개인정보 유출 손해배상 비용, 300만 원보다 먼저 계산할 것이 있습니다

개인정보 유출 비용, 먼저 다섯 칸으로 나누세요

개인정보 유출 손해배상 비용을 계산할 때 가장 먼저 해야 할 일은 하나의 숫자를 만드는 것이 아니라 비용을 서로 다른 항목으로 분리하는 것입니다. 손해배상금과 정부가 부과하는 과징금은 같은 돈이 아니며, 사고 복구비 역시 피해자에게 지급하는 돈과 다릅니다.

비용 항목	무엇이 포함되는가	주요 변수
피해자 배상	합의금, 분쟁조정금, 판결에 따른 손해배상	피해 정도, 인과관계, 유출 정보, 청구 인원
사고 대응	포렌식, 로그 분석, 침해 경로 확인, 시스템 복구	서버 수, 로그 상태, 공격 범위
고객 대응	유출 통지, 상담 인력, 문의 대응, 피해 예방조치	영향받은 사람 수와 정보 종류
법률·보험 대응	법률 검토, 분쟁 대응, 보험 사고 접수, 자기부담금	보험 약관, 분쟁 규모, 사건 복잡성
행정·개선 비용	과징금·과태료 가능성, 보안 개선, 재발방지 조치	법 위반 여부, 고의·중과실, 기존 보호조치

1인당 300만 원, 그대로 곱하면 안 되는 이유

2026년 8월 현재 개인정보 보호법상 정보주체는 개인정보처리자의 고의 또는 과실로 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우 법정손해배상을 청구할 수 있고, 법원은 300만 원 이하 범위에서 상당한 금액을 인정할 수 있습니다. 그러나 300만 원은 자동 지급액이나 정액 보상금이 아니라 상한 범위입니다.

그런데 실제로는 다릅니다

예를 들어 개인정보가 유출된 사람이 1만 명이라고 해서 곧바로 1만 명 × 300만 원을 회사의 예상 배상액으로 잡는 것은 적절하지 않습니다. 실제 청구 인원, 사고의 구체적 경위, 피해 정도, 법원의 판단 또는 당사자 간 합의 결과가 모두 달라질 수 있기 때문입니다.

고의 또는 중대한 과실로 유출이 발생하고 정보주체에게 실제 손해가 발생한 경우에는 법원이 그 손해액의 최대 5배 범위에서 배상액을 정할 수 있는 규정도 있습니다. 이것 역시 모든 유출 사고에 자동으로 5배가 적용된다는 뜻은 아닙니다.

실제 적용 사례: 300만 원이 기본값이 아닌 이유

개인정보분쟁조정위원회는 2025년 11월 SK텔레콤 개인정보 유출 사건에서 신청인들에게 각 30만 원을 지급하도록 하는 조정안을 결정한 바 있습니다. 당시 약 2,300만 명의 가입자 정보가 유출된 대규모 사건이었지만 조정안의 금액은 법정손해배상 상한인 300만 원과는 달랐습니다. 또한 조정안은 법원의 확정판결과도 다르며 당사자의 수락 여부에 따라 성립 여부가 달라집니다.

조금 더 깊이 알고 싶다면

서로 비슷하게 들리는 네 가지를 구분해야 합니다. 일반 손해배상은 실제 손해와 인과관계가 중심이고, 법정손해배상은 법이 정한 범위 안에서 손해액을 인정받는 구조입니다.

최대 5배 손해배상은 고의 또는 중대한 과실과 손해 발생 등의 요건을 살펴야 합니다. 반면 과징금·과태료는 국가가 법 위반에 대해 부과하는 행정상 제재로 피해자에게 지급되는 손해배상금과 별개의 항목입니다.

회사 내부 예산표에서도 이 네 항목을 한 줄로 합치지 않는 편이 좋습니다.

배상금보다 먼저 커질 수 있는 네 가지 비용

작은 사업장에서 개인정보 유출이 발생하면 “피해자가 소송하지 않으면 비용이 거의 없지 않을까?”라고 생각하기 쉽습니다. 실제로는 손해배상 청구가 시작되기 전부터 지출이 발생할 수 있습니다.

