가입한 적도 없는 사이트에서 스팸 문자가 오거나, 이용하던 쇼핑몰에서 개인정보가 대량 유출됐다는 안내를 받으면 무엇부터 해야 할지 막막합니다. 개인정보보호법은 이런 기업의 무단수집·유출에 대해 신고와 손해배상 청구 경로를 명확히 마련해 두고 있습니다.

상담 사례

사례 ① 동의 없이 개인정보를 수집·이용한 업체
회원가입도 안 했는데 특정 업체로부터 반복적으로 마케팅 문자가 옵니다. 개인정보를 어떻게 얻었는지도 알려주지 않습니다.

사례 ② 쇼핑몰 해킹으로 개인정보가 유출된 경우
이용하던 쇼핑몰이 해킹당해 이름, 연락처, 주소가 유출됐다는 통지를 받았습니다. 손해배상을 받을 수 있는지 궁금합니다.

결론부터 정리하면

• 사례 ①처럼 동의 없이 개인정보를 수집·이용한 업체는 개인정보보호법 위반으로 개인정보보호위원회에 신고할 수 있고, 위반이 확인되면 과징금·과태료 등 행정 제재를 받습니다.
• 사례 ②처럼 기업의 안전조치 미비로 개인정보가 유출되었다면, 피해자는 손해배상을 청구할 수 있습니다. 실제 손해액을 입증하기 어렵다면 법정손해배상(300만 원 이하)을 선택적으로 청구할 수 있어 입증 부담이 줄어듭니다.
• 기업의 고의·중과실이 인정되면 손해액의 최대 3배까지 징벌적 손해배상을 청구할 수 있습니다.
• 다수의 피해자가 발생한 유출 사고라면, 개별 소송보다 개인정보 분쟁조정위원회의 집단분쟁조정을 활용하는 것이 효율적일 수 있습니다.

1. 개인정보보호위원회 신고 — 사례 ①

• 동의 없는 수집·이용, 목적 외 이용, 제3자 무단 제공 등은 개인정보보호위원회(privacy.go.kr)에 신고할 수 있습니다.
• 신고 접수 후 조사를 통해 위반 사실이 확인되면, 위반 정도에 따라 시정명령, 과징금(위반행위 관련 매출액의 일정 비율), 형사고발 등의 조치가 내려질 수 있습니다.
• 개인정보 침해 신고는 118 사이버 신고센터를 통해서도 접수할 수 있어, 접근성이 좋은 창구를 선택할 수 있습니다.

2. 유출 사고 시 기업의 통지·신고 의무

• 개인정보가 유출되면 기업은 정당한 사유가 없는 한 지체 없이(72시간 이내) 정보주체에게 유출 사실, 항목, 시점, 대응 조치 등을 통지해야 합니다.
• 일정 규모 이상의 유출은 개인정보보호위원회에도 신고해야 하며, 통지·신고를 게을리하면 별도의 제재 대상이 됩니다.
• 통지를 받지 못했는데 유출 사실을 알게 되었다면, 기업의 통지의무 위반 자체도 문제 삼을 수 있습니다.

3. 손해배상 청구 — 사례 ②

• 일반 손해배상 — 실제 발생한 손해(정신적 피해에 대한 위자료 등)를 입증해 청구합니다. 다만 유출로 인한 구체적 손해를 금전으로 입증하기 어려운 경우가 많습니다.
• 법정손해배상 — 기업의 고의·과실로 인한 개인정보 유출이 인정되면, 구체적 손해액 입증 없이도 300만 원 이하의 범위에서 법원이 정하는 금액을 배상받을 수 있습니다. 실무상 피해자에게 훨씬 유리한 방식입니다.
• 징벌적 손해배상 — 기업의 고의 또는 중대한 과실이 인정되면, 실손해액의 최대 3배까지 배상을 청구할 수 있습니다.
• 손해배상 소송에서는 기업이 고의·과실이 없음을 스스로 입증해야 하는 구조로 되어 있어, 일반 민사소송보다 피해자의 입증 부담이 완화되어 있습니다.

4. 집단분쟁조정 — 다수 피해자인 경우

• 대규모 유출 사고처럼 같은 원인으로 다수의 피해자가 발생한 경우, 개인정보 분쟁조정위원회에 집단분쟁조정을 신청할 수 있습니다.
• 조정이 성립하면 재판상 화해와 동일한 효력을 가지며, 개별적으로 소송을 제기하는 것보다 시간과 비용을 절감할 수 있습니다.
• 조정이 결렬되면 민사소송(집단소송 형태 포함)으로 넘어갈 수 있습니다.

5. 마케팅 목적 무단 수집·이용 — 사례 ①

• 정보통신망법상 영리목적의 광고성 정보 전송(스팸)에는 사전 동의가 원칙이며, 위반 시 과태료 부과 대상입니다.
• 수신 거부 의사를 밝혔음에도 계속 발송하면 가중 제재를 받을 수 있어, 수신거부(080 번호 등) 이력을 남겨두는 것이 신고 시 유용한 증거가 됩니다.

6. 피해자가 준비해야 할 자료

• 유출 통지 메일·문자, 스팸 문자·전화 발신 내역
• 유출로 인해 발생한 2차 피해(보이스피싱 시도, 계정 도용 등) 정황 자료
• 정신적 고통을 뒷받침할 정황 자료(불안감으로 인한 병원 진료 기록 등이 있다면 함께)

자주 묻는 질문

Q. 소송 없이 신고만으로 배상을 받을 수 있나요?
행정 신고는 기업에 대한 제재를 이끌어낼 뿐, 배상금을 직접 지급하지는 않습니다. 배상을 받으려면 손해배상 청구(소송 또는 분쟁조정)가 별도로 필요합니다.

Q. 유출된 정보가 이름·연락처 정도면 배상받기 어렵나요?
법정손해배상 제도가 있어 구체적 피해가 없더라도 일정 금액 배상이 가능한 경우가 많습니다.

Q. 기업이 "이미 조치했다"고 하면 배상받을 수 없나요?
사후 조치와 별개로 유출 자체에 대한 배상 책임은 남아 있을 수 있습니다.

Q. 해외 업체가 유출한 경우도 신고할 수 있나요?
국내 이용자에게 서비스를 제공하는 해외 업체도 국내법 적용 대상이 될 수 있어 신고 자체는 가능하나, 실제 제재·배상 집행은 더 복잡할 수 있습니다.

체크리스트

• 유출 통지 내용(항목·시점·경위) 꼼꼼히 확인
• 동의 없는 수집·이용이라면 개인정보보호위원회 신고
• 2차 피해(스팸·보이스피싱 시도) 기록
• 법정손해배상·징벌적 손해배상 청구 가능성 검토
• 다수 피해자라면 집단분쟁조정 참여 검토
• 수신거부 의사 표시 이력 보관

개인정보 유출·무단수집은 피해자가 손해를 직접 입증하지 않아도 구제받을 수 있는 제도가 마련되어 있습니다. 통지를 받았거나 이상 징후를 느꼈다면, 신고와 손해배상 청구를 함께 검토해 적극적으로 대응하는 것이 좋습니다.