[광고] 개인정보 유출 손해배상 청구 방법 총정리: 실제 손해액을 입증하지 못해도 300만원 이하 법정손해배상 청구 가능, 분쟁조정은 무료·60일 이내 조정안 (미래에셋증권 해킹으로 본 사장님 체크리스트)

개인정보 유출 손해배상은 실제 손해액을 입증하지 못해도 300만원 이하의 범위에서 법정손해배상으로 청구할 수 있고, 이때 고의·과실이 없었다는 입증 책임은 정보를 흘린 사업자 쪽에 있습니다(개인정보 보호법 제39조의2). 소송이 부담스럽다면 개인정보 분쟁조정위원회(☎1833-6972)에 비용 없이 분쟁조정을 신청할 수 있고, 위원회는 신청일부터 60일 이내에 조정안을 만들어야 합니다. 11월 7일 미래에셋증권이 해킹으로 고객 3천800여명의 계좌번호와 임직원 3만5천255명의 개인정보가 유출됐다고 밝히면서 '개인정보 유출 보상'을 찾는 분이 늘었습니다. 이 글은 피해를 본 개인이 할 수 있는 일과, 손님 정보를 다루는 사장님이 반대로 져야 할 책임을 법 조문 기준으로 함께 정리했습니다.

## 개인정보 유출 손해배상, 미래에셋증권 해킹에서 무슨 일이 있었나

연합뉴스 보도에 따르면 미래에셋증권은 11월 4일과 5일 모바일웹 휴대폰 인증 로그인 서비스와 사내 그룹웨어를 겨냥한 외부 공격이 하루 간격으로 있었다고 7일 밝혔습니다. 고객 3천800여명의 계좌번호가 빠져나갔고, 퇴직자와 외주직원을 포함한 임직원 3만5천255명의 개인정보가 유출됐습니다. 임직원 정보는 성명과 사번이 대부분이고 일부는 이메일주소, 휴대폰번호, 암호화된 비밀번호도 포함됐습니다. 회사는 주민등록번호·여권번호 같은 고유식별정보와 민감정보는 유출되지 않았고, 현재까지 확인된 금전 피해는 없다고 설명했습니다.

회사는 금융위원회·금융감독원·개인정보보호위원회에 보고했고, 자사를 사칭하는 전화·문자·이메일을 조심해 달라고 당부했습니다. 같은 보도는 미래에셋그룹에서 사이버 공격을 받은 계열사가 4곳으로 늘었고, 대신증권과 한양증권에서도 해킹 유출 사고가 있었다고 전했습니다. 큰 회사만의 일처럼 보이지만, 고객 명단·연락처·예약 기록을 가진 동네 가게도 법에서는 똑같이 '개인정보처리자'입니다.

## 내 정보가 유출됐다면: 손해배상 청구 3가지 길

첫째는 일반 손해배상입니다. 제39조 제1항은 사업자가 법을 어겨 손해를 입혔다면 정보주체가 배상을 청구할 수 있고, 사업자는 고의나 과실이 없었음을 스스로 입증하지 못하면 책임을 면할 수 없다고 정합니다. 둘째는 징벌적 손해배상입니다. 같은 조 제3항은 사업자의 고의 또는 중대한 과실로 유출등이 일어나 손해가 생기면 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있다고 규정합니다. 법원은 이때 피해 규모, 위반 기간·횟수, 사업자의 재산상태, 유출 후 회수와 피해구제를 위해 노력한 정도 등을 고려합니다.

셋째가 법정손해배상입니다. 제39조의2에 따라 사업자의 고의 또는 과실로 개인정보가 유출등이 된 경우, 정보주체는 300만원 이하의 범위에서 상당한 금액을 손해액으로 정해 청구할 수 있습니다. 구체적인 손해액을 하나하나 증명하기 어려운 개인정보 사고의 특성을 반영한 제도이고, 법원은 변론 전체의 취지와 증거조사 결과를 보고 금액을 정합니다. 일반 손해배상으로 소송을 시작했더라도 사실심 변론이 끝나기 전까지는 법정손해배상 청구로 바꿀 수 있습니다. 다만 300만원은 상한일 뿐이고, 실제 인정 금액은 사건마다 달라진다는 점을 꼭 기억하세요.

개인정보·보안 사고 소식과 대응법은 신이말했다 네이버 카페(https://cafe.naver.com/910401)에서도 사장님들과 함께 나누고 있습니다.

## 소송 대신 무료 개인정보 분쟁조정 신청하는 법

개인정보보호위원회 산하 개인정보 분쟁조정위원회는 소송보다 비용 없이 빠르게 다툼을 푸는 창구입니다. 분쟁이 있으면 누구든지 신청할 수 있고, 손해배상뿐 아니라 위반행위 중지, 개인정보 열람·정정·삭제 요구 같은 권리 행사도 신청 내용에 넣을 수 있습니다. 신청은 위원회 누리집, 전화 1833-6972(평일 09:00~18:00), 우편(서울 종로구 세종대로 209 정부서울청사 12층)으로 하면 됩니다.

절차는 접수 통보, 사실확인, 조정 전 합의 권고, 조정부 심의, 조정 성립 순서입니다. 위원회는 신청받은 날부터 60일 이내에 조정안을 작성해야 하고, 부득이하면 의결로 연장합니다. 조정안을 받은 당사자는 15일 이내에 수락 여부를 알려야 하며, 위원회 안내에 따르면 이 기간에 알리지 않으면 수락한 것으로 보고 절차가 진행됩니다. 조정이 성립하면 재판상 화해와 같은 효력이 생겨, 상대가 이행하지 않으면 집행문을 받아 강제집행도 할 수 있습니다. 한쪽이 소송을 제기하면 조정은 중지됩니다.

