개인정보 유출 통지를 받았을 때 — 지금 바로 할 일, 하지 말아야 할 일, 그리고 손해배상

국가정보원에서 정보가 모이고 흐르는 과정을 다뤄본 경험이 있습니다. 그 경험에서 배운 것을 하나만 말씀드리면, 유출된 개인정보는 사라지지 않습니다. 묶이고 팔리고 다른 유출 자료와 합쳐져서, 몇 달 뒤 전혀 다른 얼굴로 돌아옵니다. 그래서 통지를 받은 그 순간이 피해를 막을 수 있는 가장 빠른 시점입니다. 순서대로 짚어보겠습니다.

1. 개인정보 유출 통지, 왜 오는가

개인정보보호법은 개인정보를 다루는 회사나 기관이 유출 사실을 알게 되면 지체 없이, 원칙적으로 72시간 안에 당사자에게 알리도록 정하고 있습니다. 통지에는 여섯 가지가 들어가야 합니다. 유출된 항목, 유출 시점과 경위, 피해를 줄이기 위해 내가 할 수 있는 방법, 회사의 대응 조치와 피해 구제 절차, 신고를 받을 담당 부서와 연락처, 그리고 손해배상 청구와 분쟁조정 등 내가 행사할 수 있는 권리와 그 방법입니다. 마지막 항목은 2026년 9월 11일 시행된 개정법으로 새로 추가되었습니다. 통지문에 배상과 분쟁조정에 관한 안내가 빠져 있다면, 그 통지는 법이 요구하는 내용을 갖추지 못한 것입니다.

같은 개정으로 하나 더 달라진 것이 있습니다. 예전에는 유출이 확인된 뒤에만 통지가 왔지만, 이제는 회사가 유출 가능성을 알게 된 단계에서도 통지해야 합니다. 그래서 통지문을 받으면 먼저 "유출이 확인되었다"는 것인지 "유출 가능성이 있다"는 것인지를 구분해 읽어야 합니다. 가능성 통지를 받았다면 회사는 확인 결과를 다시 알려주게 되어 있으니, 그 후속 통지까지 챙겨 보세요.

어느 쪽이든 통지문에서 가장 중요한 것은 사과 문구가 아니라 "유출된 개인정보 항목" 한 줄입니다. 그 한 줄이 이후 대응의 수위를 정합니다.

2. 유출된 항목에 따라 위험이 다르다

이름, 전화번호, 이메일이 유출되었다면 가장 흔한 2차 피해는 스미싱과 피싱입니다. 내 이름을 정확히 부르는 문자가 오기 시작합니다. 아이디와 비밀번호가 유출되었다면 문제는 그 사이트에서 끝나지 않습니다. 같은 비밀번호를 쓰는 다른 사이트에 자동으로 로그인을 시도하는 수법이 유출 직후 집중적으로 일어납니다. 주민등록번호, 계좌번호, 카드번호가 포함되었다면 명의도용과 금융사기까지 열립니다. 생년월일과 주소가 함께 나갔다면 본인확인을 통과하는 사칭이 가능해집니다.

그러니 통지문에서 항목을 확인한 뒤, 아래 할 일 중 내 상황에 해당하는 것부터 시작하면 됩니다.

3. 지금 바로 할 일 다섯 가지

비밀번호를 바꾸고 2단계 인증을 켜세요. 유출된 사이트만이 아니라, 같은 비밀번호를 쓰던 모든 사이트가 대상입니다. 금융, 이메일, 포털 순서로 바꾸고, 가능한 곳은 2단계 인증을 켭니다. 이메일 비밀번호가 뚫리면 다른 사이트의 비밀번호 재설정까지 통째로 넘어가므로 이메일이 먼저입니다.

명의도용을 미리 막아두세요. 주민등록번호가 유출되었다면 세 곳에 등록해 둘 수 있습니다. 모두 무료이고 나중에 해제할 수 있습니다. 첫째, 한국정보통신진흥협회가 운영하는 엠세이퍼(www.msafer.or.kr)의 가입제한 서비스에 등록하면 내 명의로 휴대폰이나 인터넷을 새로 개통하려 할 때 알림이 오고 가입 자체를 막을 수 있습니다. PASS 앱에서도 신청됩니다. 둘째, 금융감독원 금융소비자포털 파인(fine.fss.or.kr)에서 "개인정보노출자"로 등록하면 금융회사들이 내 명의의 계좌 개설이나 카드 발급 때 본인확인을 강화합니다. 은행 영업점이나 우체국에서도 등록할 수 있습니다. 셋째, 거래 은행의 앱이나 영업점에서 "비대면 계좌개설 안심차단"을 신청해 두면 내 명의로 비대면 입출금 계좌가 열리는 것 자체를 막습니다. 대출이 걱정되면 "여신거래 안심차단"도 함께 신청할 수 있습니다.

통지문을 지우지 말고 보관하세요. 문자, 메일, 회사 홈페이지의 공지문을 캡처해 두세요. 유출 사실, 시점, 항목이 적힌 통지문은 이후 분쟁조정이나 손해배상에서 가장 기본이 되는 증거입니다. 이후 이상한 문자나 전화가 오면 그것도 날짜와 함께 기록합니다.

