💡 3줄 요약
- 개인정보가 유출됐다고 해서 자동으로 배상받는 것은 아니며, 법원은 2차 피해 발생 가능성과 실질적인 정신적 손해가 인정되는 경우에만 위자료를 인정해왔습니다.
- 실제로 대법원까지 간 사건 중 상당수는 배상 책임 자체가 부정됐고, 책임이 인정된 사건도 대부분 1인당 10만 원 안팎에 그쳤습니다.
- 다만 성적 수치심을 유발하는 문자 등 구체적인 2차 피해가 입증된 사건에서는 최대 40만 원까지 인정된 사례가 있어, 유출된 정보의 성격과 후속 피해 여부에 따라 결과가 크게 갈립니다.
쿠팡 개인정보 유출 사고 이후 소비자분쟁조정위원회 결정, 민사 집단소송, 집단분쟁조정 등 여러 절차가 동시에 진행되면서 “그래서 실제로 얼마나 받을 수 있는가”라는 질문이 가장 많습니다. 이 질문에 답하려면 과거 대형 개인정보 유출 사건에서 법원이 실제로 어떤 판결을 내렸는지 보는 것이 가장 현실적입니다. 옥션·GS칼텍스처럼 유명한 사건인데도 배상 책임이 아예 부정된 경우가 있는가 하면, 카드3사·인터파크처럼 소액이지만 배상이 확정된 경우, 여기어때처럼 2차 피해가 인정돼 상대적으로 큰 금액이 나온 경우까지 결과가 제각각입니다. 아래에서 대표적인 사건들의 판결 내용을 정리했습니다.
위자료는 어떻게 정해지나 — 핵심은 ‘2차 피해’
요약 총정리!
대법원은 개인정보 유출로 정신적 손해가 발생했는지를 판단할 때 유출된 정보의 종류와 성격, 정보주체 식별 가능성, 제3자의 열람 여부, 확산 범위, 추가적인 법익 침해 가능성, 유출 이후 관리 실태 등을 종합적으로 고려한다고 밝혀왔습니다. 위자료 액수 자체는 사실심 법원의 재량 사항이어서 같은 유형의 사고라도 사건마다 결과가 다르게 나옵니다. 실무적으로 정리하면, 유출 사실만 있고 실제 악용 정황이 없는 경우는 배상액이 낮거나 아예 인정되지 않는 경향이 있고, 명의도용·보이스피싱·수치심을 유발하는 연락 등 구체적인 2차 피해가 확인되면 배상액이 커지는 흐름입니다.
대형 유출 사건, 실제 판결 금액 정리
지금까지 언론에 보도된 주요 개인정보 유출 소송의 결과를 정리하면 다음과 같습니다.
| 사건 | 유출 규모 | 최종 결과 |
|---|---|---|
| 옥션(2008년 해킹) | 약 1,800만 명 | 대법원 배상 책임 부정(해킹 예방 의무 위반 인정 안 됨) |
| GS칼텍스(2008년 유출) | 약 1,151만 명 | 대법원 배상 책임 부정(유출 정보 회수·2차 피해 없음) |
| KT(2012년 유출) | 약 870만 명 | 1심 1인당 10만 원 인정 → 대법원에서 최종 책임 부정 |
| 카드3사(2014년 유출) | 약 1억 건 | 1인당 10만 원 배상 확정(청구액 50만 원에서 감액) |
| 인터파크(2016년 해킹) | 약 1,030만 명 | 1인당 10만 원 배상, 법원 조정을 거쳐 확정 |
| 여기어때(2017년 유출) | 피해 확인자 312명(소송 기준) | 2차 피해(수치심 유발 문자) 피해자 40만 원, 그 외 5만~20만 원 차등 인정 |
표에서 보듯 옥션과 GS칼텍스처럼 유출 규모가 컸던 사건에서도 대법원은 회사 측에 법적 책임이 없다고 판단했습니다. 옥션 사건에서는 당시 기술 수준으로 해킹을 미리 알아차리기 어려웠고, 법으로 의무화되지 않은 보안 조치까지 하지 않았다는 이유만으로 책임을 물을 수 없다고 봤습니다. GS칼텍스 사건에서는 유출된 정보가 모두 압수·폐기됐고 명의도용 등 후속 피해가 확인되지 않아 정신적 손해 자체가 인정되기 어렵다고 판단했습니다. KT 사건도 1심에서는 10만 원이 인정됐지만, 대법원 단계에서 결론이 뒤집혀 최종적으로는 책임이 부정됐습니다.
같은 유출 사고인데 왜 금액이 다른가
카드3사 사건에서는 원고들이 1인당 50만 원을 청구했지만, 법원은 2013년 사고의 경우 정보가 실제로 판매되기 전 범인이 검거됐고, 2010년 사고의 경우 재산상 피해가 실제로 발생한 사례가 확인되지 않았다는 이유로 청구액보다 낮은 10만 원으로 위자료를 정했습니다. 인터파크 사건도 유사하게 이름, 생년월일, 휴대전화번호, 이메일, 주소 등이 유출됐지만 구체적인 금전 피해가 입증되지 않아 10만 원 선에서 정리됐습니다.
반면 여기어때 운영사를 상대로 한 소송에서는 결과가 달랐습니다. 재판부는 숙박 예약정보를 “이용자 개인의 사생활과 관련된 상당히 내밀한 정보”라고 보면서, 정보 유출 이후 실제로 성적 수치심을 불러일으키는 문자메시지를 받은 피해자에게는 40만 원, 숙박 예약정보 자체가 유출된 피해자에게는 20만 원, 예약정보만 유출된 경우 10만 원, 이메일만 유출된 경우 5만 원으로 피해 유형별로 배상액을 차등 인정했습니다. 유출 사실 그 자체보다 유출 이후 구체적으로 어떤 피해가 발생했는지가 금액을 가르는 핵심이었던 셈입니다.
