유출 문자 한 통, 위자료가 될까 — 법원이 보는 '유출 이후'의 네 가지 신호대안
"고객님의 개인정보가 외부에 노출된 사실을 확인하였습니다."
이런 문자를 받으면 불쾌하고 불안합니다. 그런데 통장에서 돈이 빠져나간 것도 아니고 누가 내 이름으로 대출을 받은 것도 아니라면, 회사에 무엇을 청구할 수 있을지 막막해집니다.
'유출됐다'는 사실과 '배상받을 수 있다'는 결론 사이에는 생각보다 거리가 있습니다. 이 글은 그 거리를 무엇으로 메우는지를 다룹니다. 어떤 청구를 고를지, 법원이 무엇을 보는지, 그리고 지금 무엇을 남겨 둬야 하는지입니다.
먼저 청구 방식부터 고릅니다
유출 피해자가 기댈 수 있는 조문은 하나가 아닙니다. 개인정보 보호법에는 성격이 다른 청구가 세 가지 있고, 내가 증명할 수 있는 것에 따라 고를 길이 달라집니다.
① 일반 손해배상 (제39조 제1항). 회사가 법을 위반했고 그 때문에 손해를 입었다는 점을 정보주체가 보여줘야 합니다. 회사가 책임을 벗으려면 고의·과실이 없었다는 점을 스스로 입증해야 합니다. 배상액은 증명한 손해만큼입니다.
② 법정손해배상 (제39조의2). 회사의 고의·과실로 개인정보가 유출 등이 된 경우 300만 원 이하에서 상당한 금액을 청구할 수 있습니다. 손해액을 하나하나 계산해 보일 필요가 없다는 점이 핵심입니다. 일반 손해배상으로 소송을 시작했더라도 사실심 변론이 끝나기 전까지는 이 청구로 바꿀 수 있습니다.
③ 징벌적 손해배상 (제39조 제3항). 고의 또는 중대한 과실로 유출 등이 되었고 실제로 손해가 생겼다면, 법원은 손해액의 5배 이내에서 배상액을 정할 수 있습니다. 배수는 실제 손해에 붙는 것이므로, 눈에 보이는 피해가 없는 사람에게는 사실상 ②가 현실적인 선택지입니다.
법원은 '유출 이후'를 봅니다
정신적 손해, 곧 위자료를 인정할지에 대해서는 대법원이 2012년에 세운 기준이 지금도 쓰입니다(대법원 2012. 12. 26. 선고 2011다59834 판결). 유출됐다는 한 가지 사실로 결론을 내지 않고 여러 사정을 종합해 사건마다 따로 판단하라는 것입니다. 그 요소를 네 가지 질문으로 정리하면 이렇습니다.
무엇이 나갔나: 정보의 종류와 성격, 그리고 그 정보로 나를 특정할 수 있는지
누가 봤나: 제3자가 실제로 열람했는지, 앞으로 열람될 가능성이 있는지
어디까지 퍼졌나: 유출 직후 회수됐는지, 업자나 시장으로 흘러갔는지
그다음이 있나: 피싱·도용 같은 추가 피해로 번질 가능성이 있는지
여기에 회사 쪽 사정도 함께 봅니다. 평소 관리 실태, 유출 경위, 피해 확산을 막으려고 무엇을 했는지입니다.
똑같이 '유출'이라고 불려도 무게는 크게 다릅니다. 주민등록번호와 계좌정보가 묶여 유통된 경우와, 다른 정보와 결합되지 않은 이메일 주소 하나가 나간 경우는 법원이 전혀 다르게 봅니다.
2025년 12월 대법원 판결: 쉬워진 것과 그대로인 것
법정손해배상에 대해서는 2025년 12월 의미 있는 판결이 나왔습니다(대법원 2025. 12. 4. 선고 2023다311184 판결).
쉬워진 것. 정보주체는 개인정보가 유출 등이 되었다는 사실만 주장·증명하면 됩니다. 손해가 생겼다는 사실까지 구체적으로 증명할 필요는 없다고 대법원이 분명히 했습니다.
그대로인 것. 회사에도 빠져나갈 길이 남아 있습니다. 위자료로 배상할 만한 정신적 손해가 생기지 않았다는 점을 회사가 증명하면 책임을 면합니다. 그 판단에는 위의 네 가지 신호가 그대로 쓰입니다. 다만 대법원은 이 반증을 너무 쉽게 받아주면 제도의 취지가 사라진다는 점도 함께 경계했습니다.
이 사건 자체의 결론은 청구 기각이었습니다. 유출된 것은 지식공유 사이트 가입자의 암호화된 비밀번호와, 이름 등 다른 정보와 결합되지 않은 이메일 주소였습니다. 2년 넘게 2차 피해 정황도 확인되지 않았습니다. 법원은 정신적 손해가 생겼다고 보기 어렵다고 판단했습니다.
정리하면, 법정손해배상은 손해를 증명하는 부담을 덜어줄 뿐 결과를 보장하지는 않습니다. 결국 승부는 '정황'에서 납니다.
