Lexle
회사·사업 가이드 목록

개인정보

암호화된 비밀번호와 이메일만 유출돼도 법정손해배상을 받나요?

글쓴이 허진영 변호사 · 법무법인 윤성2026.10.12 갱신

개인정보 유출 법정손해배상은 유출 사실만 증명하면 청구할 수 있지만, 암호화된 비밀번호와 이메일 주소만 새어 나가 정신적 손해가 없다고 인정되면 배상받지 못할 수 있습니다. 2025년 12월 대법원 판결(2023다311184)은 개인정보처리자가 위자료로 배상할 정신적 손해가 없음을 증명하면 책임을 면한다고 보았습니다. 지금은 유출 통지문에 적힌 유출 항목과 그 뒤 스팸·도용 같은 피해 기록을 확인해 두십시오.

그 자리에서

유출 통지 문자나 이메일을 받았다면 통지문을 지우지 말고 저장해 두십시오. 개인정보처리자는 유출된 항목과 시점, 경위를 정보주체에게 알려야 하므로, 통지문이 어떤 정보가 새어 나갔는지를 보여 주는 첫 자료가 됩니다.

유출 때문에 돈을 잃었다거나 병원 치료를 받았다는 것을 처음부터 증명할 필요는 없습니다. 법정손해배상은 유출 사실만 주장·증명하면 청구할 수 있습니다.

이런 상담이 많습니다

A씨는 2010년 지식공유 사이트에 가입해 아이디와 이메일 주소 등을 등록했습니다. 2025년 3월 이 사이트가 해킹을 당해 가입자 수십만 명의 정보가 빠져나갔고, A씨 몫으로 유출된 것은 암호화된 비밀번호와 이메일 주소였습니다. 회사는 사고를 안 뒤 개인정보 보호위원회와 경찰에 신고하고 A씨에게 유출 사실을 알리며 비밀번호 변경을 요청했습니다. 이후 1년이 넘도록 스팸메일이 늘거나 계정이 도용된 일은 없었습니다. A씨는 회사가 과징금까지 받았으니 법정손해배상으로 300만원 이하의 배상을 받을 수 있는지 물어 왔습니다. (상담 사례를 바탕으로 날짜와 금액을 바꿔 재구성한 예시입니다.)

개인정보 유출 법정손해배상은 무엇을 증명해야 하나요?

정보주체는 개인정보가 유출됐다는 사실만 주장·증명하면 되고, 손해가 생긴 사실을 구체적으로 증명할 필요는 없습니다. 2026. 10. 4. 기준 현행 「개인정보 보호법」은 개인정보처리자의 고의 또는 과실로 개인정보가 유출등이 된 경우 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다고 정합니다. 고의·과실이 없다는 증명 책임도 개인정보처리자에게 있습니다.

대법원 2025. 12. 4. 선고 2023다311184 판결은 이 규정의 취지를 손해 증명이 어려운 피해자가 일정 한도의 법정금액을 쉽게 배상받도록 하려는 것이라고 설명했습니다. 다만 손해가 생기지 않은 것이 분명한 경우까지 배상하라는 취지는 아니라고 덧붙였습니다.

회사가 정신적 손해가 없다고 다투면 어떻게 되나요?

개인정보처리자가 정보주체에게 위자료로 배상할 만한 정신적 손해가 생기지 않았다는 것을 증명하면 법정손해배상책임을 면할 수 있습니다. 같은 판결이 처음으로 이 기준을 분명히 했고, 그 증명 책임은 회사 쪽에 있습니다.

법원은 아래 사정을 함께 보고 사건마다 따로 판단합니다.

  • 유출된 정보의 종류와 성격 - 주민등록번호·금융정보인지, 이메일 주소처럼 단독으로는 의미가 적은 정보인지 봅니다.
  • 식별 가능성 - 유출된 정보로 그 사람이 누구인지 알아볼 수 있게 됐는지 봅니다.
  • 열람·확산 범위 - 제3자가 실제로 열람했거나 앞으로 열람할 가능성, 퍼진 범위를 봅니다.
  • 추가 피해 가능성 - 스팸·도용 같은 2차 피해가 생길 위험이 생겼는지 봅니다.
  • 회사의 관리 상황과 사후 조치 - 유출 경위, 신고·통지, 비밀번호 변경 요청 같은 확산 방지 조치를 봅니다.

