개인정보가 유출됐을 때 배상을 받는 길은 네 가지입니다. 기업 자체 보상, 개인정보 분쟁조정, 한국소비자원 집단분쟁조정, 민사소송입니다. 조정은 무료이고 빠르지만 기업이 거부하면 거기서 끝나고, 소송은 강제력이 있지만 과거 판결의 위자료는 1인당 10만 원 안팎이었습니다.

이 글은 2026년 10월 4일 기준으로 각 방법의 절차와 비용, 실제로 인정된 금액을 정리했습니다. 기대치를 부풀리지 않으려고 기업이 조정안을 거부한 사례와 법원이 책임을 인정하지 않은 사례도 함께 넣었습니다.

1. 먼저 알아둘 것: 개인정보 유출에는 아직 ‘집단소송’이 없습니다

뉴스에서 말하는 “개인정보 유출 집단소송”은 법률상 집단소송이 아닙니다. 피해자들이 각자 원고로 이름을 올리는 공동소송입니다. 현행법에서 집단소송은 증권 분야에만 있고, 개인정보 유출 사건은 대상이 아닙니다.

차이는 판결의 효력이 누구에게 미치느냐에 있습니다. 공동소송은 소송에 참여한 사람만 배상을 받습니다. 가만히 있던 피해자는 다른 사람이 이겨도 받지 못합니다.

개인정보 보호법에 ‘단체소송’이라는 제도가 있기는 합니다. 하지만 제51조의 단체소송은 권리 침해 행위의 금지·중지만 청구할 수 있고 손해배상은 청구할 수 없습니다.

일반 손해배상 사건까지 집단소송을 넓히는 집단소송법안은 국회에서 심사 중입니다. 2026년 9월에도 시민단체가 정기국회 내 처리를 촉구했고, 이 글을 쓰는 시점에 제정됐다는 보도는 확인하지 못했습니다. 법이 만들어지기 전까지는 직접 참여해야 배상을 받을 수 있다는 점을 전제로 계획을 세우는 것이 안전합니다.

2. 손해배상 청구의 법적 근거 세 가지

개인정보 보호법은 일반 불법행위보다 피해자에게 유리한 규정을 세 가지 두고 있습니다.

2-1. 제39조 제1항: 기업이 과실 없음을 입증해야 합니다

정보주체는 개인정보처리자가 법을 위반한 행위로 손해를 입으면 배상을 청구할 수 있습니다. 이때 기업이 고의나 과실이 없었음을 입증하지 못하면 책임을 면할 수 없습니다. 보통의 손해배상 소송과 달리 입증 부담이 기업 쪽에 있습니다.

2-2. 제39조의2: 법정손해배상 300만 원 이하

기업의 고의나 과실로 개인정보가 분실·도난·유출·위조·변조·훼손된 경우, 구체적인 손해액을 증명하지 않아도 300만 원 이하 범위에서 상당한 금액을 청구할 수 있습니다.

2-3. 제39조 제3항: 고의·중과실이면 손해액의 5배까지

기업의 고의나 중대한 과실로 유출되어 손해가 생긴 경우, 법원은 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다. 2023년 개정으로 상한이 3배에서 5배로 올랐습니다.

2-4. 주의: 법정손해배상도 자동으로 나오지 않습니다

2026년 1월에 보도된 대법원 판결이 이 점을 분명히 했습니다. 2021년 한 온라인 지식거래 사이트에서 약 40만 명의 정보가 유출된 사건에서, 원고는 30만 원을 청구했지만 패소가 확정됐습니다. 법원은 회사의 과실은 인정했습니다. 그러나 유출된 비밀번호가 암호화돼 있었고 이메일 주소만으로는 개인을 식별하기 어렵다는 점 등을 들어, 위자료로 배상할 만한 정신적 손해가 없다고 봤습니다.

대법원은 기업이 “배상할 만한 정신적 손해가 발생하지 않았다”는 점을 증명하면 법정손해배상 책임을 면할 수 있다고 했습니다. 손해 여부를 판단할 때 보는 요소는 다음과 같습니다.

• 유출된 개인정보의 종류와 성격
• 유출로 개인을 식별할 수 있게 됐는지
• 제3자가 열람했거나 앞으로 열람할 가능성
• 유출 정보가 확산된 범위
• 추가 피해가 생길 가능성
• 기업의 평소 관리 상황과 유출 경위
• 피해 확산을 막기 위한 기업의 조치

정리하면 “유출됐으니 300만 원”이 아닙니다. 주민등록번호나 금융 정보처럼 민감한 정보가 유출됐는지, 실제로 퍼졌는지, 2차 피해가 있었는지에 따라 결과가 갈립니다.

