개인정보 유출 손해배상 청구:
2026 개정법 몰랐다간 300만원 놓친다

2026년 2월 12일, 국회는 개인정보보호법을 전면 개정했습니다. 핵심은 단 하나, “기업이 무죄를 증명하라”는 입증책임의 역전입니다. 쿠팡·SK텔레콤·따릉이 등 대규모 유출 피해자라면 지금 바로 청구 절차를 확인하셔야 합니다.

2026 개정의 진짜 의미: 피해자가 더 이상 증명할 필요 없다

2026년 2월 12일 국회 본회의를 통과한 개인정보보호법 개정안은 개인정보 유출 피해 구제 역사에서 가장 중요한 전환점입니다. 이전까지는 피해자가 직접 “나는 이만큼의 피해를 봤다”는 것을 법정에서 수치로 입증해야 했습니다. 그러나 정신적 고통을 돈으로 환산해 증명하는 일이 현실적으로 얼마나 어려운지, 법 실무를 아는 사람이라면 누구나 알고 있습니다.

개정안의 핵심 변화는 법정손해배상(제39조의2)의 ‘고의 또는 과실’ 요건 삭제입니다. 즉, 기업이 실수든 고의든 상관없이, 유출 사실만 확인되면 기업 측이 책임이 없다는 것을 스스로 증명해야 하는 구조로 바뀝니다. 당정 협의에서도 “기업 등이 개인정보 유출에 대해 전반적 입증 책임을 지도록 하겠다”고 명시했습니다.

개인적으로 이 변화가 얼마나 의미 있는지를 설명드리겠습니다. 기존에는 피해자 입장에서 “대형 로펌을 선임한 기업을 상대로 내가 증거를 수집해야 하나”라는 절망감이 컸습니다. 이제는 공격과 수비의 위치가 바뀌었습니다. 개정법은 공포 후 6개월이 경과한 날부터 시행되므로, 2026년 하반기부터는 새로운 기준이 적용될 예정입니다.

▲ 목차로 돌아가기

법정손해배상 300만원, 실제로 얼마나 받을 수 있나

많은 분들이 “법정손해배상 최대 300만원”이라는 말만 보고 소송을 냈다가 실망하십니다. 법원의 실제 판결 경향은 냉정하게 살펴볼 필요가 있습니다. 하지만 동시에 2026년 개정 이후 배상 기준이 상향될 가능성도 높습니다. 아래 표를 통해 현실적인 배상 금액을 확인하세요.

한편, 개정법은 집단 피해 구제의 실효성도 강화했습니다. 기존 단체소송은 ‘금지·중지’ 청구만 가능했으나, 이제는 금전적 손해배상까지 단체소송으로 청구할 수 있도록 법 개정이 추진됩니다. 쿠팡 3,370만 명, SK텔레콤 2,300만 명 등 대규모 피해 사건에서 개인이 혼자 소송을 제기하는 것보다 훨씬 강력한 협상력을 가질 수 있게 됩니다.

▲ 목차로 돌아가기

3가지 청구 경로: 내 상황에 맞는 방법은?

개인정보 유출 손해배상 청구 경로는 크게 세 가지입니다. 피해의 크기와 상대방의 태도에 따라 가장 효율적인 방법이 다릅니다. 단계별로 적용하는 것이 가장 현명합니다.

① 개인정보 분쟁조정 — 비용 0원, 평균 2~3개월

가장 먼저 시도할 수 있는 방법입니다. 개인정보 분쟁조정위원회(개인정보 종합포털 privacy.go.kr)에 신청하면 비용 없이 전문 조정위원이 기업과의 협상을 중재합니다. 2023년 법 개정으로 공공기관 및 일정 규모 이상 민간기업은 조정 절차에 의무 참여해야 합니다. 단, 기업이 최종 조정안을 거부하면 강제할 수 없다는 점이 약점입니다.

② 소액 민사소송 — 강제집행력 있음, 3,000만원 이하

분쟁조정이 불발되거나 기업이 책임을 완강히 부인할 때 선택합니다. 청구 금액 3,000만원 이하는 소액사건심판법이 적용돼 비교적 신속하게 진행됩니다. 법원의 판결이 확정되면 강제 집행이 가능하므로 기업이 지급을 거부할 수 없습니다. 2026년 개정법 시행 이후에는 “우리에게 과실이 없다”는 입증 책임이 기업에 넘어가므로, 피해자의 소송 부담이 현저히 줄어듭니다.

③ 집단분쟁조정 — 50명 이상, 협상력 극대화

동일 사고 피해자가 50명 이상이면 집단분쟁조정을 신청할 수 있습니다. 개인이 삼성화재·쿠팡 같은 대기업을 상대로 혼자 싸우는 것과 수만 명이 함께 목소리를 내는 것은 전혀 다른 게임입니다. 로펌을 선임해 집단소송으로 발전시키는 경로도 있으며, 근래 쿠팡 사건에서 법무법인들이 1인당 착수금 99,000원을 받고 집단 소송에 참여자를 모집한 사례가 대표적입니다.

