회사·쇼핑몰·병원·학원·온라인 서비스 등에 맡긴 이름, 전화번호, 주소, 주민등록번호, 계좌정보 등의 개인정보가 유출됐다면 단순히 비밀번호만 바꾸고 끝낼 문제는 아닐 수 있습니다. 개인정보처리자의 법 위반으로 실제 손해를 입었다면 손해배상을 청구할 수 있고, 일정한 경우에는 실제 손해액을 구체적으로 입증하는 대신 300만원 이하의 법정손해배상을 청구하는 제도도 있습니다.
또 개인정보처리자의 고의 또는 중대한 과실로 개인정보가 유출되어 손해가 발생한 경우에는 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다. 다만 개인정보가 유출되면 무조건 5배 배상 또는 무조건 300만원 지급이라는 의미는 아닙니다.
기준 시점: 2026년 8월 14일
국가법령정보센터의 현행 개인정보 보호법·시행령과 개인정보보호위원회 공식 자료를 기준으로 작성했습니다.
목차
3줄 요약
- 개인정보처리자는 원칙적으로 개인정보 유출 사실을 알게 된 후 72시간 이내에 정보주체에게 통지해야 합니다.
- 개인정보처리자의 고의·과실로 개인정보가 유출된 경우 일정 요건에서 300만원 이하 법정손해배상을 청구할 수 있지만 300만원이 자동 지급되는 것은 아닙니다.
- 고의 또는 중대한 과실로 개인정보가 유출돼 손해가 발생했다면 법원은 손해액의 최대 5배 범위에서 배상액을 정할 수 있습니다.
2026 개인정보 유출 피해배상 유출 통지 신고 손해배상 대응방법
개인정보 유출이란?
개인정보가 본래 허용된 범위를 벗어나 다른 사람에게 넘어가거나 접근 가능한 상태가 되는 등의 상황이 문제될 수 있습니다.
대표적으로:
해킹으로 고객정보 유출
직원의 실수로 개인정보 파일 외부 전송
다른 고객에게 개인정보가 포함된 서류 발송
회원정보가 인터넷에 공개
개인정보가 저장된 기기 분실·도난
등이 있습니다.
중요한 것은 개인정보 유출이 반드시 대규모 해킹 사건에서만 발생하는 것은 아니라는 점입니다.
한 사람의 개인정보라도 관리 과정에서 외부로 잘못 전달됐다면 구체적인 상황을 확인할 필요가 있습니다.
어떤 정보가 개인정보인가요?
개인정보 보호법상 개인정보는 살아 있는 개인에 관한 정보로서 해당 정보만으로 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보 등을 포함합니다.
실생활에서는 다음과 같은 정보가 문제가 될 수 있습니다.
이름
전화번호
주소
이메일
생년월일
주민등록번호
운전면허번호
계좌정보
신용정보
사진
위치정보
건강 관련 정보
특히 주민등록번호와 같은 고유식별정보, 건강·사상·성생활 등에 관한 민감정보가 유출됐다면 피해 위험을 더욱 주의해서 확인해야 합니다.
개인정보가 유출되면 회사가 알려줘야 하나요?
원칙적으로 그렇습니다.
개인정보 보호법 시행령 제39조에 따르면 개인정보처리자는 개인정보가 분실·도난·유출된 사실을 알게 된 경우 원칙적으로 72시간 이내에 정보주체에게 알려야 합니다.
통지에는 일반적으로 다음 내용이 포함됩니다.
유출된 개인정보 항목
유출 시점과 경위
피해를 최소화하기 위해 개인이 할 수 있는 방법
개인정보처리자의 대응조치와 피해구제절차
신고 등을 접수할 담당부서와 연락처
따라서 개인정보가 유출되었습니다라는 한 문장만 확인하고 끝내기보다 정확히 어떤 정보가 유출됐는지 확인하는 것이 중요합니다.
72시간은 사고가 발생한 때부터인가요?
법령상 중요한 기준은 개인정보처리자가 유출 사실을 알게 된 때입니다.
원칙적으로 그때부터 72시간 이내에 정보주체에게 통지해야 합니다.
다만 개인정보 확산이나 추가 유출을 막기 위해 긴급한 조치가 필요하거나 천재지변 등 부득이한 사유가 있는 경우에는 예외가 인정될 수 있습니다.