같은 '유출'이어도 판단이 갈리는 두 장면
아래는 설명을 위해 만든 가상의 예입니다.
장면 1. 한 커뮤니티 사이트에서 이메일과 암호화된 비밀번호가 유출됐다는 통지가 왔습니다. 이후 특별한 이상 징후는 없었습니다. 위 2025년 판결과 거의 같은 구조라서, 법정손해배상을 청구해도 회사가 '손해 없음'을 반증하기 쉬운 사안입니다.
장면 2. 배달 앱에서 이름, 휴대전화 번호, 배송 주소, 주문 내역이 유출됐습니다. 며칠 뒤부터 택배 회사를 사칭한 스미싱 문자가 연달아 오고, 유출 데이터가 판매 게시판에 올라왔다는 보도가 나왔습니다. 정보 자체로 신원이 특정되고, 제3자가 열람했을 가능성과 추가 피해 가능성이 구체적으로 드러난 경우입니다. 위자료를 다퉈볼 여지가 훨씬 넓어집니다.
두 장면을 가르는 것은 피해자가 느낀 불안의 크기가 아닙니다. 그 불안을 뒷받침하는 기록이 있느냐입니다.
통지를 받은 날부터 남겨 둘 것
유출 통지문 원본: 문자나 이메일을 캡처하되, 유출 항목과 일시가 보이게 남깁니다.
이상 징후 일지: 스미싱, 모르는 곳에서 온 로그인 시도 알림, 스팸 급증을 날짜별로 기록합니다. 이런 흔적은 생각보다 빨리 사라집니다.
내가 한 대응: 비밀번호 변경, 명의도용 방지 서비스 가입처럼 피해를 막으려고 한 일도 기록해 둡니다.
행정처분·수사 결과: 개인정보보호위원회의 처분 공표나 보도자료, 언론 보도는 회사의 관리 실태와 유출 경위를 보여주는 자료가 됩니다.
회사가 내민 서류: 보상 쿠폰이나 합의 제안을 받았다면, 수락하기 전에 '향후 이의를 제기하지 않는다'는 문구가 있는지 확인합니다.
시효도 함께 계산해야 합니다. 손해와 가해자를 안 날부터 3년, 유출(불법행위)이 있은 날부터 10년 가운데 하나라도 먼저 지나면 청구할 수 없습니다. 유출 통지를 받은 날이 '안 날'로 다퉈지는 경우가 많으니 통지 날짜부터 확인하시기 바랍니다.
2026년 9월부터 달라진 점
2026년 9월 11일부터 시행된 개정 개인정보 보호법은 회사에 대한 제재를 크게 강화했습니다. 고의·중과실로 같은 위반을 반복하거나 대규모 유출을 일으킨 중대한 경우, 과징금을 전체 매출액의 최대 10%까지 매길 수 있게 됐습니다(종전 최대 3%). 손해배상 조문의 표현도 '분실·도난·유출·위조·변조 또는 훼손'에서 '유출등'으로 정리됐습니다.
과징금은 국가에 내는 돈이라 피해자에게 바로 돌아오지는 않습니다. 그래도 처분 과정에서 확인된 위반 사실은 민사 청구에서 중요한 자료가 됩니다.
자주 묻는 질문
Q. 피해자가 수만 명인데, 한 번에 소송하는 방법은 없나요?
우리나라에서 미국식 집단소송은 증권 분야에만 있습니다. 개인정보 유출 사건에서는 보통 피해자 여러 명이 원고로 함께 이름을 올리는 공동소송 형태로 진행합니다. 개인정보 보호법의 단체소송은 침해 행위를 멈추게 하는 청구만 할 수 있고 손해배상은 청구할 수 없습니다.
Q. 소송 말고 다른 방법은 없나요?
개인정보 분쟁조정위원회에 조정을 신청할 수 있습니다. 같은 사건으로 피해를 입은 사람이 많다면 집단분쟁조정 절차도 있습니다. 비용과 시간 부담이 적은 대신, 회사가 조정안을 받아들이지 않으면 결국 소송으로 가야 합니다.
Q. 회사가 보상 쿠폰을 준다는데, 받으면 소송을 못 하나요?
쿠폰을 받았다는 사실만으로 청구권이 사라지지는 않는 것이 일반적입니다. 다만 수령 조건에 합의나 부제소(소송을 하지 않겠다는 약속) 취지의 문구가 들어 있다면 이야기가 달라질 수 있습니다. 동의 버튼을 누르기 전에 조건 문구를 확인하시기 바랍니다.
마치며
유출 통지는 출발점일 뿐입니다. 배상 여부는 무엇이 나갔는지, 누가 봤는지, 어디까지 퍼졌는지, 그다음 무슨 일이 있었는지로 갈립니다. 통지를 받았다면 기록부터 시작하시고, 내 사안이 어느 쪽에 가까운지 판단이 서지 않으면 유출 항목과 정황 자료를 정리해 상담을 받아보시기 바랍니다.
이 글은 일반적인 정보 제공을 위한 것이며, 개별 사건에 대한 법률 자문이 아닙니다.