지식재산·IT·개인정보 / 개인정보 유출
개인정보 유출
설명
회사나 기관에서 내 개인정보가 새어 나갔다는 통지를 받고 피해를 막거나 배상을 청구하려는 분, 반대로 유출 사고가 나 통지·신고와 배상 문제를 정리해야 하는 회사가 이 쪽을 찾습니다. 받은 통지문이나 사고 경위 기록을 지우지 말고 보관하는 것이 출발점입니다.
개인정보 유출은 회사나 기관이 처리하던 개인정보가 분실·도난·유출되거나 위조·변조·훼손된 일을 말합니다. 개인정보를 처리하는 쪽은 이런 일을 알게 되면 지체 없이 유출된 항목, 시점과 경위, 피해를 줄이는 방법, 회사의 대응과 피해 구제 절차, 신고를 받는 부서와 연락처, 손해배상과 분쟁조정 같은 권리와 그 행사 방법 등을 정보주체(그 정보의 주인)에게 알려야 합니다(개인정보 보호법 제34조).
유출 통지를 받았다면 문자나 메일로 받은 통지문을 지우지 말고 화면째 보관하세요. 유출된 항목을 확인해 같은 비밀번호를 쓰던 곳의 비밀번호를 바꾸고, 결제 수단과 계좌 내역을 살펴보세요. 회사나 기관을 사칭한 연락과 문자 속 링크는 바로 누르지 말고, 모르는 결제나 사칭 피해가 생기면 날짜와 함께 기록해 회사의 신고 창구와 수사기관에 알리세요.
손해배상을 청구하려 한다면 회사가 법을 어겨 손해를 입었다는 점을 보여 줄 자료가 필요합니다. 이때 회사는 자신에게 고의나 과실이 없었다는 점을 증명하지 못하면 책임을 면할 수 없습니다(개인정보 보호법 제39조). 통지문, 유출 뒤 생긴 피해 기록, 회사와 주고받은 연락을 날짜순으로 정리해 두세요. 소송 말고 개인정보 분쟁조정위원회에 조정을 신청하는 길도 있고, 통지를 받은 회사는 특별한 사유가 없으면 조정에 응해야 합니다(같은 법 제43조).
유출 사고가 난 회사라면 유출을 알게 된 때부터 지체 없이, 늦어도 72시간 안에 정보주체에게 알려야 하고, 1천 명 이상의 정보가 유출됐거나 민감정보(건강·성생활 등 법이 따로 보호하는 정보)·고유식별정보(주민등록번호처럼 개인을 알아보는 번호)가 유출됐거나 외부의 불법 접근으로 유출된 경우에는 같은 72시간 안에 개인정보 보호위원회나 한국인터넷진흥원에도 신고해야 합니다(개인정보 보호법 시행령 제39조, 제40조). 유출 항목이나 경위를 다 확인하지 못했더라도 그때까지 확인된 내용을 먼저 알리고, 추가로 확인되는 내용은 확인되는 즉시 알려야 합니다. 이 기한은 통지라면 접속 차단 같은 긴급 조치가 필요하거나 천재지변 등 부득이한 사유가 있을 때, 신고라면 천재지변 등 부득이한 사유가 있을 때만 그 사유가 풀린 뒤 곧바로 하는 것으로 늦출 수 있으므로, 사고를 알게 된 시각과 조치한 내용을 시간순으로 기록해 두세요.
이런 상황이면
- 가입한 쇼핑몰에서 제 개인정보가 유출됐다는 문자를 받았어요
- 유출 통지를 받은 뒤 제 이름으로 모르는 결제와 사칭 연락이 생겼어요
- 회사가 유출 사실을 한참 뒤에야 알렸는데 배상을 청구하고 싶어요
- 같은 사고로 피해를 본 사람들과 함께 대응하고 싶어요
- 우리 회사 서버에 외부 접속 흔적이 있어 고객 정보가 새어 나갔는지 확인하고 있어요
자주 묻는 질문
- 실제로 돈 피해가 없어도 배상을 청구할 수 있나요?
- 회사의 고의나 과실로 개인정보가 유출된 경우에는 손해액을 하나하나 증명하는 대신 법이 정한 한도 안에서 상당한 금액을 청구하는 법정손해배상을 선택할 수 있습니다(개인정보 보호법 제39조의2). 이때도 회사가 고의나 과실이 없었다는 점을 증명하면 책임을 지지 않고, 금액은 법원이 재판에 나온 사정과 증거를 살펴 그 범위 안에서 정하므로, 유출된 항목과 그 뒤 생긴 피해를 보여 주는 자료를 함께 모아 두세요. 일반 손해배상으로 먼저 청구했더라도 사실관계를 다투는 재판(사실심)의 변론이 끝나기 전까지는 이 청구로 바꿀 수 있습니다.
- 피해자가 많은데 함께 대응하는 방법이 있나요?
- 같거나 비슷한 유형의 피해가 여러 사람에게 생긴 사건 가운데 법이 정한 사건은 정보주체나 개인정보 보호단체 등이 개인정보 분쟁조정위원회에 한꺼번에 조정을 신청하는 집단분쟁조정을 할 수 있고, 절차가 시작되면 다른 피해자도 당사자로 더해 달라고 신청할 수 있습니다(개인정보 보호법 제49조). 회사가 집단분쟁조정을 거부하거나 결과를 받아들이지 않으면 요건을 갖춘 단체가 권리침해 행위를 멈추라는 단체소송을 낼 수 있지만, 이 소송은 손해배상을 구하는 절차가 아닙니다(같은 법 제51조). 배상은 따로 민사 소송으로 청구합니다.
- 분쟁조정을 신청하면 어떻게 진행되나요?
- 분쟁조정위원회는 신청을 받은 날부터 60일 안에 조정안을 만들어야 하고, 부득이한 사정이 있으면 의결로 그 기간을 늘릴 수 있습니다(개인정보 보호법 제44조). 조정안을 받은 날부터 15일 안에 받아들일지를 알리지 않으면 받아들인 것으로 보고, 받아들인 조정 내용은 재판상 화해와 같은 효력을 가져 나중에 같은 일로 다시 다투기 어렵습니다(같은 법 제47조). 그래서 조정안을 받은 날짜를 적어 두고 15일 안에 뜻을 분명히 밝히세요.
- 유출됐는지 아직 확실하지 않은데도 고객에게 알려야 하나요?
- 2026년 9월 11일 이후 알게 된 경우부터는, 외부의 불법 접근으로 유출이 의심되지만 누구의 정보인지 특정하기 어려운 때처럼 법이 정한 경우에는, 유출이 확정되지 않았더라도 그런 사정을 알게 된 때부터 72시간 안에 해당될 수 있는 모든 정보주체에게 알려야 합니다(개인정보 보호법 제34조 제2항, 같은 법 시행령 제39조의2·제39조의3). 그 기한 안에 실제 유출을 확인하면 일반 유출 통지로 대신하고, 유출되지 않았음을 확인하면 그 사실을 바로 알려야 합니다. 접속 기록과 조사 경과를 지우지 말고 그대로 보존해 두세요.
관련 글
같은 분야의 다른 세부
이 글은 일반적인 설명이며 개별 사건의 법률 자문이 아닙니다. 사건마다 사실관계가 달라 결과도 다를 수 있습니다.
법무법인 지킴변호사와 상담 신청하기
문의사항을 남겨주시면 신속하게 연락드리겠습니다. 법률 상담은 변호사가 직접 진행합니다.