📌 결론부터: 배상은 ‘무엇이 나갔고, 퍼졌고, 회사가 어떻게 관리했나’로 갈린다
- 인정: 카드사 유출 — 1인당 위자료 10만원 확정(2018다219352)
- 부정: 해킹 인과관계 없음(네이트·싸이월드), 유출 매체 즉시 회수(GS칼텍스)
- 법정손해배상: 유출 사실만 증명하면 되지만, 회사가 ‘손해 없음’ 증명하면 면책(2025.12)
- 법률: 손해배상(제39조), 법정손해배상 300만원 이하(제39조의2), 고의·중과실은 5배까지
개인정보 유출 손해배상은 대형 유출 사건이 터질 때마다 ‘얼마나 받을 수 있나’로 다시 관심이 몰립니다. 하지만 판례를 보면 금액보다 먼저 ‘배상 자체가 인정되느냐’가 갈립니다. 같은 유출이라도 1인당 10만원이 확정된 사건이 있고, 한 푼도 인정되지 않은 사건이 있습니다. 대법원 판결문 원문으로 확인한 5건을 이긴 사건과 진 사건으로 나눠 기준을 정리했습니다.
함께 보면 도움이 되는 글입니다.
개인정보 유출 관련 글 (1개)
목차
개인정보 유출 손해배상 판례 한눈에 보기
| 사건 | 선고 | 결과 | 갈린 이유 |
|---|---|---|---|
| KB국민카드 유출 (2018다219352) | 2018.10.25. | ⭕ 1인당 10만원 | 식별·신용정보, 제3자 열람 가능성 큼, 보호조치 위반 |
| 롯데카드 유출 (2018다222303) | 2019.9.26. | ⭕ 배상책임 인정 | 외주 직원 하드디스크 반출을 관리 못 한 주의의무 위반 |
| 네이트·싸이월드 해킹 (2015다24904) | 2018.1.25. | ❌ 책임 부정 | 보호조치 미흡과 해킹 사이 인과관계 없음 |
| GS칼텍스 유출 (2011다59834) | 2012.12.26. | ❌ 정신적 손해 부정 | 저장매체 즉시 압수·폐기, 제3자 열람·후속 피해 없음 |
| 지식거래 사이트 해킹 (2023다311184) | 2025.12.4. | △ 법정손해배상 기준 정리, 배상 부정 | 암호화 비밀번호·이메일만 유출 |
모두 대법원 판결, 국가법령정보센터 원문 확인(2026.10.22).
배상이 인정된 사건
⚖️ 대법원 2018다219352 (2018.10.25. KB국민카드 유출) — ⭕ 1인당 위자료 10만원 확정
- 카드사가 사고분석시스템 개발을 맡긴 외주 직원이 고객정보를 빼낸 사건
- 보안프로그램·접근권한·암호화 등 법령상 보호조치를 다하지 않아 불법행위 책임 인정
- 유출 정보가 개인 식별·신용과 밀접하고 이미 열람됐거나 열람될 가능성이 커 정신적 손해 인정, 위자료 10만원
⚖️ 대법원 2018다222303 (2019.9.26. 롯데카드 유출) — ⭕ 배상책임 인정
- 외주 직원이 업무용 하드디스크를 포맷하지 않고 몰래 들고 나가 대출중개업자에게 전달
- 카드사가 반입 하드디스크 수량 파악·포맷 감독을 하지 않은 것은 주의의무 위반
- 정보통신망법이 아니라 민법상 불법행위로 책임 인정
배상이 부정된 사건
⚖️ 대법원 2015다24904 (2018.1.25. 네이트·싸이월드 해킹) — ❌ 회사 책임 부정
- 해커가 이미 키로깅으로 관리자 아이디·비밀번호를 얻은 상태였던 해킹 사건
- 직원 로그아웃 미이행은 보호조치 위반이지만, 그와 무관하게 침입이 가능했으므로 인과관계 없음
- 기준: 사고 당시 기술 수준에서 ‘사회통념상 합리적으로 기대 가능한 보호조치’를 다했는지
⚖️ 대법원 2011다59834 (2012.12.26. GS칼텍스 고객정보 유출) — ❌ 정신적 손해 부정
- 위탁업체 직원이 주유 보너스카드 회원정보를 빼내 언론에 제공
- 저장매체가 모두 압수·폐기돼 제3자가 열람·이용할 수 없었고 후속 피해 정황도 없음
- 이후 모든 유출 사건에 쓰이는 ‘정신적 손해 판단 7요소’를 제시한 판결
법정손해배상 300만원, 2025년 대법원 판결로 본 기준
⚖️ 대법원 2023다311184 (2025.12.4. 법정손해배상) — △ 기준 정리 + 이 사건은 배상 부정
- 법정손해배상은 유출됐다는 사실만 주장·증명하면 되고 손해를 구체적으로 증명할 필요 없음
- 다만 회사가 ‘위자료로 배상할 만한 정신적 손해가 없다’는 것을 증명하면 면책
- 그 판단은 2011다59834의 7요소로 하되, 제도 취지가 형해화되지 않도록 주의해야 한다고 설시
정리하면, 법정손해배상은 피해자의 증명 부담을 크게 덜어 주지만 ‘자동 300만원’은 아닙니다. 주소·전화번호처럼 사람을 특정할 수 있는 정보가 함께 나갔는지, 비밀번호가 평문이었는지, 다크웹 유포나 스미싱 같은 2차 피해가 있었는지가 결과를 가릅니다.