1. 사고 원인 확인 비용

해킹이라면 접속기록, 서버, 관리자 계정, 악성코드, 데이터 반출 여부를 확인해야 합니다. 자체 인력만으로 범위를 확인하기 어렵다면 외부 침해사고 대응이나 디지털 포렌식 지원이 필요할 수 있습니다.

외부 업체 비용이 궁금하다면 기존의 개인정보 유출 대응업체 비용 가이드와 함께 비교하면 견적 항목을 구분하기 쉽습니다.

2. 통지와 고객 상담 비용

유출된 사람이 많으면 문자·이메일 발송 자체보다 고객 문의를 처리하는 시간이 더 큰 부담이 될 수 있습니다. 특히 주민등록번호, 결제 관련 정보, 계정 정보처럼 2차 피해 우려가 높은 사고는 문의량과 대응 난도가 높아질 가능성이 있습니다.

통지 내용을 급하게 만들기보다 개인정보 유출 고객 안내문 작성 기준을 먼저 확인해 사실과 추정이 섞이지 않도록 정리하는 것이 좋습니다.

3. 정상화와 재발방지 비용

취약한 관리자 비밀번호 하나가 원인이었다면 계정 재설정으로 끝날 수 있지만, 웹사이트 취약점이나 접근통제 구조가 문제였다면 서버 패치, 계정권한 재설계, 접속기록 보관, 백업, 보안 솔루션 도입까지 범위가 넓어질 수 있습니다.

4. 영업 중단이라는 보이지 않는 비용

쇼핑몰 주문을 잠시 중단하거나 병원·학원의 예약 시스템을 차단해야 하는 상황도 생길 수 있습니다. 이때 매출 감소, 직원의 사고 대응 시간, 외주 개발자의 긴급 작업비는 손해배상금과 별도로 계산해야 합니다.

무엇이 유출됐는지가 비용을 바꿉니다

유출 인원이 같아도 이메일 주소만 노출된 사건과 주민등록번호·계정 인증정보·의료정보가 함께 빠져나간 사건의 위험은 같지 않습니다. 비용 추산에서 사람 수와 함께 반드시 적어야 할 칸이 바로 유출 정보의 종류입니다.

유출 정보 예시	우선 확인할 위험	비용 추산 시 추가할 항목
이름·이메일·전화번호	스미싱, 피싱, 사칭	통지·상담·피해 예방 안내
아이디·비밀번호·인증정보	계정 탈취, 다른 서비스 공격	비밀번호 초기화, 로그인 차단, 로그 분석
주민등록번호 등 고유식별정보	명의도용 및 장기적 2차 피해	신고·통지 검토, 추가 보호조치
건강·의료 등 민감정보	사생활 침해와 높은 피해 민감도	법률 검토, 고객 대응 강화
결제·금융 관련 정보	실제 금전 피해	거래 확인, 금융사 협조, 피해 자료 정리

결제정보가 포함된 사고라면 결제정보 유출 대응 절차처럼 2차 금전 피해를 별도로 추적하는 것이 필요합니다.

72시간 대응이 비용을 가르는 이유

2026년 8월 현재 시행령은 개인정보 유출 사실을 알게 된 경우 원칙적으로 정보주체에게 72시간 이내 통지하도록 정하고 있으며, 일정한 유출 사고는 개인정보보호위원회 또는 한국인터넷진흥원에 72시간 이내 신고해야 합니다. 신고 대상에는 1천 명 이상 관련 사고, 민감정보 또는 고유식별정보 유출, 외부의 불법 접근에 의한 유출 등이 포함됩니다.

잠깐, 여기서 놓치기 쉽습니다

72시간은 “사건의 모든 원인을 완벽하게 알아낸 뒤” 움직이는 시간이 아닙니다. 구체적인 일부 내용을 아직 확인하지 못한 경우 우선 확인된 내용을 중심으로 통지·신고하고 추가 확인 내용을 보완하는 방식이 규정되어 있습니다.

따라서 사고 직후에는 로그를 지우거나 서버를 성급하게 초기화하기보다 증거를 보존하면서 확산 방지와 신고·통지 판단을 병행해야 합니다. 필요한 기록 항목은 침해사고 대응 보고서에 들어가야 할 항목을 참고해 정리할 수 있습니다.