유출된 개인정보의 구체적인 항목이나 시점을 아직 모두 파악하지 못했다면 확인된 내용을 우선 통지하고 나머지는 확인되는 즉시 추가 통지하는 방식도 가능합니다.
모든 개인정보 유출을 정부에 신고해야 하나요?
정보주체에 대한 통지와 개인정보보호위원회 등에 대한 신고는 구분해야 합니다.
개인정보 보호법 시행령 제40조에 따르면 다음과 같은 경우 개인정보처리자는 유출 사실을 알게 된 후 원칙적으로 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다.
| 신고 대상 | 기준 |
|---|---|
| 대규모 유출 | 1천명 이상 정보주체 |
| 중요정보 유출 | 민감정보 또는 고유식별정보 |
| 외부 공격 | 개인정보처리시스템 등에 대한 외부 불법접근으로 유출 |
따라서 1천명 미만이면 아무 조치도 필요 없다는 의미가 아닙니다.
1천명 기준은 개인정보보호위원회 등에 대한 신고요건 중 하나이며, 정보주체 통지나 손해배상 문제는 별도로 확인해야 합니다.
개인정보 유출 문자를 받았다면 가장 먼저 무엇을 해야 하나요?
우선 유출된 정보의 종류부터 확인하세요.
유출통지 내용 저장
↓
유출된 개인정보 항목 확인
↓
아이디·비밀번호 변경
↓
동일 비밀번호를 사용한 다른 서비스도 변경
↓
금융정보 유출 여부 확인
↓
명의도용 가능성 확인
↓
피싱·스미싱 주의
↓
회사 대응조치 확인
↓
실제 피해 발생 여부 기록
↓
필요하면 신고·분쟁조정·손해배상 검토
특히 개인정보 유출 사고 직후에는 이를 악용한 피싱 문자나 전화가 이어질 수 있으므로 주의해야 합니다.
비밀번호도 유출됐다면 어떻게 해야 하나요?
해당 서비스의 비밀번호만 변경하고 끝내지 마세요.
같은 비밀번호를 다른 사이트에서도 사용했다면 다른 서비스까지 함께 변경하는 것이 좋습니다.
특히:
이메일
금융서비스
쇼핑몰
SNS
클라우드
등 주요 계정부터 확인하세요.
가능하다면 다중인증도 활성화하는 것이 좋습니다.
2026 개인정보 유출 비밀번호 변경 명의도용 금융피해 대응방법
주민등록번호가 유출됐다면요?
주민등록번호는 고유식별정보에 해당하므로 더욱 주의해야 합니다.
개인정보 보호법 시행령은 고유식별정보가 유출된 경우 개인정보보호위원회 또는 한국인터넷진흥원 신고대상으로 규정하고 있습니다.
피해자 입장에서는:
명의도용 여부
본인 모르게 개설된 서비스
금융거래 이상 여부
휴대전화 관련 이상 여부
등을 지속적으로 확인할 필요가 있습니다.
개인정보가 유출되면 무조건 보상받을 수 있나요?
그렇지는 않습니다.
개인정보 보호법 제39조에 따르면 정보주체는 개인정보처리자가 법을 위반한 행위로 손해를 입으면 손해배상을 청구할 수 있습니다.
이 경우 개인정보처리자는 고의 또는 과실이 없음을 입증하지 못하면 책임을 면하기 어렵습니다.
그러나:
유출 사실
과
구체적인 배상액
은 별개의 문제입니다.
유출됐다는 이유만으로 일정 금액이 자동 지급되는 제도라고 생각하면 안 됩니다.
개인정보 유출 손해배상은 얼마까지 가능한가요?
손해배상에는 여러 구조가 있습니다.
일반 손해배상
개인정보처리자의 법 위반으로 실제 손해를 입었다면 그 손해에 대한 배상을 청구할 수 있습니다.
법정손해배상
개인정보처리자의 고의 또는 과실로 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우 정보주체는 일정 요건 아래 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있습니다.
최대 5배 손해배상
개인정보처리자의 고의 또는 중대한 과실로 개인정보가 유출되는 등의 사고가 발생하고 정보주체에게 손해가 발생했다면 법원은 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다.
개인정보 유출되면 300만원 받을 수 있나요?
개인정보 유출 = 300만원 지급
은 아닙니다.
개인정보 보호법 제39조의2는 일정한 경우 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있도록 하는 법정손해배상제도를 두고 있습니다.