지금 진행 중인 사건은 어떻게 될까
2026년 4월 발생한 SK텔레콤 유심 정보 유출 사건 역시 손해배상 소송이 진행 중입니다. 2026년 3월 26일 서울중앙지방법원에서 열린 첫 변론기일 기준으로 약 1만5,900명이 소송에 참여했고, 원고 측은 1인당 50만 원의 위자료를 청구했습니다. 다만 법원은 첫 변론에서 원고 자격 확인과 실제 손해 입증 문제를 쟁점으로 짚었으며, 2026년 8월 현재까지 확정 판결은 나오지 않았습니다. 쿠팡 사건의 민사 집단소송·집단분쟁조정도 마찬가지로 아직 결론이 나지 않은 상태입니다. 과거 판례를 기준으로 보면 유출된 정보에 배송지 주소나 통신 관련 민감 정보처럼 오프라인 범죄에 악용될 수 있는 요소가 포함돼 있는지, 실제 2차 피해 신고가 얼마나 확인되는지가 최종 배상액을 가르는 변수가 될 가능성이 큽니다.
계산을 마치며
우리는 과거 판례를 근거로 배상액을 기대할 때, 청구 금액이 아니라 ‘2차 피해를 얼마나 구체적으로 입증할 수 있는가’를 기준으로 삼아야 한다고 봅니다.
법정손해배상 300만 원이라는 상한만 보면 기대치가 높아지기 쉽지만, 지난 10여 년의 판례를 모아 보면 실제 인정액은 0원부터 10만 원 안팎에 몰려 있고 40만 원까지 간 사례는 수치심을 유발하는 문자 수신처럼 명확한 2차 피해가 있었던 예외적인 경우였습니다. 진행 중인 사건에 참여할지 판단할 때도 이 격차를 감안하는 것이 현실적이라고 봅니다.
유출 이후 실제로 스미싱·보이스피싱·수치심을 유발하는 연락 등 구체적인 2차 피해를 겪었고 이를 증빙(문자, 통화기록 등)으로 남겨둔 경우
유출 사실만 통지받았을 뿐 별다른 후속 피해가 없었던 경우 — 과거 판례상 배상 자체가 부정되거나 소액에 그칠 가능성이 높습니다
자주 묻는 질문 (FAQ)
Q1. 개인정보가 유출되면 무조건 손해배상을 받을 수 있나요?
아닙니다. 법원은 유출 사실만으로는 부족하고, 유출된 정보의 성격과 실질적인 2차 피해 가능성을 함께 따집니다. 옥션·GS칼텍스 사건처럼 유출 규모가 컸는데도 최종적으로 배상 책임이 인정되지 않은 사례도 있습니다.
Q2. 과거 판례를 보면 위자료는 보통 얼마 정도였나요?
배상이 인정된 사건 대부분은 1인당 10만 원 안팎이었습니다. 다만 수치심을 유발하는 문자 수신 등 구체적인 2차 피해가 확인된 여기어때 사건에서는 최대 40만 원까지 차등 인정된 경우가 있어, 사건에 따라 편차가 큽니다.
Q3. 법정손해배상 300만 원은 자동으로 받을 수 있는 금액인가요?
아닙니다. 개인정보보호법상 법정손해배상은 실제 손해액을 입증하지 않아도 청구할 수 있는 제도지만, 대법원은 실질적인 정신적 손해가 인정되지 않으면 법정손해배상 책임 자체도 인정되지 않을 수 있다고 판단한 바 있습니다. 청구 상한과 실제 인정액은 다른 문제입니다.
Q4. 배상을 아예 못 받은 사건도 있다는데, 왜 그런가요?
옥션 사건은 당시 기술 수준으로 해킹을 사전에 막기 어려웠고 법으로 의무화된 보안조치를 다하지 않았다고 보기 어렵다는 이유로, GS칼텍스 사건은 유출 정보가 모두 회수·폐기됐고 명의도용 등 후속 피해가 확인되지 않았다는 이유로 각각 배상 책임이 부정됐습니다.
Q5. 지금 진행 중인 SK텔레콤이나 쿠팡 사건은 얼마를 받게 되나요?
2026년 8월 현재 두 사건 모두 확정 판결이 나오지 않아 정확한 금액을 예단할 수 없습니다. 다만 유출된 정보에 통신·주소 등 오프라인 범죄에 악용될 수 있는 민감 정보가 포함돼 있는지, 실제 2차 피해 신고가 얼마나 확인되는지가 과거 판례상 배상액을 가르는 핵심 변수였다는 점은 참고할 만합니다.
작성일: 2026년 8월 5일 · 이 글에서 다룬 판결 내용은 법률신문·경향신문·리걸타임즈·보안뉴스·이투데이 등 복수 언론 보도와 대법원 판례 검색 결과를 기준으로 정리했으며(2026년 8월 기준), 개별 사건의 정확한 사건번호·선고일·배상 범위는 대법원 판례정보시스템 또는 법률 전문가를 통해 다시 확인하는 것이 정확합니다. SK텔레콤·쿠팡 등 현재 진행 중인 사건은 판결 결과에 따라 이 글의 내용과 달라질 수 있습니다.
지금 진행 중인 사건의 참여 절차가 궁금하다면 쿠팡 집단소송 vs 집단분쟁조정 차이와 개인정보 유출 확인·대응 방법도 함께 확인해보시기 바랍니다.