같은 사고로 피해자가 50명 이상이고 쟁점이 공통되면 집단분쟁조정도 가능합니다. 국가·지방자치단체·한국소비자원·소비자단체·사업자가 서면으로 의뢰·신청하고, 위원회는 14일 이상 절차 개시를 공고합니다. 공고 기간 안에 참가 신청을 하면 추가 당사자가 될 수 있고, 공고 종료 다음 날부터 60일 이내에 조정을 마치게 돼 있습니다. 해킹·피싱 피해 신고나 조사 요청은 한국인터넷진흥원 118, 형사처벌 관련은 경찰청 182로 안내됩니다.

## 사장님이 지는 책임: 과징금 최대 전체 매출액의 10%

반대로 손님 정보를 흘린 쪽이 사장님이라면 부담은 민사 배상만이 아닙니다. 2026년 9월 11일 시행된 개정 개인정보 보호법 제64조의2는 개인정보가 유출등이 된 경우 보호위원회가 전체 매출액의 100분의 3을 넘지 않는 범위에서 과징금을 부과할 수 있다고 정합니다. 매출액 산정이 곤란한 경우에는 20억원 이하입니다. 다만 안전성 확보에 필요한 조치를 다했다면 이 유출 과징금 대상에서 빠집니다.

새로 생긴 징벌적 과징금은 더 무겁습니다. 과징금 처분 후 3년이 지나기 전에 고의·중과실로 같은 위반을 반복한 경우, 고의·중과실로 피해자가 1천만명 이상인 경우, 시정명령을 따르지 않아 유출이 생긴 경우에는 전체 매출액의 100분의 10까지 부과할 수 있고, 매출 산정이 곤란하면 50억원 이하입니다. 개인정보보호위원회는 3월 보도자료에서 유출 가능성을 알게 된 때에도 지체 없이 알리도록 하고, 랜섬웨어로 인한 위조·변조·훼손도 통지·신고 대상인 '유출등'에 포함했으며, 유출 통지 때 손해배상 청구와 분쟁조정 신청 같은 피해구제 방법도 함께 알리도록 바꿨다고 설명했습니다.

한편 매출액과 개인정보 보유 규모가 대통령령 기준에 해당하는 사업자는 제39조의7에 따라 손해배상책임 이행을 위해 보험·공제에 가입하거나 준비금을 적립해야 합니다. 소상공인기본법상 소상공인으로서 대통령령으로 정하는 자에게 개인정보 처리를 위탁한 자 등은 예외로 규정돼 있으니, 우리 가게가 대상인지 거래하는 쇼핑몰·예약 솔루션 업체와 함께 확인해 두는 것이 좋습니다.

## 손님 정보 지키는 사장님 체크리스트와 정리

사고가 나기 전에 할 일은 단순합니다. 꼭 필요한 정보만 받고, 쓸모가 없어진 고객 명단은 지체 없이 파기하며, 관리자 계정 비밀번호를 바꾸고 접속 기록을 남겨 두세요. 법원이 징벌적 배상액을 정할 때와 보호위원회가 과징금을 정할 때 모두 안전조치 이행 노력, 유출 후 피해 회복 노력을 따진다는 점을 기억하면 평소 기록을 남기는 습관이 곧 보험입니다. 미래에셋증권처럼 사칭 문자를 조심하라는 안내를 손님에게 먼저 보내는 것도 2차 피해를 줄이는 방법입니다.

정리하면 피해자는 일반 손해배상, 손해액 5배 이내 징벌적 손해배상, 300만원 이하 법정손해배상 가운데 고를 수 있고, 무료 분쟁조정은 60일 이내 조정안·15일 이내 수락 여부 회신으로 진행됩니다. 사업자는 유출 시 전체 매출액 3% 이내, 반복·대규모 등 중대한 경우 10% 이내 과징금을 각오해야 합니다. 창업·세금·보안 정보는 신이말했다 공식 블로그(https://blog.naver.com/iwillsucceed1999)와 카페 사업자 게시판에서 계속 이어서 정리해 드립니다.

👉 신이말했다 카페 가입하고 새 글 알림 받기: https://cafe.naver.com/910401
https://sinimalhaetda.com
http://pf.kakao.com/_XrLFX

출처: https://www.yna.co.kr/view/AKR20261107014453008, https://www.law.go.kr/LSW/lsSideInfoP.do?docCls=jo&joBrNo=00&joNo=0039&lsiSeq=283839&urlMode=lsScJoRltInfoR, https://www.law.go.kr/LSW/lsSideInfoP.do?docCls=jo&joBrNo=02&joNo=0039&lsiSeq=283839&urlMode=lsScJoRltInfoR, https://www.law.go.kr/LSW/lsSideInfoP.do?docCls=jo&joBrNo=07&joNo=0039&lsiSeq=283839&urlMode=lsScJoRltInfoR, https://law.go.kr/LSW/lsLinkCommonInfo.do?chrClsCd=010202&lsJoLnkSeq=1020398647, https://kopico.go.kr/intro/disputeMediatIntro.do, https://www.korea.kr/news/policyNewsView.do?newsId=148900161, https://www.easylaw.go.kr/CSP/CnpClsMainBtr.laf?ccfNo=3&cciNo=1&cnpClsNo=1&csmSeq=1257&popMenu=ov, https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=&nttId=11865