법원은:
변론 전체의 취지
증거조사 결과
등을 고려해 300만원 이하 범위에서 상당한 손해액을 인정할 수 있습니다.
따라서 300만원은 자동 지급되는 정액 보상금이 아니라 법정손해배상의 상한으로 이해해야 합니다.
실제 금전피해가 없어도 법정손해배상을 청구할 수 있나요?
법정손해배상제도의 중요한 의미가 여기에 있습니다.
개인정보 침해에서는 정신적 피해나 향후 악용 위험 등을 정확한 금액으로 입증하기 어려운 경우가 있습니다.
개인정보 보호법 제39조의2는 이러한 경우 일정한 요건 아래 300만원 이하 범위에서 상당한 금액을 손해액으로 청구할 수 있는 제도를 마련하고 있습니다.
다만 청구한다고 해서 법원이 항상 300만원을 인정하는 것은 아닙니다.
개인정보 유출은 최대 5배 배상인가요?
경우에 따라 가능합니다.
현행 개인정보 보호법 제39조는 개인정보처리자의 고의 또는 중대한 과실로 개인정보가 분실·도난·유출·위조·변조 또는 훼손되고 정보주체에게 손해가 발생한 경우 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있도록 하고 있습니다.
법원은 배상액을 정할 때:
고의 또는 손해발생 위험을 인식한 정도
피해 규모
개인정보처리자가 얻은 경제적 이익
벌금·과징금
위반기간과 횟수
개인정보처리자의 재산상태
유출정보 회수 노력
피해구제 노력
등을 고려합니다.
따라서 유출됐으니 무조건 손해액 × 5로 계산해서는 안 됩니다.
300만원 법정손해배상과 5배 배상은 같은 건가요?
다릅니다.
| 구분 | 핵심 |
|---|---|
| 일반 손해배상 | 실제 발생한 손해를 배상 |
| 법정손해배상 | 일정 요건에서 300만원 이하 청구 가능 |
| 5배 배상 | 고의·중과실 등 요건에서 손해액 최대 5배 범위 |
특히 300만원 × 5 = 1,500만원을 자동으로 받을 수 있다는 식으로 계산해서는 안 됩니다.
각 제도는 법적 요건과 손해액 판단방식이 다릅니다.
2026년 9월 11일부터 바뀌는 부분도 있나요?
있습니다.
이 글의 기준일인 2026년 8월 14일 현재 개인정보 보호법 개정안 가운데 일부는 아직 시행 전입니다.
2026년 3월 10일 개정된 개인정보 보호법의 제39조와 제39조의2 일부 개정사항은 2026년 9월 11일부터 시행될 예정입니다.
따라서 9월 11일 이후 발생하거나 진행되는 사건은 개정된 조문까지 다시 확인하는 것이 안전합니다.
개인정보 유출 때문에 보이스피싱 피해까지 발생했다면?
유출 이후 실제로:
보이스피싱 송금
명의도용
부정결제
계정 탈취
등의 2차 피해가 발생했다면 관련 자료를 반드시 보관하세요.
예를 들어:
유출 통지문
피싱 문자
통화기록
송금내역
카드 결제내역
계정 로그인 기록
신고 접수자료
등입니다.
손해배상을 검토할 때는 개인정보 유출과 실제 피해 사이의 관계가 중요한 쟁점이 될 수 있기 때문입니다.
회사가 무료 쿠폰을 주면 손해배상을 청구할 수 없나요?
회사에서 사고 후:
무료 쿠폰
포인트
서비스 이용권
등을 지급하는 경우가 있습니다.
하지만 이것이 법적인 합의인지 단순한 고객 보상인지 구분해야 합니다.
특히 보상을 받는 과정에서:
추가 민·형사상 이의를 제기하지 않는다
등의 합의 문구가 있다면 내용을 확인한 뒤 동의하는 것이 좋습니다.
단순히 쿠폰을 받았다는 사실만으로 모든 법적 권리가 자동으로 사라진다고 단정해서는 안 됩니다.
개인정보 유출 피해를 어디에 신고할 수 있나요?
개인정보 침해와 관련해서는 개인정보 관련 공식 신고·상담 절차를 이용할 수 있습니다.
또 사업자와 피해배상 문제로 다툼이 있다면 개인정보 분쟁조정위원회를 통한 분쟁조정을 검토할 수 있습니다.