대법원은 이 사정들을 따지더라도 손해 증명 없이 구제하려는 법정손해배상제도의 취지가 형해화되지 않도록 주의해야 한다고 했습니다. 회사가 손해 없음을 쉽게 주장할 수 있게 한 판결로 읽으면 안 됩니다.

암호화된 비밀번호와 이메일만 새면 배상이 어려운가요?

이 판결 사안에서는 배상이 인정되지 않았습니다. 대법원은 비밀번호가 암호화되어 있어 제3자가 내용을 알아내거나 쓸 가능성이 매우 낮고, 이메일 주소가 이름 등 다른 정보와 결합되지 않아 그것만으로는 누구인지 알기 어렵다고 보았습니다.

가입자 유형이 넓은 지식공유 사이트라서 이메일 주소만으로 이용자의 성향을 파악하기 어렵다는 점, 사고 후 원심 변론종결까지 스팸메일 증가나 2차 피해 자료가 없었다는 점도 들었습니다. 회사가 개인정보 보호위원회와 경찰에 신고하고 가입자에게 유출 사실을 알리며 비밀번호 변경을 요청한 점, 고의·중과실을 인정하기 어렵다는 점도 고려됐습니다. 그래서 원고의 상고를 기각했습니다.

반대로 이름·전화번호·주민등록번호가 함께 새거나, 유출 뒤 보이스피싱 문자나 계정 도용이 늘었다는 기록이 있다면 결론이 달라질 수 있습니다. 회사가 안전조치의무를 어겨 과징금을 받았다는 사실만으로 정신적 손해가 바로 인정되는 것은 아닙니다.

일반 손해배상과 법정손해배상은 어떻게 다른가요?

일반 손해배상은 실제 손해를 증명해야 하고, 법정손해배상은 손해 증명 없이 300만원 이하에서 청구합니다. 실제 손해가 300만원보다 크다고 보이면 일반 손해배상을 청구하고, 증명이 어려워지면 사실심 변론이 끝나기 전까지 법정손해배상 청구로 바꿀 수 있습니다.

개인정보 유출 손해배상 청구 방식 비교(2026. 10. 4. 기준)
구분일반 손해배상법정손해배상
근거제39조제39조의2
손해 증명필요불필요
배상 한도실제 손해(고의·중과실 5배 이내)300만원 이하
고의·과실 증명회사가 없음을 증명회사가 없음을 증명
청구 변경사실심 변론종결 전 법정손해배상으로 변경 가능-

출처 - 개인정보 보호법 제39조, 제39조의2

개인정보처리자의 고의 또는 중대한 과실로 유출등이 되어 손해가 생겼다면 법원은 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다. 개인정보처리자가 고의·중대한 과실이 없음을 증명하면 이 가중 배상은 적용되지 않습니다.

이 사건은 소액사건이었습니다. 소액사건은 상고이유가 좁게 제한되지만, 대법원은 판례가 명확하지 않고 비슷한 사건이 하급심에 많다는 이유로 법령 해석을 직접 판단했습니다. 같은 사고로 여러 가입자가 소송을 낸 사건이라면 이 판결 기준이 그대로 쓰일 가능성이 높습니다.

개인정보 유출 손해배상 대응 순서

  • 통지문 보관 - 유출 통지 문자·이메일과 회사 공지를 저장합니다. 통지일과 유출 항목이 이 문서로 확정됩니다.
  • 유출 항목 확인 - 암호화 여부, 이름·전화번호 결합 여부를 확인합니다. 식별 가능성 판단이 여기서 갈립니다.
  • 2차 피해 기록 - 사고 뒤 늘어난 스팸, 피싱 문자, 로그인 시도 알림을 날짜별로 캡처합니다. 회사의 손해 없음 주장에 맞설 자료가 됩니다.
  • 회사 조치 확인 - 개인정보 보호위원회 처분 공개 자료와 회사의 사후 조치 내용을 모읍니다. 관리 소홀과 고의·중과실 판단에 쓰입니다.
  • 청구 방식 결정 - 실제 손해 증명이 가능한지 보고 일반 손해배상과 법정손해배상 중 하나를 고릅니다. 사실심 변론종결 전까지 바꿀 수 있습니다.