3. 방법 ① 기업 자체 보상부터 확인하기

대형 사고에서는 기업이 먼저 보상안을 내놓는 경우가 많습니다. 쿠팡은 유출 통지를 받은 약 3,370만 개 계정 고객에게 1인당 5만 원 상당의 구매이용권을 지급하는 보상안을 시행했습니다.

자체 보상을 받기 전에 두 가지를 확인하세요.

• 신청 기한: 기한이 지나면 받을 수 없는 경우가 있습니다.
• 수령 조건: 보상을 받는 대신 추가 청구나 소송을 포기한다는 조항이 있는지 약관과 안내문을 읽어 봅니다. 조건은 사건마다 다르므로 해당 기업의 공지를 직접 확인해야 합니다.

4. 방법 ② 개인정보 분쟁조정 신청하기

개인정보 분쟁조정위원회가 기업과 피해자 사이에서 조정안을 내는 제도입니다. 비용이 들지 않고 변호사 없이 신청할 수 있습니다.

4-1. 신청 방법과 절차

1. 개인정보 포털(privacy.go.kr)의 분쟁조정 신청 메뉴에서 신청서를 작성합니다. 문의는 1833-6972입니다.
2. 유출 통지 문자, 조회 결과 화면, 피해 내역 등 증빙 자료를 첨부합니다.
3. 위원회가 사실을 확인하고, 조정에 앞서 당사자 간 합의를 권고할 수 있습니다.
4. 합의가 안 되면 위원회가 조정안을 작성해 양쪽에 보냅니다.
5. 조정안을 받은 날부터 15일 이내에 수락 여부를 알립니다.
6. 양쪽이 수락하면 조정이 성립하고, 재판상 화해와 같은 효력이 생깁니다.

5번에서 주의할 점이 있습니다. 15일 안에 수락 여부를 알리지 않으면 조정안을 수락한 것으로 봅니다. 조정안 금액이 마음에 들지 않아 소송으로 가려 한다면 기한 안에 거부 의사를 밝혀야 합니다.

4-2. 집단분쟁조정에 참가하기

같은 사고로 피해를 본 사람이 50명 이상이면 집단분쟁조정으로 진행할 수 있습니다. 절차가 열리면 분쟁조정위원회 누리집(kopico.go.kr)에 공고가 올라오고, 공고 기간에 추가 참가 신청을 받습니다.

쿠팡 사건에서는 2026년 6월 12일부터 26일까지 15일간 추가 신청을 받았습니다. 유출 통지를 받은 이용자가 참가신청서를 이메일이나 우편으로 내는 방식이었고, 기존 신청인을 합쳐 14만 6천여 명이 참여했습니다. 분쟁조정 사건으로는 역대 최대 규모입니다.

위원회는 접수 마감 후 60일 이내에 조정안을 마련해 통지한다고 밝혔습니다. 쿠팡 사건 조정안의 결과는 이 글을 쓰는 시점에 확인하지 못했으니, 분쟁조정위원회 누리집 공지사항에서 직접 확인하시기 바랍니다.

4-3. 한계: 기업이 거부하면 끝납니다

2023년 법 개정으로 기업은 조정 절차에 반드시 응해야 합니다. 하지만 조정안을 받아들일지는 기업이 정합니다. 2026년 국정감사 자료에 따르면 최근 5년간 조정이 성립하지 않은 175건 가운데 124건이 기업 등 피신청인의 거부 때문이었습니다.

또 하나 알아둘 점은 일정입니다. 개인정보보호위원회가 해당 사고를 조사하고 있으면 집단분쟁조정은 처분이 끝날 때까지 일시 정지될 수 있습니다. 쿠팡 사건도 2026년 2월에 정지됐다가 과징금 처분이 의결된 6월에 재개됐습니다.

5. 방법 ③ 한국소비자원 집단분쟁조정

개인정보 유출 피해자가 소비자인 경우 한국소비자원 소비자분쟁조정위원회에도 집단분쟁조정을 신청할 수 있습니다. SK텔레콤 사건은 58명, 쿠팡 사건은 50명이 신청해 절차가 진행됐습니다.

이 제도의 특징은 파급 범위입니다. 기업이 조정안을 수락하면 위원회가 조정에 참여하지 않은 피해자에게도 같은 보상이 이뤄지도록 후속 절차를 진행할 수 있습니다. 그래서 신청인은 50명 남짓이어도 기업이 느끼는 부담은 전체 피해자 수만큼 커집니다.

