 전까지는 청구 형태를 바꿀 수 있습니다.

Q. 회사의 "중대한 과실"은 구체적으로 어떤 경우에 인정되나요?

A. 법령이 요구하는 접근통제·암호화 등 안전조치를 장기간 이행하지 않았거나, 이미 알려진 보안 취약점을 보완하지 않고 방치한 경우 등이 대표적입니다. 단순한 실수나 예측하기 어려운 해킹 기법에 의한 유출은 경과실로 평가돼 5배 규정이 적용되지 않을 수 있습니다.

Q. 회사가 유출 사실을 뒤늦게 알려줬다면 그 자체로 배상 사유가 되나요?

A. 통지·신고 지연 자체가 별도의 손해배상 청구권을 만들어내는 것은 아니지만, 배상액을 정할 때 고려하는 '피해구제를 위한 노력' 요소에서 불리하게 반영될 수 있습니다. 미신고 사실이 확인되면 과태료 등 행정 제재로 이어질 수도 있습니다.

Q. 개인정보 분쟁조정을 신청하면 소송은 못 하나요?

A. 그렇지 않습니다. 조정이 성립하지 않으면 그동안의 조사 자료를 가지고 그대로 민사소송으로 넘어갈 수 있습니다. 다만 조정안을 당사자가 모두 수락하면 재판상 화해와 같은 효력이 생겨, 이후 같은 사안으로 다시 소송을 제기하기는 어렵습니다.

Q. 유출된 정보가 주민등록번호나 계좌 비밀번호처럼 민감하면 배상액이 더 커지나요?

A. 그럴 가능성이 큽니다. 법원은 위자료 인정 여부와 액수를 정할 때 유출된 정보의 종류와 성격, 식별 가능성을 중요하게 고려하므로, 단순 연락처보다 주민등록번호·금융정보처럼 2차 피해로 직결될 수 있는 정보가 유출된 경우 더 많은 배상액이 인정되는 경향이 있습니다.

맺음말

개인정보 유출 손해배상에서 '고의·중과실이면 5배까지'라는 규정은 강력해 보이지만, 실제로 배상받을 수 있는 금액은 기초가 되는 손해액이 얼마로 인정되느냐에 크게 좌우됩니다. 유출 사실 자체보다 유출된 정보의 성격과 확산 범위, 2차 피해 여부, 그리고 개인정보처리자가 사고 이후 어떻게 대응했는지를 구체적으로 정리하는 작업이 소송의 승패와 배상액을 가릅니다.

손해액이 크지 않을 것으로 예상되는 사안이라면 분쟁조정위원회를 먼저 활용해 신속하게 결론을 얻는 방법도 함께 검토할 만합니다. 반대로 유출 규모가 크고 2차 피해 정황이 뚜렷하다면, 처음부터 소송을 통해 징벌적 손해배상까지 주장하는 편이 나을 수 있습니다.

수원과 경기남부 지역에서 개인정보 유출로 피해를 입었다면, 유출 경위와 손해 입증 자료를 어떻게 준비하느냐에 따라 결과가 크게 달라질 수 있는 만큼 대응 방향을 정하기 전에 관련 자료부터 차분히 정리해 보시길 권합니다.

조력이 필요하시면 010-3432-1451 강대현 대표변호사에게 연락주십시오. 신속히 도와드리겠습니다.

의뢰인을 위한 최선의 전략을 끊임없이 고민합니다.