최근 통신사와 대형 온라인 플랫폼에서 수천만 명 규모의 가입자 정보가 유출되는 사고가 잇따르면서, 개인정보 유출은 더 이상 일부 기업만의 문제가 아니게 되었습니다.
개인정보 유출 통지를 받았다면 어떤 정보가 유출되었는지, 추가 피해를 막기 위해 무엇을 해야 하는지, 회사에 손해배상을 청구할 수 있는지부터 확인할 필요가 있습니다.
반대로 개인정보를 관리하는 회사라면 유출사고가 발생했을 때 통지·신고 의무를 제대로 이행했는지, 평소 개인정보 수집·이용과 제3자 제공 과정에 문제가 없었는지, 손해배상·과징금·형사책임이 문제될 수 있는지를 점검해야 합니다.
본 글에서는 먼저 개인정보가 유출된 정보주체의 입장에서 유출 사실 확인과 손해배상 등 권리구제 방법을 살펴보고, 이어서 개인정보를 관리하는 회사의 입장에서 개인정보처리자 해당 여부, 수집·이용과 제3자 제공, 직원·고객 개인정보 관리, 행정제재 등 확인해야 할 사항을 차례로 살펴보겠습니다.
⸻
■ 개인정보가 유출된 경우
개인정보 유출 통지를 받았거나 유출 피해가 우려되는 분이라면 아래 순서에 따라 대응을 검토해 보시기 바랍니다.
• 대응 순서 한눈에 보기 1 유출 사실 확인 — 어떤 정보가 언제 유출되었는지, 회사의 통지가 원칙적으로 72시간 이내에 이루어졌는지 확인합니다. 2 피해예방 조치 — 비밀번호 변경 등 추가 피해를 막기 위한 조치를 합니다. 3 청구 방법 검토 — 상대방이 개인정보처리자에 해당하는지, 유출된 정보의 종류와 회사의 안전조치 이행 여부를 따져 손해배상, 법정손해배상, 집단분쟁조정 중 적절한 방법을 정리합니다. |
1. 유출 사실 확인 — 플랫폼·가입자 정보 대량 유출과 통지 의무
2025년 SK텔레콤 사건에서는 휴대전화번호, 유심 인증키 등 가입자 정보가 대규모로 유출되었고, 개인정보보호위원회는 운영체제 보안 업데이트 미실시 등 안전조치의무(제29조) 위반을 인정하였습니다.
이러한 개인정보 유출 사건과 관련하여 유출등을 알게 된 개인정보처리자는 원칙적으로 72시간 이내에 정보주체에게 통지하여야 하고(제34조 제1항, 시행령 제39조), 1천 명 이상, 민감정보, 고유식별정보, 외부 불법 접근에 의한 유출은 별도로 보호위원회 등에 신고해야 합니다(제34조 제4항, 시행령 제40조).
2. 회사에 대한 청구 — 손해배상과 법정손해배상
| 제39조(손해배상책임) |
| ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. |
| ③ 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 유출등이 된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 5배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다(단서 생략). |
| 제39조의2(법정손해배상의 청구) |
| ① 제39조제1항에도 불구하고 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 유출등이 된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. |
개인정보 유출만으로 위자료가 당연히 인정되는 것은 아닙니다.
대법원은 유출된 정보의 종류와 성격, 식별 가능성, 제3자 열람 여부 또는 가능성, 확산 범위, 추가 법익침해 가능성, 관리 실태와 유출 경위 등을 종합하여 정신적 손해를 판단해야 한다고 보았고(대법원 2012. 12. 26. 선고 2011다59834 판결 참조), 법정손해배상 청구에서는 유출 사실만 증명하면 구체적인 손해액을 증명하지 않아도 300만 원 이하에서 상당한 금액이 인정될 수 있지만(제39조의2), 사업자는 정신적 손해가 발생하지 않았음을 증명하여 다툴 수 있습니다.
실무적으로는 피해자가 다수인 경우에는 집단분쟁조정을 신청하는 것을 고려할 수 있으며(제49조), 단체소송(제51조)은 침해행위의 금지·중지를 구하는 제도로서 손해배상청구와는 구별됩니다.
⸻
■ 개인정보를 관리하는 회사인 경우
고객·직원의 개인정보를 수집·이용하는 회사라면 평소 다음 의무를 점검하고, 위반 시 책임을 미리 확인해 두어야 합니다.
• 점검 순서 한눈에 보기 1 개인정보처리자 해당 여부 — 회사가 개인정보처리자로서 법상 의무를 부담하는지 확인합니다. 2 수집·이용 근거와 동의 — 처리 근거가 있는지, 동의를 구분하여 받았는지 확인하고 동의 기록을 보관합니다. 3 제3자 제공·처리위탁 — 외부 업체에 개인정보를 넘기는 구조가 제3자 제공인지 처리위탁인지 점검합니다. 4 직원·고객 정보 관리 — 목적이 달성된 정보를 파기하고, 퇴사자의 계정 차단과 접속기록 점검 절차를 마련합니다. 5 유출사고 대응과 행정제재 — 유출 시 증거를 보존한 상태에서 72시간 이내 통지·신고 의무를 이행하고, 과징금 감경을 위한 보호 투자·운영 내역을 정리해 둡니다. |
1. 개인정보처리자 해당 여부 — 회사의 의무는 여기서 출발합니다
제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.
5. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.
개인정보 보호법상 대부분의 의무는 '개인정보처리자'에게 부과되므로, 회사가 이에 해당하는지가 법 적용의 출발점입니다.
대법원은 입주자카드 등의 개인정보를 운용한 아파트 관리사무소장은 개인정보처리자에 해당할 여지가 많다고 보면서, 제59조의 금지행위 주체인 '개인정보를 처리하거나 처리하였던 자'는 개인정보처리자에 한정되지 않는다고 판시하였으므로(대법원 2016. 3. 10. 선고 2015도8766 판결 참조), 직원 개인도 업무상 알게 된 개인정보를 누설하면 처벌될 수 있습니다.
2. 개인정보 수집·이용 — 동의 여부
| 제59조(금지행위) |
| 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다. 1. 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위 제72조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다. 2. 제59조제1호를 위반하여 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자 |
개인정보는 동의뿐 아니라 법령상 의무, 계약 이행, 정당한 이익 등 법이 정한 근거가 있을 때 수집·이용할 수 있고, 동의를 받는 경우에는 수집·이용 목적, 항목, 보유기간, 동의 거부권 등(제15조 제2항)을 알리고 각 동의 사항을 구분하여 받아야 합니다(제22조 제1항).
적법한 근거 없이 개인정보를 수집·이용하는 것은 제15조 위반으로 과징금 부과 대상이 되고(제64조의2 제1항), 나아가 거짓이나 부정한 수단으로 동의를 받는 행위는 제59조 제1호의 금지행위로서 형사처벌 대상이 됩니다(제72조 제2호).
대법원은 동의를 받는 행위만 따로 볼 것이 아니라 수집 목적과 방법, 법령 준수 여부, 개인정보의 내용과 규모 등을 종합하여 '거짓이나 그 밖의 부정한 수단'인지 판단해야 한다고 보았으므로(대법원 2017. 4. 7. 선고 2016도13263 판결 참조), 형식상 동의를 받았더라도 실질이 정보주체를 오인시키는 방법을 사용한 경우에는 형사책임이 문제될 수 있습니다.
실무적으로는 분쟁이 생기면 동의를 적법하게 받았다는 점을 회사가 소명해야 하는 경우가 많으므로, 동의 일시와 당시의 동의 화면, 문구 버전을 기록으로 보관해 두는 것이 좋습니다.
3. 개인정보 제3자 제공 — 처리위탁과의 구별이 출발점입니다
| 제17조(개인정보의 제공) |
① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다)할 수 있다. 1. 정보주체의 동의를 받은 경우2. 제15조제1항제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우 |
| 제26조(업무위탁에 따른 개인정보의 처리 제한) |
| ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, 개인정보의 기술적·관리적 보호조치에 관한 사항 등이 포함된 문서로 하여야 한다. (각 호 요지) |
| 제71조(벌칙) 5년 이하의 징역 또는 5천만원 이하의 벌금 |
| 1. 제17조제1항제2호에 해당하지 아니함에도 같은 항 제1호를 위반하여 정보주체의 동의를 받지 아니하고 개인정보를 제3자에게 제공한 자 및 그 사정을 알면서도 개인정보를 제공받은 자 |
실무에서는 외부 업체에 개인정보를 넘긴 것이 동의가 필요한 '제3자 제공'인지, 문서화·공개 등의 요건만 갖추면 되는 '처리위탁'인지가 자주 문제됩니다.
대법원은 개인정보 보호법상 제3자 제공은 본래의 개인정보 수집·이용 목적 범위를 넘어 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 경우이고, 처리위탁은 본래의 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우라고 판시하였으며, 어떠한 행위가 제3자 제공인지 처리위탁인지는 개인정보의 취득 목적과 방법, 대가 수수 여부, 수탁자에 대한 실질적인 관리·감독 여부, 정보주체의 개인정보 보호 필요성에 미치는 영향 및 해당 개인정보를 실질적으로 이용할 필요가 있는 자가 누구인지 등을 종합하여 판단하여야 한다고 보았습니다(대법원 2017. 4. 7. 선고 2016도13263 판결 참조).
4. 직원·고객 개인정보 — 수집부터 파기까지 관리해야 합니다
| 제21조(개인정보의 파기) |
| ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다. |
| 제59조(금지행위) |
| 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다. 2. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위 3. 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 이용, 훼손, 멸실, 변경, 위조 또는 유출하는 행위 |
| 제74조(양벌규정) (요지) |
| 법인의 대표자나 종업원 등이 업무에 관하여 위반행위를 하면 법인에게도 벌금형을 과한다. 다만, 법인이 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다. |
근로계약 이행과 4대 보험 신고 등에 필요한 직원 정보는 동의 없이 처리할 수 있지만(제15조 제1항 제2호, 제4호), 건강정보 등 민감정보나 근로관계와 무관한 정보는 별도 근거가 필요합니다(제23조, 제24조, 제24조의2).