▲ 목차로 돌아가기

골든타임 증거수집: 유출 통보 받은 날 해야 할 5가지

개인정보 유출 사건에서 초기 증거수집이 결과의 80%를 결정합니다. 기업 측 로펌은 이미 방어 논리를 준비하고 있습니다. 유출 사실을 통보받은 바로 그날, 다음 5가지를 반드시 수행하세요.

▲ 목차로 돌아가기

징벌적 과징금 매출 10%: 기업을 진짜로 움직이는 새 무기

개인정보 유출 손해배상 청구는 개인이 받는 배상과 기업이 국가로부터 받는 제재, 두 가지 축으로 나뉩니다. 2026년 개정법은 후자, 즉 기업 제재를 대폭 강화했습니다. 이것이 왜 개인 피해자에게도 중요할까요? 강력한 과징금 위협이 기업의 태도를 바꾸기 때문입니다.

기존 과징금은 전체 매출액의 3%였습니다. 그러나 개정법은 아래 세 가지 경우에 매출액의 10%까지 징벌적 과징금을 부과할 수 있도록 했습니다. 첫째, 고의 또는 중대한 과실로 3년 이내 같은 위반을 반복한 경우입니다. 둘째, 고의 또는 중대한 과실로 피해 규모가 1,000만 명 이상에 이른 경우입니다. 셋째, 시정조치 명령을 이행하지 않아 유출이 발생한 경우입니다. 매출액이 없거나 산정이 어려운 경우에는 50억 원 이하로 부과합니다.

SK텔레콤의 2025년 연간 매출이 약 18조원이라고 가정하면, 이 기준 적용 시 최대 1조 8,000억원의 과징금이 가능합니다. 물론 실제 산정 시 감경 요소가 작용하지만, 이 위협만으로도 기업이 개인 피해자와의 합의에 적극 나설 수밖에 없는 구조가 됩니다.

▲ 목차로 돌아가기

집단분쟁조정: 50명만 모이면 대기업도 협상 테이블에 나온다

개인정보 유출 손해배상 청구에서 혼자 싸우는 것보다 집단의 힘이 압도적으로 유리합니다. 동일 사고로 피해를 입은 사람이 50명 이상이면 집단분쟁조정을 신청할 수 있습니다. 개인정보보호 종합포털(privacy.go.kr)에서 온라인으로 신청 가능하며, 조정위원회가 대표자를 선정해 기업과 일괄 협상합니다.

실제로 쿠팡 개인정보 유출 사건에서는 여러 법무법인이 1인당 착수금 99,000원을 받고 집단소송 참여자를 모집했습니다. 1,500명 이상이 참여했으며 수십만 명의 추가 참여가 예상됩니다. 개정법이 시행되면 단체소송에서도 금전적 손해배상을 직접 청구할 수 있게 되므로, 앞으로 이런 집단소송의 파급력은 더욱 커질 전망입니다.

필자가 가장 중요하게 생각하는 포인트는 집단의 힘이 기업의 행동을 근본적으로 바꾼다는 사실입니다. 개인 100만원짜리 소송 수천 건이 쌓이면 기업 입장에서는 개인정보 보안 투자보다 사후 배상 비용이 더 커지는 지점이 옵니다. 그 임계점을 넘으면 기업은 자발적으로 보안에 투자하게 됩니다. 법이 그 선순환 구조를 만들어가고 있는 중입니다.

▲ 목차로 돌아가기

자주 묻는 질문 Q&A

▲ 목차로 돌아가기

마치며 — 법은 결국 쓰는 사람의 것입니다

2026년 개인정보보호법 전면 개정은 분명 피해자에게 유리한 방향의 변화입니다. 입증책임의 기업 전환, 징벌적 과징금 10%, 유출 가능성 사전 통지 의무화—이 세 가지만으로도 한국 개인정보 보호 체계는 한 단계 올라섰습니다.

그러나 법이 강화돼도 권리는 스스로 행사해야 얻을 수 있습니다. 유출 통보 문자를 받고 그냥 넘기는 사람과, 그날 바로 증거를 수집하고 분쟁조정을 신청하는 사람 사이의 결과는 전혀 다릅니다. 개인정보 유출 손해배상 청구는 복잡한 법률 용어처럼 느껴지지만, 실제로는 온라인으로 무료 신청이 가능하고 평균 2~3개월이면 결론이 납니다.

이미 유출 통보를 받으셨다면 지금 이 글에서 확인한 5단계 증거수집을 오늘 안에 실행하세요. 권리를 행사한 사람만이 법의 혜택을 누릴 수 있습니다.

▲ 목차로 돌아가기