결과는 두 사건 모두 불성립이었습니다. SK텔레콤은 2026년 1월에, 쿠팡은 2026년 9월에 각각 조정안을 받아들이지 않았습니다.

6. 방법 ④ 민사소송: 공동소송과 나홀로 소송

조정이 불성립되면 남는 길은 소송입니다. 판결에는 강제력이 있지만 시간이 오래 걸립니다. 2014년 카드 3사 유출 사건은 1심 판결이 나오기까지 4년가량 걸린 경우도 있었습니다.

6-1. 공동소송에 참여할 때 확인할 것

대형 사고가 나면 여러 법무법인이 원고를 모집합니다. 쿠팡 사건에서는 2026년 1월 기준 최소 64만 명이 1인당 10만 원에서 100만 원을 청구하는 소송에 참여한 것으로 보도됐습니다. 참여 전에 약정서에서 다음을 확인하세요.

• 착수금이 있는지, 성공보수는 배상액의 몇 퍼센트인지
• 패소했을 때 상대방 소송비용을 누가 부담하는지
• 항소심, 상고심으로 가면 추가 비용이 있는지
• 본인이 유출 대상임을 증명하는 자료를 어떻게 제출하는지

마지막 항목이 중요합니다. 카드 3사 사건의 한 1심 판결에서는 소송에 참여한 원고 가운데 본인의 유출 사실을 증명하는 자료를 낸 사람에 대해서만 배상이 인정됐습니다.

6-2. 혼자 소송하는 경우

청구액이 3,000만 원 이하면 소액사건으로 진행되고, 대한민국 법원 전자소송 누리집에서 변호사 없이 소장을 낼 수 있습니다. 인지대는 청구액이 1,000만 원 미만일 때 청구액의 0.5%입니다. 30만 원을 청구하면 1,500원, 300만 원을 청구하면 15,000원이고, 전자소송은 10% 감액됩니다. 송달료는 따로 냅니다.

다만 비용이 적다고 부담이 없는 것은 아닙니다. 기업은 대형 로펌을 선임하고, 패소하면 상대방 소송비용 일부를 부담할 수 있습니다. 실제 금전 피해가 있어 청구액이 큰 경우라면 변호사 상담을 먼저 받는 편이 좋습니다.

6-3. 소멸시효

불법행위로 인한 손해배상 청구권은 손해와 가해자를 안 날부터 3년, 불법행위가 있은 날부터 10년이 지나면 소멸합니다(민법 제766조). 유출 통지를 받은 날이 ‘안 날’의 기준이 될 수 있으니, 통지 문자를 받은 날짜를 기록해 두세요. 조정 결과를 기다리다 시효가 가까워졌다면 조정만 기다리지 말고 변호사와 상의해야 합니다.

7. 예상 배상액: 판결과 조정안으로 본 현실

가장 궁금한 부분은 금액일 것입니다. 지금까지의 법원 판결과 조정안을 나눠서 보겠습니다.

7-1. 법원 판결

두 가지가 보입니다. 배상이 인정된 사건의 위자료는 1인당 10만 원 수준에 머물렀습니다. 그리고 유출 규모가 커도 기업이 보호 조치를 다했다고 인정되면 배상 책임 자체가 부정됐습니다.

7-2. 조정안과 기업의 수락 여부

조정안 금액은 10만 원에서 30만 원 사이였지만, 대형 사건에서는 기업이 받아들이지 않아 실제 지급으로 이어지지 못했습니다. 조정안은 이후 소송에서 참고 자료가 될 수 있다는 정도로 보는 것이 현실적입니다.

7-3. 금액을 가르는 요소

앞서 본 대법원 판결의 기준을 독자 입장으로 바꾸면 이렇습니다.

• 무엇이 유출됐는가: 암호화된 비밀번호와 이메일만 유출된 사건은 위자료가 부정됐습니다. 주민등록번호, 카드번호, 주소, 주문 내역처럼 식별과 악용이 쉬운 정보일수록 유리합니다.
• 실제로 퍼졌는가: 제3자에게 넘어갔거나 유통된 정황이 있으면 손해가 인정되기 쉽습니다.
• 2차 피해가 있었는가: 스미싱, 명의도용, 부정 결제 같은 피해와 유출 사이의 연결을 보여 주는 자료가 있으면 실손해 배상까지 청구할 수 있습니다.
• 기업이 무엇을 잘못했는가: 개인정보보호위원회의 과징금 처분과 의결서는 기업의 과실을 보여 주는 자료가 됩니다.

