개인정보가 유출되면 얼마를 배상받나요, 대법원 판결을 찾아 읽었습니다

"고객님의 개인정보가 유출된 사실을 알려드립니다."

요 몇 년 사이 이런 문자나 메일을 한 번도 받아보지 않은 사람이 오히려 드물 겁니다. 문자 끝에는 보통 사과 한 줄과 안내 페이지 링크가 붙어 있고, 며칠 뒤 뉴스에는 "역대 최대 과징금"이라는 제목이 뜹니다. 그리고 그걸로 끝입니다. 통장에는 아무 일도 일어나지 않습니다.

저는 이 대목이 늘 이상했습니다. 회사는 수백억 원을 물었다는데 왜 정보가 털린 사람 손에는 아무것도 안 들어오는가. 그래서 이번에는 기사 대신 원문을 찾아보기로 했습니다. 개인정보보호위원회의 처분 의결 자료와, 대법원이 확정한 유출 손해배상 판결들을 차례로 읽었습니다. 결론부터 말하면, 제가 알고 있던 것 중 절반은 틀렸습니다.

1,348억 원은 애초에 제 돈이 아니었습니다

가장 최근의 대형 사건부터 봤습니다. 개인정보보호위원회는 2025년 8월 27일 전체회의에서 SK텔레콤에 과징금 1,347억 9,100만 원과 과태료 960만 원을 부과하기로 의결했습니다.

의결서에 적힌 유출 규모가 상당합니다. LTE·5G 서비스 전체 이용자 2,324만 4,649명(알뜰폰 포함, 중복 제거)의 휴대전화번호와 가입자식별번호(IMSI), 유심 인증키(Ki, OPc) 등 25종의 정보가 빠져나갔습니다. 가입자 정보가 모여 있는 서버의 데이터베이스에서 9.82GB가 외부로 유출된 것으로 조사됐습니다. 조사 과정에서는 방화벽 설정 미흡, 서버 계정정보 관리 부실, 암호화 미실시 같은 위반 사항이 확인됐습니다.

여기서 제가 처음에 착각했던 부분이 나옵니다. 저는 막연히 저 과징금 중 일부가 피해자에게 흘러간다고 생각했습니다. 그렇지 않습니다. 과징금은 국가가 법 위반 기업에 물리는 제재이고, 그 돈은 국고로 들어갑니다. 배상이 아닙니다. 피해자에게 가는 경로는 처음부터 별개로 존재합니다.

굳이 나눠보면 감이 옵니다. 1,347억 9,100만 원을 2,324만 4,649명으로 나누면 한 사람당 약 5,800원입니다. 그마저도 받는 돈이 아니라 계산상의 숫자일 뿐입니다. 유출 통지를 늦게 한 것에 대한 과태료 960만 원을 같은 인원으로 나누면 1인당 0.41원이 됩니다. 액수의 크기를 따지자는 게 아니라, 과징금·과태료라는 제도가 개인의 피해를 메우려고 설계된 게 아니라는 뜻입니다.

그러면 직접 소송하면 되는 것 아닌가요

그래서 개인이 직접 낸 소송들이 어떻게 끝났는지 찾아봤습니다. 국내에서 대법원까지 간 대형 사건이 몇 건 있습니다.

첫 번째는 2008년 옥션 사건입니다. 중국인 해커로 추정되는 이들이 웹서버에 네 차례 침입해 이름, 주민등록번호, 주소, 연락처, 계좌번호 등 1,080만 7,471명분의 정보를 빼냈습니다. 피해자들은 1인당 200만 원을 청구하며 소송을 냈고, 참여자가 14만 6,601명에 달해 당시 역대 최대 규모의 집단소송으로 기록됐습니다.

결과는 2015년 2월 12일 대법원에서 원고 패소로 확정됐습니다. 같은 날 관련 소송 4건이 모두 같은 결론으로 선고됐습니다. 법원은 사고 당시의 보안 조치 수준, 해킹 방지 기술의 발전 상황, 해킹 수법 등을 고려할 때 회사에 과실이 있다고 보기 어렵다고 판단했습니다. 피해자들은 방화벽을 두지 않았고 주민번호를 암호화하지 않았다고 주장했지만, 당시 법령상 위법은 아니라는 이유로 받아들여지지 않았습니다. 7년을 다투고 14만 명이 이름을 올렸는데 한 사람도 배상을 받지 못했습니다.