1. 사고를 처음 인지한 정확한 시각을 기록합니다.
2. 영향받은 시스템과 관리자 계정을 분리합니다.
3. 로그·메일·보안 알림 등 원본 증거를 보존합니다.
4. 유출 가능 정보와 영향을 받는 사람 수를 추정합니다.
5. 통지·신고 대상 여부를 공식 기준으로 확인합니다.

분쟁조정과 소송, 비용 구조가 다릅니다

피해자가 문제를 제기했다고 해서 곧바로 민사소송으로 가는 것은 아닙니다. 개인정보 침해 피해자는 개인정보분쟁조정위원회의 분쟁조정을 이용할 수 있고, 소송을 통해 손해배상을 청구하는 방법도 있습니다.

경로	특징	기업이 준비할 자료
고객과 직접 해결	초기 사실 확인과 피해구제 협의	사고 경위, 피해자료, 조치 내역
개인 분쟁조정	소송 전 대체적 분쟁해결 가능	처리내역, 보호조치, 통지·구제 자료
집단분쟁조정	공통된 침해를 받은 다수 피해자 사건	공통 사실관계와 대상 범위
민사소송	법원의 책임 및 배상액 판단	법률·기술 증거와 손해 관련 자료

집단분쟁조정은 50명 이상의 정보주체에게 사실상 또는 법률상 공통된 개인정보 침해가 발생한 경우 신청할 수 있습니다. 조정안은 당사자가 모두 수락하면 재판상 화해와 같은 효력을 갖지만, 집단사건이라고 해서 언제나 조정이 성립하는 것은 아닙니다.

비용 계산 예시는 이렇게 만드세요

가령 1만 명의 정보가 유출된 사건에서 내부 예산 검토를 위해 “청구 가능성 2%, 가정상 평균 해결액 10만 원”이라는 시나리오를 만든다면 배상 관련 예비액은 2천만 원이 됩니다. 청구 가능성을 10%로 바꾸면 같은 가정에서도 1억 원이 됩니다.

이 숫자는 실제 배상액을 예측한 것이 아니라 기업 내부에서 여러 가정을 비교하는 시나리오 계산법입니다. 여기에 포렌식, 통지, 상담, 법률 대응, 복구 비용을 별도로 더해야 합니다.

보험과 대응업체, 돈을 쓰기 전에 확인할 것

사고가 난 뒤 외부 업체부터 부르는 경우가 있지만, 개인정보 배상책임보험이나 사이버보험에 가입돼 있다면 먼저 약관과 사고 통지 절차를 확인하는 편이 좋습니다. 보험사가 지정하거나 사전 승인을 요구하는 법률·포렌식 업체가 있을 수 있기 때문입니다.

현행 기준에서는 일정 규모 이상의 개인정보처리자에게 개인정보 손해배상책임 이행을 위한 보험·공제 가입이나 준비금 적립 조치가 요구될 수 있습니다. 대표적인 기준으로 전년도 매출액 등이 10억 원 이상이면서 직전 3개월 기준 개인정보가 저장·관리된 정보주체가 일일평균 1만 명 이상인 경우 등이 제시돼 있으며 예외도 있으므로 자신의 해당 여부를 별도로 확인해야 합니다.

가입 의무와 보장 구조는 개인정보 배상책임보험 가입 대상 확인 방법에서 별도로 점검할 수 있습니다.

업체 견적에서 확인할 다섯 질문

• 견적에 침해 원인 분석과 데이터 반출 여부 확인이 모두 포함되는가?
• 서버·PC·클라우드 계정 중 어디까지 분석하는가?
• 결과 보고서와 증거 보존 자료를 제공하는가?
• 법률 자문과 고객 통지 지원은 별도 비용인가?
• 긴급 대응 후 추가 보안 개선 작업은 별도 계약인가?

가장 싼 견적이 항상 총비용이 낮은 것은 아닙니다. 사고 범위를 충분히 확인하지 못해 며칠 뒤 다시 분석을 맡기면 조사비가 두 번 들어갈 수 있습니다.

비용을 더 키우는 흔한 실수

실수 1. 유출 인원 × 300만 원부터 계산합니다

최대 법정액을 최악의 가정으로 참고할 수는 있지만 이를 예상 지급액으로 사용하면 현실적인 현금 계획을 만들기 어렵습니다. 청구 가능성, 실제 피해, 사고 경위, 해결 경로를 나눠야 합니다.