8. 내 상황에 맞는 선택

금전 피해가 없고 대형 사고인 경우. 집단분쟁조정 공고가 뜨면 참가 신청을 하세요. 비용이 없고 신청서 한 장이면 됩니다. 기업이 거부할 가능성이 높다는 점은 감안하고, 공동소송 모집 공고의 약정 조건도 함께 비교해 둡니다.

금전 피해가 실제로 발생한 경우. 조정보다 소송이 맞습니다. 이체 내역, 결제 내역, 신고 접수증 등 피해와 유출의 연결을 보여 주는 자료를 모아 변호사 상담을 받으세요.

소규모 사고이거나 혼자 대응하는 경우. 개인 분쟁조정을 먼저 신청합니다. 무료이고, 조정이 성립하지 않아도 그 과정에서 확인된 사실관계가 남습니다.

한 가지 순서 문제가 있습니다. 이미 기업과 보상에 합의했거나 같은 사안으로 소송을 낸 사람은 집단분쟁조정에 참가하지 못할 수 있습니다. 여러 방법을 함께 쓰려면 조정 참가를 먼저 하고 소송은 조정 결과를 본 뒤에 결정하는 편이 안전합니다.

9. 지금 준비해 둘 증거

어떤 방법을 택하든 필요한 자료는 같습니다. 유출 통지를 받은 직후에 모아 두면 됩니다.

• 유출 통지 문자와 이메일의 캡처 (받은 날짜가 보이게)
• 기업 홈페이지의 유출 조회 결과 화면과 공지문
• 유출 이후 받은 스미싱 문자, 사기 전화의 기록
• 금전 피해가 있었다면 이체·결제 내역, 경찰 신고 접수증, 금융회사 접수 기록
• 비밀번호 변경, 카드 재발급 등 본인이 쓴 시간과 비용의 기록

자주 묻는 질문

기업의 자체 보상을 받으면 소송을 못 하나요?

보상 조건에 따라 다릅니다. 추가 청구를 포기한다는 조항이 없다면 소송 자체가 막히지는 않습니다. 다만 이미 받은 보상이 배상액 산정에 어떻게 반영될지는 법원이 판단할 문제입니다. 받기 전에 약관을 확인하세요.

유출 통지를 못 받았는데 참여할 수 있나요?

SK텔레콤 사건의 집단분쟁조정에서는 유출 통지를 받았거나 기업의 유출 조회 서비스로 유출 사실을 확인한 이용자가 참가 대상이었습니다. 통지가 없었다면 기업 홈페이지의 조회 메뉴에서 먼저 확인해 보세요.

앞으로 배상액이 오를 가능성이 있나요?

확정된 것은 없습니다. 집단소송법 제정과 기업의 손해배상 책임을 강화하는 개인정보 보호법 추가 개정이 논의되고 있습니다. 2026년 9월에 시행된 개정법은 과징금 상한을 매출의 10%로 올렸지만, 단체소송으로 손해배상을 청구할 수 있게 하는 내용은 담기지 않았습니다.

마무리…

현재 제도에서 가장 손이 덜 가는 순서는 자체 보상 조건 확인, 집단분쟁조정 참가, 공동소송 검토입니다. 금액에 대한 기대는 낮게 잡되, 증거는 지금 모아 두세요. 법이 바뀌거나 조정이 성립했을 때 권리를 행사할 수 있는 사람은 자료를 남긴 사람입니다.

이 글은 일반 정보이고 법률 자문이 아닙니다. 법령과 진행 중인 사건의 상황은 바뀔 수 있으니, 구체적인 사건은 변호사나 개인정보 분쟁조정위원회 상담을 거치세요. 한국 개인정보 보호법의 제재 수준이 궁금하다면 PIPA vs GDPR — 한국 개인정보보호법이 더 강한 5가지 이유도 참고하세요.

참고 자료

• 대법 “개인정보 유출됐어도 ‘손해 없다면’ 배상 의무 없다” (뉴스토마토, 2026.1.16)
• 쿠팡, 정보유출 ‘1인당 10만원 배상’ 거부 (경향신문, 2026.9.16)
• 쿠팡, ‘1인당 10만원 배상’ 소비자원 조정안 거부… SKT와 같은 선택 (비즈트리뷴, 2026.9)
• 쿠팡 개인정보 유출 분쟁조정 신청 14만6천여명…역대 최대 규모 (연합뉴스, 2026.6.29)
• 개인정보 유출 집단소송, 정부기관도 ‘정조준’ (한국경제, 2026.7)
• “미국 3000만원 vs. 한국 10만원” 해킹 피해 배상금 너무도 다른 두 나라 (헤럴드경제, 2025.9.19)
• 개인정보 보호법 제51조(단체소송의 대상 등) (국가법령정보센터)