118에 상담하고 필요하면 신고하세요. 한국인터넷진흥원 개인정보침해 신고센터(국번 없이 118, privacy.kisa.or.kr)는 상담과 신고를 함께 받습니다. 회사의 대응이 미흡하거나 2차 피해가 의심될 때 신고 창구가 됩니다.

열람과 삭제를 요구하세요. 법은 내 정보가 어떻게 처리되고 있는지 열람을 요구할 권리, 정정이나 삭제를 요구할 권리, 처리 정지를 요구할 권리를 보장합니다. 더 이상 그 회사를 이용할 생각이 없다면 탈퇴하고 개인정보 삭제를 요구하세요. 회사가 보유할 이유가 없는 정보는 다시 유출될 이유도 없어야 합니다.

4. 하지 말아야 할 일

통지 문자 속 링크를 누르지 마세요. 유출 사고가 알려지면 그 직후 "유출 피해 확인", "보상금 신청"을 내건 스미싱이 쏟아집니다. 진짜 통지인지 확인하려면 문자의 링크가 아니라 해당 회사의 공식 홈페이지나 앱의 공지사항으로 직접 들어가서 확인하세요. 정상적인 유출 통지는 링크 클릭이나 앱 설치를 요구하지 않습니다.

"보상금을 드리겠다"는 전화에 계좌번호나 인증번호를 알려주지 마세요. 회사도, 수사기관도, 금융감독원도 전화로 인증번호를 묻지 않습니다. 보상이 있다면 공지된 절차를 통해 진행됩니다.

피해자 모임에 또 다른 개인정보를 올리지 마세요. 집단으로 대응하려는 온라인 모임이 생기면, 참여 신청서에 주민등록번호와 계좌번호를 적게 하는 곳이 있습니다. 누가 운영하는지, 그 정보를 어떻게 보관하는지 확인되기 전에는 제출하지 않는 것이 안전합니다.

5. 손해배상, 어디까지 가능한가

개인정보보호법은 유출 피해자에게 세 가지 길을 열어 두었습니다.

첫째, 개인정보 분쟁조정위원회에 조정을 신청할 수 있습니다. 비용이 들지 않고 소송보다 빠릅니다. 피해자가 50명 이상이고 쟁점이 공통되는 사건은 집단분쟁조정으로 진행됩니다. 조정이 성립하면 재판상 화해와 같은 효력이 있어, 회사가 조정 내용을 지키지 않으면 판결과 같이 강제할 수 있습니다.

둘째, 손해배상 소송입니다. 보통의 소송은 피해자가 상대의 잘못을 입증해야 하지만, 개인정보 유출은 반대로 회사가 "고의나 과실이 없었다"는 점을 입증하지 못하면 책임을 집니다. 회사의 고의나 중대한 과실로 유출되었다면 손해액의 다섯 배까지 배상이 가능합니다.

셋째, 손해액을 입증하기 어려울 때는 법정손해배상을 선택할 수 있습니다. 구체적인 손해를 증명하지 않아도 300만 원 이하의 범위에서 법원이 상당한 금액을 정합니다.

다만 솔직하게 말씀드려야 할 부분이 있습니다. 유출 사실 자체만으로 법원이 인정해 온 위자료는 크지 않습니다. 2014년 카드 3사 유출 사건에서 대법원이 확정한 금액은 1인당 10만 원이었고, 2008년 옥션 유출 사건처럼 회사가 당시 기준으로 기대할 수 있는 보호조치를 다했다고 보아 배상이 부정된 사건도 있습니다. 금액을 바꾸는 것은 2차 피해의 기록입니다. 유출 뒤 실제로 명의도용이 있었는지, 사기 문자를 받고 어떤 피해가 있었는지, 그것이 유출된 항목과 어떻게 연결되는지를 날짜와 함께 남겨두면 이야기가 달라집니다. 3번에서 통지문과 이후 기록을 보관하라고 말씀드린 이유입니다.

한 가지 덧붙이면, 2026년 9월부터 반복적이거나 대규모의 유출을 낸 기업에는 매출액의 10%까지 과징금을 매길 수 있게 되었습니다. 다만 과징금은 국가에 내는 돈이지 피해자에게 지급되는 돈이 아닙니다. 피해자가 받을 수 있는 것은 위의 세 가지 길을 통해서입니다.

6. 유출은 끝이 아니라 시작이다

정보를 다뤄본 경험에서 배운 것이 하나 있습니다. 한 번 나간 정보는 혼자 다니지 않는다는 것입니다. 작년에 유출된 전화번호와 올해 유출된 생년월일이 어딘가에서 합쳐지면, 그때부터는 "나를 아는 사람"이 전화를 걸어옵니다. 그래서 통지 문자는 짜증 나는 알림이 아니라, 아직 늦지 않았다는 신호입니다.

비밀번호를 바꾸고, 명의도용을 막아두고, 통지문을 보관하는 데 걸리는 시간은 한 시간이 되지 않습니다. 그 한 시간이 몇 달 뒤의 피해를 막습니다.