개인정보 유출 피해보상 손해배상 기준과 청구방법 정리

◆ 개인정보 유출 피해보상은 자동 지급이 아니다

개인정보가 유출됐다는 사실만으로 모든 피해자에게 동일한 금액이 자동 지급되는 것은 아닙니다. 개인정보 보호법은 정보주체가 개인정보처리자의 법 위반행위로 손해를 입은 경우 손해배상을 청구할 수 있도록 하고 있습니다.

일반 손해배상에서는 실제로 어떤 손해가 발생했는지와 위법한 개인정보 처리 사이의 관계를 구체적으로 살펴보게 됩니다. 정신적 손해가 문제되는 경우에도 유출된 정보의 종류, 제3자가 실제로 열람했는지 또는 열람 가능성이 있었는지, 정보가 얼마나 넓게 확산됐는지, 추가 피해 가능성이 있는지 등을 종합적으로 판단합니다.

따라서 인터넷에서 “유출되면 무조건 얼마”처럼 정액으로 안내하는 글은 그대로 믿기보다 현재 법 조문과 사건별 판단기준을 확인하는 것이 좋습니다.

◆ 개인정보 유출 피해보상에서 300만원 이하 법정손해배상은 무엇인가

현행 개인정보 보호법 제39조의2는 개인정보처리자의 고의 또는 과실로 개인정보가 유출등이 된 경우 정보주체가 300만원 이하 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있도록 정하고 있습니다.

여기서 300만원은 사고가 나면 누구에게나 지급되는 고정 보상금이 아닙니다. 법원이 변론 전체의 취지와 증거조사 결과를 고려해 해당 범위 안에서 상당한 손해액을 인정할 수 있다는 의미입니다.

법정손해배상은 실제 손해액을 정확하게 산정하기 어려운 개인정보 유출 사건에서 검토할 수 있는 제도입니다. 다만 청구가 인정되는지와 금액은 사건의 구체적인 사정에 따라 달라질 수 있습니다.

• 일반 손해배상과 동시에 두 금액을 받는 구조는 아니다

개인정보 보호법은 일반 손해배상 청구를 법정손해배상 청구로 변경할 수 있는 절차를 두고 있습니다. 따라서 두 제도가 각각 별개의 정액 보상금처럼 중복해서 자동 지급되는 구조로 이해하면 안 됩니다.

실제 사건에서는 발생한 손해를 구체적으로 입증할 수 있는지, 법정손해배상 방식이 더 적절한지 등을 사건 자료와 함께 검토하는 것이 좋습니다.

◆ 최대 5배 배상 규정도 따로 확인한다

개인정보처리자의 고의 또는 중대한 과실로 개인정보가 유출등이 되고 정보주체에게 손해가 발생한 경우, 현행 개인정보 보호법 제39조는 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있도록 하고 있습니다.

이 역시 실제 손해의 5배가 자동으로 인정된다는 뜻은 아닙니다. 법원은 고의나 손해발생 우려를 인식한 정도, 피해 규모, 개인정보처리자가 얻은 경제적 이익, 위반행위 기간과 횟수, 사고 후 정보 회수 노력, 피해구제 노력 등을 고려합니다.

즉 사고 후 사업자가 얼마나 신속하게 유출정보 회수·삭제, 피해 통지, 계정보호, 상담창구 운영 같은 조치를 했는지도 배상 판단에서 의미 있는 요소가 될 수 있습니다.

◆ 개인정보 유출 피해보상 청구 전 준비할 자료

개인정보 유출 피해보상을 검토할 때는 유출 사실과 피해를 연결할 수 있는 자료를 먼저 모으는 것이 좋습니다. 회사나 기관에서 받은 유출 통지문은 어떤 정보가 언제 어떤 경위로 유출됐는지 확인하는 기본 자료가 됩니다.

그 뒤 실제로 이상 로그인, 스미싱, 명의도용, 카드 부정사용, 계정탈취 같은 문제가 발생했다면 관련 기록을 따로 보관해야 합니다. 금융 피해가 있다면 거래내역과 신고 기록, 계정 피해가 있다면 로그인 기록과 비밀번호 변경내역 등을 남기는 편이 좋습니다.

정신적 피해를 주장하는 경우에도 단순 불안감만 적기보다 유출 정보의 민감성, 제3자 접근 가능성, 사고 후 생활상 불편이나 추가 피해 위험을 설명할 수 있는 자료가 있으면 사건을 이해하는 데 도움이 됩니다.

◆ 먼저 합의나 분쟁조정을 검토할 수 있다

사업자가 별도의 피해보상 절차를 공지했다면 조건과 범위를 먼저 확인할 수 있습니다. 다만 합의서를 작성할 때는 향후 추가 청구권을 포기하는 조항이 있는지, 지급 범위가 무엇인지 내용을 충분히 읽어보는 것이 좋습니다.