여기까지는 일반 기준이고, 주민등록번호·금융정보가 함께 유출됐거나 유출 뒤 도용 피해가 실제로 생겼다면 유출 경위와 피해 기록을 보고 따로 따져야 합니다. 법무법인 윤성은 개인정보 유출에 따른 손해배상 청구와 기업의 유출 사고 대응을 수행합니다.

유출 통지를 받은 뒤 확인할 순서
  1. 1

    통지문 보관

    유출 항목과 통지일 확정

  2. 2

    유출 항목 확인

    암호화·결합 여부로 식별 가능성 판단

  3. 3

    2차 피해 기록

    스팸·피싱·로그인 알림 날짜별 캡처

  4. 4

    청구 방식 결정

    일반 손해배상과 법정손해배상 선택

실무상 착안점

개인정보 유출 소송에서 많은 분이 「회사가 과징금을 받았으니 1인당 얼마씩은 당연히 나온다」고 생각합니다. 법정손해배상이 손해 증명을 덜어 준 것은 맞지만, 이번 판결로 회사가 정신적 손해가 없다는 사정을 증명하면 배상이 막힐 수 있다는 점이 분명해졌습니다. 유출 항목이 무엇이었는지가 결론을 가릅니다.

그래서 기록이 시점과 함께 남아야 합니다. 유출 통지를 받은 날, 통지문에 적힌 항목, 그 뒤 스팸이나 피싱 문자가 늘어난 날짜, 로그인 시도 알림이 온 시각을 캡처해 두면 회사의 「2차 피해 자료가 없다」는 주장에 맞설 수 있습니다. 이 사건에서도 2년 넘게 스팸 증가가 확인되지 않았다는 점이 회사에 유리하게 쓰였습니다.

이 기록은 소송에서 정신적 손해의 존재를 뒷받침하는 직접 증거가 됩니다. 같은 사고로 소송을 낸 가입자가 많을수록 법원은 유출 항목별로 결론을 나누는 경향이 있어, 내 정보가 어느 범주에 속하는지 보여 주는 통지문과 피해 기록이 승패를 가르고, 판결 뒤 집행 단계에서도 청구 금액을 특정하는 근거가 됩니다.

— 허진영 변호사 · 회사·사업

관련 수행 이력

법무법인 윤성은 개인정보 유출에 따른 손해배상 분쟁을 수행해 왔으며, 유출 항목과 식별 가능성, 2차 피해 기록을 먼저 정리한 뒤 일반 손해배상과 법정손해배상 중 유리한 청구 방식을 정하는 방식으로 대응합니다.

  • 형사 공판 변론
  • 강제집행·채권추심
  • 가압류·가처분 신청
  • 사기 형사 방어 및 사기 고소 대리

이 상황에서 자주 묻는 것

법무법인 윤성 × Lexle

허진영 변호사법무법인 윤성 대표변호사대한변호사협회 등록 조세 전문변호사 · 세무사 등록

이 글과 관련해 지금 상황을 남겨 주세요. 다른 상황이어도 괜찮아요. 남겨 주시면 제가 먼저 읽어 볼게요!

  • 채팅으로 끝까지전화 안 하셔도 돼요
  • 사진 한 장이면 시작모르는 건 비워 두셔도 돼요
  • 금액부터 알려 드려요보시고 맡길지 정하시면 돼요
  • 10분 안에 답업무시간 기준 · 알림톡으로 알려요
  • 변호사가 직접 읽어요맡을 수 있는 일인지 알려 드려요
  • 결과는 문서로같은 채팅방에 문서로 와요

휴대폰 문자로 한 번만 확인할게요 · 금액은 먼저 알려 드려요

법무법인 윤성이 직접 운영해요 · 법률사무는 전부 소속 변호사가 해요

비슷한 상황

출처

2026.10.12 기준으로 조문을 확인했습니다.

이 글은 일반적인 법률 안내입니다. 개별 사안은 사실관계와 자료에 따라 판단이 달라질 수 있습니다.허진영 대표변호사 · 대한변호사협회 등록 조세 전문변호사 · 세무사 등록광고책임변호사 허진영 · 법무법인 윤성© 법무법인 윤성 · 무단 복제·자동 수집 금지