피해자 체크리스트
- 유출 통지 문자·이메일을 캡처해 보관(유출 사실 증명의 출발점)
- 유출 뒤 받은 사칭 문자·전화, 로그인 시도 알림 등 2차 피해 기록 남기기
- 회사 보상안이 나오면 ‘추가 청구 포기’ 조건이 있는지 확인
- 피해자가 많으면 집단분쟁조정 공고를 확인해 참가 신청(무료)
- 소송은 법정손해배상(300만원 이하)과 일반 손해배상 중 선택, 사실심 변론 종결 전까지 바꿀 수 있음(제39조의2③)
🔄 지금 기준(2026년 10월)으로 보면
- 「개인정보 보호법」 2026.9.11 시행본 기준: 손해배상(제39조), 고의·중과실 시 5배 이내 징벌적 배상(제39조③), 법정손해배상 300만원 이하(제39조의2).
- 2026년 3월 개정으로 유출 통지에 손해배상·분쟁조정 등 법적 권리 안내를 담도록 했습니다(제34조①6).
- 카드사 판결의 1인당 10만원은 당시 사실관계에서 정해진 금액이라, 다른 사건에 그대로 적용되지는 않습니다.
최근 대형 유출의 배상 안내는 쿠팡 10만원 배상금 정리에도 정리해 두었습니다. 새 유출 사건이 나오면 이 기준표로 함께 업데이트하겠습니다.
자주 묻는 질문
Q. 개인정보가 유출되면 무조건 배상받나요?
아닙니다. 대법원은 유출된 정보의 종류, 개인 식별 가능성, 제3자 열람 가능성, 확산 범위, 추가 피해 가능성, 회사의 관리 실태와 피해 확산 방지 조치를 종합해 정신적 손해가 있었는지 판단합니다(2011다59834 등). 유출 매체가 바로 회수·폐기됐거나 암호화된 정보만 나간 사건에서는 배상이 부정됐습니다.
Q. 법정손해배상 300만원은 누구나 받을 수 있나요?
300만원은 상한일 뿐입니다. 법정손해배상을 청구하면 유출 사실만 증명하면 되지만, 회사가 정신적 손해가 없었다는 걸 증명하면 책임을 면할 수 있고(2023다311184), 인정되더라도 금액은 법원이 300만원 이하에서 정합니다.
Q. 회사가 해킹을 당한 거면 회사 잘못이 아니지 않나요?
해킹 자체만으로 책임이 생기지는 않습니다. 네이트·싸이월드 사건(2015다24904)에서 대법원은 사고 당시 기술 수준에서 합리적으로 기대할 수 있는 보호조치를 다했는지를 기준으로 봤고, 그 사건은 보호조치 미흡과 해킹 사이의 인과관계가 없다며 책임을 부정했습니다. 반대로 보호조치 의무를 어긴 카드사 사건들은 책임이 인정됐습니다.
🔗 함께 보면 좋은 글
📚 확인한 자료 (2026년 10월 22일 기준)
- 「개인정보 보호법」 제39조(손해배상책임, 고의·중과실 시 손해액 5배 이내) — 2026.9.11 시행본
- 「개인정보 보호법」 제39조의2(법정손해배상 300만원 이하) — 2026.9.11 시행본
- 「개인정보 보호법」 제49조(집단분쟁조정) — 2026.9.11 시행본
- 개인정보 분쟁조정위원회 — 분쟁조정 신청
- 대법원 2018다219352 (2018.10.25. KB국민카드 유출) 결정문 원문
- 대법원 2018다222303 (2019.9.26. 롯데카드 유출) 결정문 원문
- 대법원 2015다24904 (2018.1.25. 네이트·싸이월드 해킹) 결정문 원문
- 대법원 2011다59834 (2012.12.26. GS칼텍스 고객정보 유출) 결정문 원문
- 대법원 2023다311184 (2025.12.4. 법정손해배상) 결정문 원문
※ 이 글은 2026년 10월 22일 기준 법령·공식 안내를 읽고 정리한 일반 정보이며, 법률 자문이 아닙니다. 개인 상황에 따라 결과가 달라질 수 있으니 신고·계약 전에는 담당 기관이나 전문가에게 확인하세요. 개별 상담은 댓글로 답하지 않습니다.