두 번째는 2012년 KT 사건입니다. 870만 명의 정보가 유출된 이 사건도 2018년 12월 28일 대법원에서 회사의 배상 책임을 인정하지 않는 것으로 확정됐습니다.

세 번째는 2014년 카드 3사 사건입니다. KB국민·NH농협·롯데카드에서 총 1억 400만 건의 고객정보가 빠져나간 사건인데, 여기서는 결론이 달랐습니다. 대법원은 1인당 10만 원을 배상하라는 원심을 확정했습니다.

사건	유출 규모	개인이 청구한 금액	최종 결과
옥션 (2008)	1,080만 7,471명	1인당 200만 원	배상 없음 (2015년 확정)
KT (2012)	870만 명	위자료 청구	배상 없음 (2018년 확정)
카드 3사 (2014)	1억 400만 건	위자료 청구	1인당 10만 원 확정
SK텔레콤 (2025)	2,324만 4,649명	행정처분 단계	과징금 1,347억 9,100만 원(국고)

저는 "300만 원"을 잘못 알고 있었습니다

찾다 보니 개인정보 보호법에 법정손해배상 조항이 있다는 걸 알게 됐습니다. 제39조의2입니다. 정보주체는 개인정보가 분실·도난·유출된 경우 300만 원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다는 내용입니다.

이걸 처음 읽었을 때 저는 "유출만 확인되면 입증 없이 최대 300만 원을 받을 수 있는 제도"로 이해했습니다. 실제로 그렇게 소개하는 글도 많았습니다. 그런데 이 조항을 정면으로 다룬 대법원 판결이 작년 말에 나왔습니다. 2025년 12월 4일 선고된 2023다311184 사건입니다.

대법원의 판단은 두 갈래였습니다. 먼저, 정보주체는 개인정보가 유출됐다는 사실만 주장하고 증명하면 되고 손해가 발생했다는 사실까지 구체적으로 증명할 필요는 없다고 확인했습니다. 여기까지는 제가 알던 것과 같습니다.

문제는 그다음입니다. 손해가 발생하지 않은 것이 분명한 경우까지 배상 의무를 인정하려는 취지는 아니므로, 기업 쪽에서 "위자료로 배상할 만한 정신적 손해가 발생하지 않았다"는 점을 증명하면 이 조항에 따른 책임을 면할 수 있다고 봤습니다. 입증 책임이 뒤집혀 있을 뿐, 반박의 문은 열려 있다는 뜻입니다.

그 사건의 실제 결론이 그렇습니다. 한 지식공유 사이트가 해킹당해 이용자의 암호화된 비밀번호와 이메일 주소가 유출됐고, 이용자가 위자료를 청구했습니다. 대법원은 상고를 기각했습니다. 비밀번호가 암호화되어 있어 제3자가 내용을 파악했을 가능성이 매우 낮고, 이메일 주소가 성명 등 다른 개인정보와 결합된 상태로 유출되지 않아 그것만으로는 누구인지 식별하기 어렵다는 이유였습니다.

판결을 가른 것은 유출 규모가 아니었습니다

네 건을 나란히 놓고 보니 기준이 보였습니다. 제가 예상했던 것과 다른 지점이었습니다.

저는 유출된 사람 수가 많을수록, 그리고 제가 불안하고 불쾌한 정도가 클수록 배상 가능성이 높아질 거라고 생각했습니다. 실제로는 둘 다 기준이 아니었습니다. 1,080만 명이 털린 옥션은 0원이고, 그보다 나중에 벌어진 카드 3사 사건은 10만 원입니다.

법원이 실제로 본 것은 두 가지였습니다. 하나는 그 시점의 법령과 기술 수준에서 기업이 지킬 것을 지켰는가입니다. 옥션과 KT는 이 지점에서 과실이 인정되지 않았습니다. 다른 하나는 유출된 정보가 다른 정보와 결합되어 나를 식별하게 만드는가입니다. 2025년 판결에서 대법원이 이메일 주소 하나만으로는 정보주체를 식별하기 어렵다고 본 대목이 정확히 이 기준입니다.

즉 이름과 주민번호와 계좌번호가 한 묶음으로 빠져나간 사건과, 암호화된 비밀번호에 이메일 주소 하나가 딸려 나간 사건은 법적으로 전혀 다른 사건입니다. 같은 "유출"이라는 단어를 쓰지만 말입니다.

