개인정보유출보상은 기업이나 기관의 관리 부실로 인한 피해에 대해 이루어진다

 

개인정보유출보상은 기업, 병원, 학교, 관공서 등 개인정보처리자가 보유·관리하던 정보가 해킹, 내부자 유출, 관리소홀 등으로 외부에 노출되거나 제3자에게 넘어간 경우, 정보주체가 입은 정신적·경제적 피해에 대해 금전적 배상을 청구하는 절차를 말한다. 개인정보는 단순한 이름과 연락처를 넘어 주민등록번호, 계좌번호, 신용정보, 위치정보, 병력 등 민감한 정보까지 포함되며, 유출 시 2차 범죄로 이어질 가능성이 매우 높다.

 

정보주체는 개인정보가 유출된 사실을 통보받은 경우, 해당 사업자 또는 기관에 손해배상을 청구할 수 있으며, 실제 손해가 없더라도 ‘정신적 피해’를 이유로 위자료를 받을 수 있다. 이에 따라 개인정보유출보상은 피해자의 실제 손해를 넘어 정보 자기결정권 침해에 대한 책임을 묻는 수단으로 자리 잡고 있다.

 

 

개인정보보호법은 개인정보처리자에게 ‘안전한 보호조치의무’를 부과하고 있으며, 이를 위반해 유출사고가 발생한 경우 과실이 추정된다. 즉, 피해자가 유출 사실을 입증하면, 그 원인이 해커인지 내부자 부정사용인지에 관계없이 처리자가 법적 책임을 면하기 어렵다. 이를 ‘입증책임 전환 원칙’이라고 하며, 실제 소송에서도 유출 경로와 상관없이 사업자의 과실이 인정되는 경우가 많다.

 

기업이나 기관이 암호화, 접근권한 제한, 로그관리 등 기본적인 기술적·관리적 보호조치를 하지 않았다면, 그 자체가 책임 인정의 근거가 된다. 특히 주민등록번호, 위치정보, 결제정보, 의료정보 등 민감한 개인정보가 포함된 경우에는 높은 수준의 보호조치가 요구되며, 그렇지 못했다면 개인정보유출보상 책임이 훨씬 무겁게 부과된다.

 

 

개인정보유출보상 청구는 피해자 개인이 직접 사업자에 손해배상을 요구할 수도 있지만, 대형 유출 사건의 경우 수백 명 이상의 피해자가 함께 집단소송 또는 단체소송 형태로 청구를 제기하는 경우도 많다. 대표적으로 대형 포털사이트, 카드사, 통신사에서 발생한 대규모 유출 사건에서는 단체소송을 통해 수십억 원 규모의 보상금이 지급되기도 했다.

 

또한 비영리단체가 일정 요건을 충족하면 개인정보보호법상 손해배상청구권을 대리하여 소송을 제기할 수 있도록 허용된 제도도 존재하며, 이는 피해자가 스스로 법적 절차를 진행하기 어려운 경우 효과적인 수단이 된다. 이처럼 개인정보유출보상은 집단적 권리 회복의 통로로서도 점점 강화되는 추세다.

 

 

개인정보유출보상을 받기 위해서는 유출사실에 대한 통지서, 언론보도, 피해 안내문, 관련 화면 캡처 등을 통해 자신이 피해자임을 증명하고, 2차 피해가 발생한 경우(예: 스미싱, 보이스피싱, 대출사기 시도 등) 구체적 정황과 함께 정신적 고통을 입증하는 자료를 제출해야 한다.

 

정보주체는 사업자에 대해 손해배상을 요구하거나, 방심위·개인정보위·금융위 등에 진정 또는 신고를 병행할 수 있으며, 필요할 경우 변호사를 통해 손해배상청구소송을 제기할 수 있다. 보상의 범위는 유출된 정보의 민감도, 사업자의 보호수준, 피해자의 고통 정도 등에 따라 수십만 원에서 수백만 원까지 다양하게 산정될 수 있다.

 

제39조(손해배상책임) ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.

② 삭제 <2015. 7. 24.>

③ 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 5배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다. 다만, 개인정보처리자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다. 

④ 법원은 제3항의 배상액을 정할 때에는 다음 각 호의 사항을 고려하여야 한다. 

1. 고의 또는 손해 발생의 우려를 인식한 정도

2. 위반행위로 인하여 입은 피해 규모

3. 위법행위로 인하여 개인정보처리자가 취득한 경제적 이익

4. 위반행위에 따른 벌금 및 과징금

5. 위반행위의 기간ㆍ횟수 등

6. 개인정보처리자의 재산상태

7. 개인정보처리자가 정보주체의 개인정보 분실ㆍ도난ㆍ유출 후 해당 개인정보를 회수하기 위하여 노력한 정도

8. 개인정보처리자가 정보주체의 피해구제를 위하여 노력한 정도