‘개인정보가 유출되었을 가능성이 있다’는 통지를 받았다고 내 정보의 유출과 손해배상 책임이 모두 확정된 것은 아닙니다. 다만 결과를 기다리는 동안에도 계정 보호와 자료 보존은 시작할 수 있습니다. 먼저 통지가 실제 유출 사실을 알리는 것인지, 조사 중인 가능성을 알리는 것인지 구분하세요.
유출 신고 건수와 개인 피해 확인은 별개입니다
개인정보보호위원회는 2025년 1~11월 개인정보 유출 신고 396건을 접수했습니다. 신고 접수 건수이며 유출된 사람의 수나 배상 인정 건수가 아닙니다. 내 정보가 실제 유출 대상인지 판단하려면 통지의 대상·항목과 회사의 후속 답변을 확인해야 합니다.
개인정보보호위원회는 2026년 9월 11일 개인정보 유출등 대응 안내서를 게시했습니다. 같은 날 시행된 개정법에는 유출 가능성을 알리는 제도가 반영되어 있습니다. 특정 기업의 사고가 발생했다는 뜻으로 새 제도 자체를 해석해서는 안 됩니다.
안내문을 세 단계로 나누어 읽으세요
받은 내용 | 현재 확인된 범위 | 이용자가 할 일 |
|---|---|---|
유출 가능성 통지 | 정황이나 일부 사실은 있으나 내 정보 유출이 확정되지 않을 수 있음 | 가능성이 있는 항목, 보호조치, 후속 확인 방법 기록 |
실제 유출 통지 | 유출 사실이 확인된 범위에 관한 안내 | 내 정보 항목·시점·피해구제 창구를 확인하고 자료 보완 |
유출되지 않았다는 후속 통지 | 조사 후 실제 유출이 없다고 확인된 내용 | 이전 통지와 함께 보존하고 남은 의문을 구체적으로 질의 |
가능성 통지는 아무런 공격 시도만 있어도 늘 발송하는 통지와는 다릅니다. 법은 불법 접근으로 유출이 의심되지만 대상자를 특정하기 곤란한 상황, 일부 정보의 유출이 확인되어 다른 사람의 정보도 유출되었을 수 있다고 인정되는 상황 등을 구별합니다. 실제 유출 여부가 확인되면 그에 맞는 후속 통지가 필요합니다. 생활법령의 통지 단계 설명에서 조건을 확인할 수 있습니다.
통지를 받은 오늘: 링크보다 공식 경로를 확인하세요
발신자를 사칭한 문자가 섞일 수 있으므로 문자 속 링크에 바로 로그인 정보를 입력하지 말고, 평소 이용하던 공식 앱이나 직접 입력한 홈페이지에서 공지를 대조합니다. 보상 신청을 명목으로 인증번호나 비밀번호를 요구하는 연락에도 주의하세요.
통지 원본 보존: 발신 정보, 받은 시각, 전문과 첨부를 저장합니다. 화면 일부만 자르면 이후 통지 종류를 구별하기 어려워질 수 있습니다.
계정 보호: 해당 서비스가 안내한 비밀번호 변경·추가 인증을 확인합니다. 같은 비밀번호를 다른 곳에 썼다면 재사용 계정도 점검합니다.
이상 이용 확인: 최근 로그인, 결제, 연락처·배송지 변경 등 확인 가능한 기록을 살핍니다. 발견한 시각과 조치 내용을 따로 적습니다.
외부 공유 제한: 피해를 알리려고 원본 문자나 화면을 공개할 때 전화번호, 주소, 계정 정보가 다시 노출되지 않도록 합니다.
보호조치를 먼저 했다는 이유로 배상 청구를 포기한 것이 되는 것은 아닙니다. 반대로 비밀번호를 바꾸었다는 사실만으로 이미 발생한 모든 피해가 사라졌다고 단정할 수도 없습니다.
회사에 물을 질문은 ‘제 정보도 포함됐나요?’에서 시작합니다
문의할 때는 ① 현재 통지가 가능성인지 확정 사실인지, ② 내 정보 중 어떤 항목이 대상인지, ③ 추가 확인 결과를 어디서 어떻게 받는지, ④ 회사가 제공하는 보호조치와 피해구제 절차가 무엇인지를 구분해 요청하세요. 실제 유출 통지의 법정 안내사항에는 손해배상·법정손해배상·분쟁조정 등 법적 권리와 행사 방법에 관한 정보도 포함됩니다.
회사 답변이 ‘조사 중’이라면 확정되지 않은 사실을 확정 답변으로 바꾸어 기록하지 않습니다. 처음 안내한 범위와 나중에 확인된 범위가 달라졌다면 두 문서를 날짜순으로 남겨 두는 편이 유용합니다.
300만원 법정손해배상은 정액 보상금인가요?
아닙니다. 개인정보 보호법 제39조의2는 개인정보처리자의 고의 또는 과실로 개인정보가 유출등이 된 경우 300만원 이하 범위의 상당한 금액을 청구할 수 있도록 정합니다. 법원이 증거 등을 고려해 판단하는 제도이지, 안내 문자 한 통을 받으면 모두 같은 금액을 받는 제도가 아닙니다. 회사는 고의·과실이 없음을 입증하지 못하면 책임을 면할 수 없지만, 내 정보가 대상인지 등 사건의 사실관계는 여전히 중요합니다. 개인정보 보호법 제39조의2를 참고하세요.
실제 손해를 주장한다면 유출 통지 외에도 피해 발생과 사건 사이의 연결을 살펴야 합니다. 유출 뒤 스팸이 늘었다는 시간적 순서만으로 모든 연락이 그 사고 때문이라고 확정되지는 않습니다. 무단 결제 내역, 신고 접수, 복구 비용 영수증 등 확인 가능한 자료와 확인되지 않은 추정을 나누어 정리합니다.
신고와 분쟁조정, 소송 중 무엇이 필요한가요?
침해 신고는 조사·시정 등 공적 대응을 구하는 경로이고, 개인이 받을 배상액을 자동 확정하는 절차는 아닙니다. 배상이나 조치를 둘러싼 다툼에는 개인정보분쟁조정을 검토할 수 있습니다. 조정 신청 자체가 배상 인정이나 즉시 지급을 의미하지 않으며, 요구 내용과 증거를 제시해야 합니다. 소송의 필요성은 다투는 사실, 청구액, 비용과 진행 중인 다른 절차를 함께 보고 판단합니다.
상담에는 통지·후속 통지, 회사 답변, 계정 보호조치 기록, 실제 피해자료, 원하는 해결 내용을 한 묶음으로 준비하세요. 단순 확인 요청인지, 보호조치 요구인지, 금전 배상 청구인지 목적을 정하면 필요한 절차도 선명해집니다.