옥션 사건 기사에는 각주가 하나 붙어 있었습니다

여기까지 읽고 나면 방법이 없다는 결론이 나옵니다. 그런데 당시 보도를 다시 읽다가 짧게 지나가는 문장 하나를 발견했습니다. 옥션 사건에서 일부 피해자들은 소비자분쟁조정위원회를 통해 1인당 5만 원에서 10만 원을 지급받기로 회사 측과 조정했다는 대목입니다.

같은 사고, 같은 피해자입니다. 소송을 택한 14만 6,601명은 7년을 다투고 0원을 받았고, 조정을 택한 사람들은 5만 원에서 10만 원을 받았습니다. 이게 이번에 자료를 뒤지면서 가장 뜻밖이었던 부분입니다.

지금은 개인정보 분쟁조정위원회가 이 역할을 맡고 있습니다. 홈페이지에 공개된 제도 설명을 확인해보니 개인이 쓰기에 소송보다 문턱이 확실히 낮습니다.

비용이 들지 않습니다. 소송의 대안으로 비용 없이 신속하게 분쟁을 해결하도록 만든 제도라고 위원회가 직접 밝히고 있습니다.
60일 안에 결론이 납니다. 개인정보 보호법 제44조 제1항에 따라 신청을 받은 날부터 60일 이내에 조정안을 작성해야 합니다.
조정이 성립되면 판결과 같은 힘을 가집니다. 같은 법 제47조 제5항에 따라 조정서에는 재판상 화해의 효력이 부여됩니다. 상대방이 이행하지 않으면 법원에서 집행문을 받아 강제집행까지 할 수 있습니다.
기업이 마음대로 빠질 수 없습니다. 분쟁조정 의무참여제가 시행되고 있어, 당사자는 정당한 이유가 없는 한 조정에 의무적으로 참여해야 합니다.
50명 이상이면 집단분쟁조정이 가능합니다. 피해자가 50명 이상이고 쟁점이 공통되면 집단으로 신청할 수 있습니다.

다만 여기서 반드시 짚어야 할 함정이 하나 있습니다. 집단분쟁조정은 해당 침해로 이미 법원에 소를 제기한 사람은 대상에서 제외합니다. 순서를 잘못 잡으면 두 경로가 다 막힐 수 있다는 뜻입니다. 소송부터 걸고 보는 게 늘 유리한 선택은 아닙니다.

그래서 무엇을 해두어야 하는가

자료를 다 읽고 제가 정리한 결론은 좀 씁쓸합니다. 유출된 뒤에 돈으로 되돌려 받는 길은 사실상 거의 닫혀 있습니다. 과징금은 국고로 가고, 소송은 대부분 기업의 과실 단계에서 걸러지고, 법정손해배상 300만 원도 기업이 반박하면 무너집니다.

그런데 판결들을 읽으면서 오히려 실용적인 힌트를 하나 얻었습니다. 법원이 반복해서 본 기준이 "결합"이라는 점입니다. 유출된 조각 하나만으로는 나를 특정할 수 없고, 여러 곳에서 나온 조각이 합쳐질 때 실제 피해가 생깁니다. 법원도 그렇게 판단하고 있습니다.

그렇다면 제가 통제할 수 있는 영역이 조금은 있습니다. 어느 사이트에서 비밀번호가 새어 나가도 그게 다른 계정의 열쇠가 되지 않도록 사이트마다 다른 비밀번호를 쓰는 것, 그리고 비밀번호가 뚫려도 한 겹이 더 남도록 2단계 인증을 걸어두는 것입니다. 조각이 합쳐지지 못하게 막는 일은 기업이 아니라 제가 하는 일입니다.

현실적인 것 하나만 덧붙이면, 유출 통지 문자나 메일은 지우지 말고 캡처해두시는 편이 좋습니다. 나중에 분쟁조정을 신청하게 되면 언제 어떤 통지를 받았는지가 출발점이 됩니다. 저도 이번에 자료를 찾다가 알게 된 것이고, 예전에 받았던 통지들은 이미 다 지워버린 뒤였습니다.

여러분은 그동안 받은 개인정보 유출 통지 중에, 어떤 정보가 어디까지 빠져나갔는지 끝까지 확인해본 적이 있으신가요?