실수 2. 로그부터 정리하거나 서버를 초기화합니다

깔끔하게 복구하려고 로그와 시스템을 먼저 지워버리면 정작 언제, 누가, 얼마나 접근했는지를 확인하기 어려워질 수 있습니다. 복구보다 증거 보존을 먼저 검토하세요.

로그 확인 방법이 필요하다면 고객정보 유출 로그 확인 기준을 함께 참고할 수 있습니다.

대부분 여기서 잘못 판단합니다

사고를 작게 보이게 만들기 위해 고객 통지를 늦추거나 확인된 사실보다 범위를 축소해서 표현하는 것은 좋은 비용 절감 전략이 아닙니다. 초기 대응의 기록과 피해구제 노력은 이후 책임을 검토하는 과정에서도 의미가 있습니다.

실수 3. 과징금과 손해배상금을 같은 것으로 봅니다

손해배상은 피해자에 대한 민사적 책임이고, 과징금·과태료는 행정상 제재입니다. 따라서 회사의 최종 지출을 추정할 때 두 항목을 별도로 관리해야 합니다.

또 하나의 날짜도 기억할 필요가 있습니다. 2026년 9월 11일부터 시행될 개정 개인정보 보호법에는 일정한 반복적·중대한 위반 등에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 특례가 도입될 예정입니다. 이는 피해자에게 지급하는 손해배상금이 아니라 행정상 과징금 제도입니다. 현재 시점인 2026년 8월에는 아직 시행 전 규정이므로 사고 발생 시점과 적용 법령을 확인해야 합니다.

이 글이 필요한 사람과 다른 도움이 필요한 사람

이 글은 고객정보를 보유한 중소기업, 쇼핑몰, 병원, 학원, 소규모 온라인 서비스처럼 사고가 발생했지만 아직 예상 비용과 대응 범위를 정리하지 못한 경우에 가장 유용합니다.

상황	우선 선택
유출 여부는 확인했지만 피해가 아직 없음	범위 확인, 증거 보존, 신고·통지 기준 검토
소수 고객에게 잘못된 파일을 발송함	회수 가능성, 열람 여부, 정보 종류부터 확인
외부 해커 침입 흔적이 있음	침해사고 대응과 포렌식 검토 우선
실제 계좌 피해나 명의도용이 발생함	법률·금융기관·수사기관 대응을 함께 검토
이미 소송장이나 공식 분쟁조정 신청을 받음	일반적인 블로그 정보보다 사건자료를 갖춘 법률 검토가 적절

해킹 사실이 확인된 기업은 KISA 118 사이버사고 신고 절차도 함께 확인하면 신고 창구를 구분하는 데 도움이 됩니다.

전문가 도움이 필요한 사고의 신호

모든 개인정보 실수가 대형 로펌과 포렌식 업체를 불러야 하는 사건은 아닙니다. 반대로 아래와 같은 신호가 있는데도 내부에서만 해결하려 하면 초기 비용을 아끼려다 전체 비용을 키울 수 있습니다.

• 주민등록번호, 건강정보 등 민감도가 높은 정보가 포함돼 있습니다.
• 관리자 계정 탈취나 외부 해킹 흔적이 있습니다.
• 정확한 유출 인원이나 데이터 반출량을 확인할 수 없습니다.
• 금전 피해, 명의도용 또는 계정 탈취가 실제로 발생했습니다.
• 피해자가 다수이고 집단적인 문제 제기가 시작됐습니다.
• 보험사가 외부 전문가의 조사를 요구하거나 사전 승인을 요구합니다.
• 신고·통지 기한이 임박했는데 적용 여부가 불명확합니다.
• 개인정보보호위원회 등으로부터 자료 제출 요구를 받았습니다.

변호사에게 가져갈 자료

• 사고 최초 인지 시각과 발견 경위
• 유출 가능 개인정보 항목과 추정 인원
• 관련 서버·PC·클라우드 서비스 목록
• 접속기록과 보안 경보 원본
• 현재까지 실시한 차단·복구 조치
• 고객 통지 여부와 발송 문안
• 개인정보처리방침, 위탁계약 및 보험증권

자주 묻는 질문

개인정보가 1만 명 유출되면 배상금이 300억 원인가요?