개인정보 포털에서는 개인정보 분쟁조정을 온라인 또는 서면으로 신청할 수 있도록 안내하고 있습니다.
개인정보 분쟁조정은 무엇인가요?
개인정보 침해로 인해 피해자와 개인정보처리자 사이에 분쟁이 생겼을 때 소송 외 방법으로 해결을 시도할 수 있는 제도입니다.
예를 들어:
개인정보 유출 여부
피해구제
손해배상
등에 관한 분쟁을 조정 절차에서 다룰 수 있습니다.
개인정보 포털은 온라인 또는 우편 등의 방법으로 분쟁조정을 신청할 수 있다고 안내하고 있습니다.
소송보다 먼저 분쟁조정을 활용할 것인지, 곧바로 손해배상청구를 진행할 것인지는 사건의 규모와 피해내용에 따라 판단하면 됩니다.
여러 명이 동시에 피해를 입었다면요?
대규모 개인정보 유출사고에서는 수백 명 또는 수천 명 이상이 동시에 피해를 입는 경우가 있습니다.
이 경우 개별적인 피해구제 외에도 일정한 요건 아래 집단분쟁조정 등 관련 절차를 검토할 수 있습니다.
다만 피해자가 많다는 이유만으로 모든 사람에게 동일한 금액이 자동으로 배상되는 것은 아닙니다.
개별 피해의 성격과 법적 요건을 함께 확인해야 합니다.
회사에 어떤 자료를 요구해야 하나요?
개인정보 유출 통지를 받았다면 최소한 다음 내용을 확인하는 것이 좋습니다.
정확히 어떤 개인정보가 유출됐는지
언제 유출됐는지
어떤 경위로 유출됐는지
외부인이 실제로 접근했는지
현재 추가 유출 가능성이 있는지
회사가 어떤 조치를 했는지
피해자가 해야 할 조치는 무엇인지
피해구제 담당부서가 어디인지
이 내용은 향후 실제 피해가 발생했을 때도 중요한 자료가 될 수 있습니다.
개인정보 유출 피해 증거는 무엇을 보관해야 하나요?
| 자료 | 확인 내용 |
|---|---|
| 유출 통지 문자·메일 | 회사가 인정한 유출내용 |
| 공지사항 | 사고규모·경위 |
| 유출 개인정보 항목 | 주민번호·전화번호 등 |
| 회사 답변 | 대응 및 피해구제 내용 |
| 비밀번호 변경기록 | 사고 후 대응 |
| 피싱 문자 | 2차 피해 정황 |
| 로그인 기록 | 계정 탈취 여부 |
| 금융거래내역 | 금전피해 |
| 경찰 신고자료 | 범죄피해 |
| 상담·분쟁조정 자료 | 피해구제 과정 |
| 영수증·비용자료 | 실제 지출 손해 |
가능하면 사고 직후부터 시간순으로 정리하는 것이 좋습니다.
2026 개인정보 유출 손해배상 증거 신고 분쟁조정 체크리스트
개인정보 유출 피해 대응 순서
유출 통지문 저장
↓
유출된 개인정보 종류 확인
↓
비밀번호·보안설정 변경
↓
금융·명의도용 위험 확인
↓
회사 사고공지와 대응내용 저장
↓
2차 피해 여부 지속 확인
↓
실제 피해자료 보관
↓
회사에 피해구제 요청
↓
필요하면 개인정보 관련 신고·상담
↓
개인정보 분쟁조정 검토
↓
손해배상 또는 법정손해배상 검토
이 과정에서 중요한 것은 단순히 유출 문자만 보관하는 것이 아니라 유출 이후 발생한 피해까지 연결해서 기록하는 것입니다.
이런 경우 특히 주의하세요
1. 개인정보 유출되면 무조건 300만원을 받는다고 생각하는 경우
300만원은 법정손해배상제도의 상한입니다. 법원이 사건에 따라 상당한 금액을 판단합니다.
2. 무조건 손해액의 5배를 받을 수 있다고 생각하는 경우
고의 또는 중대한 과실과 손해 발생 등 법률상 요건을 충족해야 합니다.
3. 1천명 미만 유출이면 아무 문제가 없다고 생각하는 경우
1천명 기준은 개인정보보호위원회 등에 대한 신고기준 중 하나입니다. 정보주체에 대한 통지와 손해배상 문제는 별개입니다.