당사자끼리 해결이 어렵다면 개인정보분쟁조정위원회를 이용할 수 있습니다. 분쟁조정은 소송에 비해 비용 부담이 적고, 손해배상뿐 아니라 침해행위 중지, 원상회복, 재발방지 같은 해결안을 함께 다룰 수 있습니다.

개인정보분쟁조정위원회가 조정안을 제시하고 당사자가 수락해 조정이 성립되면 조정서의 내용은 재판상 화해와 동일한 효력을 가집니다.

◆ 개인정보 유출 피해보상에서 집단분쟁조정도 본다

같은 개인정보 유출사고로 많은 사람이 비슷한 피해를 입었다면 집단분쟁조정이 진행되는지 확인할 수 있습니다. 개인정보분쟁조정위원회는 피해 또는 권리침해를 입은 정보주체가 50명 이상이고 중요한 쟁점이 사실상 또는 법률상 공통된 경우를 집단분쟁조정 요건으로 안내합니다.

집단분쟁조정이 개시되면 추가 피해자가 참가할 수 있도록 별도의 공고가 나올 수 있습니다. 실제로 대규모 개인정보 유출사건에서 손해배상과 제도개선을 요구하는 집단분쟁조정이 진행되기도 합니다.

다만 집단분쟁조정에 참여했다고 해서 신청인이 요구한 금액이 그대로 인정되는 것은 아닙니다. 사실관계와 피해 정도, 법적 책임을 심사한 뒤 조정안이 마련됩니다.

◆ 소송에서는 어떤 점이 중요하게 보이나

법원은 개인정보 유출로 정신적 손해가 발생했는지를 판단할 때 유출된 개인정보의 종류와 성격, 정보주체 식별 가능성, 제3자의 열람 여부와 가능성, 유출 범위와 확산 정도, 추가 법익침해 가능성, 개인정보 관리 실태, 사고 경위와 사고 이후의 피해방지 조치 등을 종합적으로 고려해 왔습니다.

그래서 동일한 개인정보 유출이라도 사건마다 인정 결과가 다를 수 있습니다. 단순 연락처 노출과 주민등록번호·건강정보·금융정보처럼 악용 위험이 높은 정보의 유출을 같은 수준으로 보기는 어렵습니다.

피해자 입장에서는 “대형 사고였으니 얼마를 받을 수 있다”는 추측보다 자신의 정보가 무엇이었는지, 실제 접근·확산 가능성이 어느 정도인지, 구체적인 2차 피해가 있었는지를 자료로 정리하는 것이 중요합니다.

◆ 자주 묻는 질문

Q. 개인정보 유출 피해보상은 무조건 300만원을 받을 수 있나요?

　A. 아닙니다. 300만원은 법정손해배상을 청구할 수 있는 상한 범위입니다. 실제 인정 여부와 금액은 법원이 사건 자료와 증거를 고려해 판단합니다.

Q. 실제 금전 피해가 없어도 손해배상을 청구할 수 있나요?

　A. 사건에 따라 정신적 손해나 법정손해배상을 검토할 수 있습니다. 다만 개인정보가 유출됐다는 사실만으로 모든 사건에서 동일한 배상액이 인정되는 것은 아니며 유출 정보와 확산 가능성 등 여러 사정이 함께 고려됩니다.

Q. 분쟁조정과 소송 중 무엇을 먼저 해야 하나요?

　A. 반드시 하나의 순서로 고정되는 것은 아닙니다. 비용과 시간, 원하는 해결방법, 자료 수준을 고려해 사업자와 합의, 개인정보분쟁조정위원회 조정, 민사소송 중 적절한 방법을 검토할 수 있습니다.

Q. 집단분쟁조정에 참여하면 별도 소송을 못 하나요?

　A. 집단분쟁조정 참가요건과 이미 진행 중인 절차에 따라 달라질 수 있습니다. 동일 사안으로 법원에 소를 제기한 정보주체는 집단분쟁조정 대상에서 제외되는 등 제한이 있으므로 실제 공고와 신청요건을 확인해야 합니다.

◆ 공식 법령과 분쟁조정 절차 확인

개인정보 유출 피해보상을 검토할 때는 온라인에서 공유되는 예상 보상액보다 현행 개인정보 보호법 제39조와 제39조의2를 먼저 확인하는 것이 좋습니다. 특히 현재 법정손해배상은 300만원 이하 범위이고, 고의 또는 중대한 과실에 따른 가중배상은 손해액의 5배를 넘지 않는 범위에서 법원이 판단합니다.

현행 손해배상·법정손해배상 기준은 국가법령정보센터 개인정보 보호법 제39조·제39조의2에서 확인할 수 있습니다.

개인정보 유출 피해보상 관련 분쟁조정이나 집단분쟁조정 신청방법과 진행 절차는 개인정보분쟁조정위원회 공식 홈페이지에서 확인할 수 있습니다.

© pick.wi-th.com