그렇게 자동 계산되지는 않습니다. 300만 원은 법정손해배상에서 법원이 인정할 수 있는 상한 범위이지 모든 피해자에게 지급되는 고정 금액이 아닙니다. 실제 책임과 금액은 사건별 사정과 청구 형태에 따라 달라질 수 있습니다.

실제 금전 피해가 없어도 손해배상 청구가 가능한가요?

개인정보 보호법에는 실제 손해액을 구체적으로 산정하기 어려운 상황에서 활용할 수 있는 법정손해배상 제도가 있습니다. 다만 청구했다고 해서 항상 청구액 전부가 인정되는 것은 아니므로 개별 사건의 사실관계를 검토해야 합니다.

최대 5배 손해배상은 모든 해킹 사고에 적용되나요?

아닙니다. 고의 또는 중대한 과실, 손해 발생 등 법에서 정한 요건을 살펴야 하며 법원이 여러 요소를 고려하여 판단합니다. 단순히 “해킹을 당했다”는 사실만으로 자동 5배가 되는 구조는 아닙니다.

개인정보 배상책임보험이 있으면 회사가 돈을 전혀 내지 않나요?

보험 가입만으로 모든 비용이 자동 보장된다고 볼 수 없습니다. 보상한도, 자기부담금, 사고 통지 의무, 제외 사유, 포렌식·법률비용 포함 여부를 확인해야 합니다.

직원의 실수로 다른 고객에게 개인정보를 보낸 경우도 유출인가요?

해킹이 아니더라도 개인정보가 관리·통제 범위를 벗어나 권한 없는 제3자가 알 수 있는 상태가 됐다면 유출 여부를 검토해야 합니다. 잘못 보낸 파일을 회수했다면 실제 열람 여부와 회수 시점도 기록해 두는 것이 좋습니다.

고객이 아직 문제를 제기하지 않았다면 신고하지 않아도 되나요?

고객의 항의 여부와 법상 신고·통지 의무는 별개의 문제입니다. 유출된 정보의 종류, 인원, 사고 방식 등을 기준으로 신고·통지 대상인지 확인해야 합니다.

분쟁조정이 소송보다 항상 저렴한가요?

분쟁조정은 소송보다 신속하고 경제적인 해결을 목표로 하는 제도지만 모든 사건이 합의되는 것은 아닙니다. 상대방의 요구, 신청 인원, 조정안 수락 여부에 따라 이후 소송으로 이어질 가능성도 고려해야 합니다.

유출 대응업체와 변호사 중 누구에게 먼저 연락해야 하나요?

외부 침입의 기술적 범위를 모르는 사건이라면 기술 대응이 급할 수 있고, 신고·통지·책임 문제가 복잡하다면 법률 검토가 동시에 필요할 수 있습니다. 보험이 있다면 보험사 사고접수 절차도 먼저 확인해 외부 비용의 보장 가능성을 놓치지 않는 것이 좋습니다.

지금 15분 안에 첫 비용표를 만드세요

지금 해야 할 한 가지는 정확하지 않은 거대한 숫자를 만드는 일이 아닙니다. 종이나 스프레드시트에 아래 여섯 칸을 만들고 현재 확인된 사실만 적어보세요.

1. 영향받은 사람: 확정 인원과 최대 추정 인원을 따로 기록합니다.
2. 유출 정보: 이름·연락처·계정정보·고유식별정보·민감정보를 구분합니다.
3. 실제 피해: 금전 피해, 계정 탈취, 명의도용 신고가 있는지 적습니다.
4. 필수 대응: 신고·통지·차단·비밀번호 초기화 등 즉시 필요한 일을 적습니다.
5. 외부 비용: 포렌식, 법률, 고객센터, 시스템 복구 견적을 별도로 적습니다.
6. 배상 시나리오: 낮음·기준·높음 세 가지 가정으로만 계산합니다.

최종 검토: 2026-08

태그: 개인정보유출, 손해배상, 법정손해배상, 개인정보보호법, 개인정보배상책임보험

메타 설명: 개인정보 유출 손해배상 비용을 1인당 300만 원 법정손해배상, 최대 5배 배상, 대응·복구·보험 비용으로 나눠 계산하는 방법을 설명합니다.