고객 정보는 필요한 최소한만 수집하고(제16조), 마케팅 동의는 구분하여 받으며(제22조 제1항 제7호), 목적 달성 시 파기하되 법령상 보존 대상은 분리 보관합니다(제21조).
특히 퇴사 직원이 고객 명단을 반출해 이용, 제공하면 그 직원은 5년 이하의 징역 또는 5천만 원 이하의 벌금이 문제될 수 있습니다(제59조 제2호, 제3호, 제71조 제9호·제10호).
따라서 실무적으로는 퇴사 직원에 의한 고객정보 유출을 막기 위하여, 직원의 퇴사가 확정되면 계정과 접근 권한을 차단하고, 퇴사 전 일정 기간의 접속기록과 대량 다운로드 여부를 점검하는 절차를 마련해 두는 것이 좋습니다.
이러한 절차의 이행 기록은 회사가 양벌규정상 상당한 주의와 감독을 다했다는 점을 소명하는 자료가 될 수 있습니다.
⸻
■ 행정제재 — 과징금 상한이 매출액의 10%까지 높아졌습니다
| 제64조의2(과징금의 부과) (2026. 9. 11. 시행, 요지) |
| ① 보호위원회는 개인정보처리자가 이 법을 위반한 경우 전체 매출액의 100분의 3을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다(단서 생략). |
| ② 제1항에도 불구하고 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 해당 개인정보처리자에게 전체 매출액의 100분의 10을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 50억원을 초과하지 아니하는 범위에서 과징금을 부과할 수 있다(각호 생략). |
2026. 9. 11. 시행된 개정 개인정보 보호법은 일정 기간 내 반복 위반, 고의·중과실로 인한 1천만 명 이상 피해, 시정명령 불이행으로 인한 유출등의 경우에는 그 상한을 10%로 높였고, 매출액이 없거나 산정이 곤란하면 50억 원 이하의 정액 상한이 적용될 수 있습니다(제64조의2, 시행령 제60조의2).
한편 개인정보 보호에 예산·인력·설비를 투자하고 운영한 사업자는 고의·중과실 위반이 아닌 한 기준금액의 40% 이하에서 과징금을 감경받을 수 있으므로, 과징금 처분이 문제되는 경우 이 부분을 확인하는 것이 중요한 쟁점이 됩니다.
⸻
■ 마무리하며
개인정보 유출 사건은 단순히 유출 사실만 확인하는 것으로 끝나지 않고, 정보주체의 권리구제와 회사의 법적 책임을 각각 구분하여 대응 방향을 정리할 필요가 있습니다.
정보주체라면 유출 통지 내용과 실제 피해 여부를, 회사라면 사고 발생 경위와 내부 관리·보호조치 자료를 우선 정리해 두는 것이 중요합니다.
특히 사고 초기의 대응과 관련 자료는 이후 분쟁이나 조사 과정에서도 중요한 판단자료가 될 수 있습니다.
▶ [A&P 업무분야] 민사 손해배상 사건 대응 안내 (클릭)
▶ [A&P 업무분야] 기업 규제·분쟁 및 법률자문 안내 (클릭)
법률사무소 A&P(에이앤피)는 개인정보 유출 및 개인정보보호법 관련 사건에서 유출 통지서, 개인정보 처리방침·동의자료, 접속기록과 내부 보안자료, 제3자 제공·업무위탁 관련 자료, 사고 대응 및 피해자료를 함께 검토하여 사건의 주요 쟁점을 정리하고 있습니다.
개인정보가 유출된 경우 어떤 권리구제 방법을 검토할 수 있는지, 또는 회사 입장에서 현재 대응에 문제가 없는지, 추가로 필요한 조치가 무엇인지 판단하기 어렵다면 초기 단계에서 관련 자료를 정리해 상담을 받아보시기 바랍니다.
법률사무소 에이앤피가 현재 확인된 사실관계와 자료를 바탕으로 정보주체의 권리구제와 회사의 법적 대응 방향을 구체적으로 살펴보겠습니다.
※ 본 글은 2026. 9. 11. 시행 개인정보 보호법을 기준으로 작성된 일반적인 법률정보입니다.
📞 방문 상담 예약
※ 의뢰인의 상황을 충분히 확인하고 보다 정확한 상담을 드리기 위해 방문 상담을 권장드리고 있습니다. 원활한 상담을 위해 방문 전 사전 예약을 부탁드립니다.
※ 본 글은 일반적인 법률 정보를 제공하기 위한 것으로, 구체적인 사실관계에 따라 결론은 달라질 수 있습니다.
법률사무소 A&P
박사훈 대표변호사