4. 비밀번호 하나만 바꾸고 끝내는 경우
같은 비밀번호를 사용하는 다른 서비스와 금융·명의도용 위험도 함께 확인하세요.
5. 유출통지 문자를 삭제하는 경우
향후 피해구제를 위해 유출통지와 회사 공지사항을 보관하는 것이 좋습니다.
6. 2차 피해자료를 남기지 않는 경우
피싱 문자, 부정결제, 계정접속 기록 등은 실제 피해를 설명하는 중요한 자료가 될 수 있습니다.
7. 보상 쿠폰을 받으면서 합의내용을 확인하지 않는 경우
추가 청구 포기 등 법적 의미가 있는 문구가 있는지 확인하세요.
8. 2026년 9월 시행 예정 개정사항과 현재 법을 혼동하는 경우
이 글 기준일은 2026년 8월 14일입니다. 일부 개정조문은 2026년 9월 11일부터 시행 예정이므로 사건 시점을 확인해야 합니다.
체크리스트
- 개인정보 유출 통지문 저장
- 회사 공지사항 캡처
- 유출 발생일 확인
- 회사가 유출을 인지한 날짜 확인
- 유출된 개인정보 항목 확인
- 주민등록번호 유출 여부 확인
- 금융정보 유출 여부 확인
- 비밀번호 유출 여부 확인
- 비밀번호 즉시 변경
- 동일 비밀번호 사용 사이트 변경
- 다중인증 설정
- 명의도용 여부 확인
- 금융거래 이상 여부 확인
- 부정결제 확인
- 피싱 문자 저장
- 스미싱 링크 주의
- 이상 로그인 기록 저장
- 회사 피해구제 절차 확인
- 회사와 주고받은 답변 보관
- 실제 금전피해 기록
- 피해 관련 비용 영수증 보관
- 필요한 경우 개인정보 관련 신고·상담
- 개인정보 분쟁조정 검토
- 일반 손해배상 검토
- 300만원 이하 법정손해배상 요건 확인
- 최대 5배 손해배상 요건 확인
- 대규모 피해라면 집단분쟁조정 가능성 확인
- 합의서 작성 시 추가 청구 포기 여부 확인
FAQ
개인정보가 유출되면 회사는 언제 알려줘야 하나요?
개인정보처리자는 원칙적으로 개인정보 유출 사실을 알게 된 후 72시간 이내에 정보주체에게 통지해야 합니다. 법에서 정한 예외사유가 있는 경우에는 달라질 수 있습니다.
개인정보 유출되면 300만원을 받을 수 있나요?
300만원이 자동 지급되는 것은 아닙니다. 일정한 요건에서 300만원 이하 범위의 법정손해배상을 청구할 수 있고 실제 인정액은 법원이 판단합니다.
개인정보 유출은 최대 5배 배상인가요?
개인정보처리자의 고의 또는 중대한 과실로 개인정보가 유출되고 손해가 발생한 경우 법원은 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있습니다.
개인정보 유출 신고의 1천명 기준은 무엇인가요?
1천명 이상의 정보주체에 관한 개인정보가 유출된 경우 개인정보처리자는 원칙적으로 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다. 민감정보·고유식별정보 유출이나 외부 불법접근에 의한 유출도 별도 신고대상입니다.
개인정보 유출로 실제 돈을 잃었다면 어떻게 하나요?
유출 통지, 피싱·스미싱 자료, 금융거래내역, 신고자료 등 개인정보 유출과 실제 피해의 관계를 보여줄 수 있는 자료를 보관하고 손해배상 여부를 검토하는 것이 좋습니다.
개인정보 분쟁조정은 어디서 신청하나요?
개인정보 포털을 통해 온라인으로 신청할 수 있으며 서면 신청도 가능합니다.
2026년 개인정보 보호법이 또 바뀌나요?
2026년 3월 개정된 개인정보 보호법 중 제39조·제39조의2 등의 일부 개정사항은 2026년 9월 11일 시행 예정입니다. 이 글의 기준일인 8월 14일에는 아직 시행 전인 부분이 있으므로 사건 발생시점을 확인해야 합니다.
📌 함께 보면 좋은 글
👉 2026 개인정보 본인전송요구권 확대
👉 2026 주휴수당 지급기준
👉 2026 임금체불 신고방법
답글 남기기