[뉴시스] 개인정보 털렸는데 “어떻게 쓰일지 불안”…피해자 구제는 속수무책

노종언 대표변호사, 개인정보 유출 피해구제와 손해배상 현실화에 전문가 의견 제시

뉴시스 2026. 8. 22. 보도 | 법무법인 존재 노종언 대표변호사

기사 원문: 뉴시스에서 기사 확인하기

안녕하세요. 법무법인 존재입니다.

법무법인 존재의 노종언 대표변호사는 뉴시스에서 대규모 개인정보 유출 사고 이후 피해자가 겪는 손해 입증의 어려움과 손해배상 제도의 개선 방향에 관해 전문가 의견을 제시했습니다.

서강대학교 개인정보 유출 사고

뉴시스에 따르면 2026년 8월 11일 서강대학교 통합 로그인 시스템에 외부 공격이 발생해 재학생과 졸업생, 교직원 등 약 18만 명의 개인정보가 유출됐습니다.

유출된 정보에는 성명과 학번 또는 사번, 소속, 이메일 주소, 휴대전화 번호, 암호화된 통합 비밀번호 등이 포함된 것으로 파악됐습니다.

경찰은 외부 공격 경위와 개인정보 유출 규모를 확인하기 위해 입건 전 조사에 착수했습니다. 서강대학교는 개인정보보호위원회와 교육부에 사고를 신고하고 공격 IP 차단과 서비스 접근 제한 등의 긴급 조치를 진행한 것으로 보도됐습니다.

사고 경위와 관리 책임, 구체적인 피해 범위는 관계 기관의 조사 결과가 나오기 전까지 확정된 사실로 단정할 수 없습니다.

반복되는 대규모 개인정보 유출

개인정보 유출은 대학과 기업에서 반복되고 있습니다.

2024년에는 전북대학교와 이화여자대학교의 학사정보시스템에서 대규모 개인정보 유출 사고가 발생했습니다. 개인정보보호위원회는 안전조치 의무 위반 등을 이유로 전북대학교에 6억2,300만 원, 이화여자대학교에 3억4,300만 원의 과징금을 부과했습니다.

2025년 쿠팡 개인정보 유출 사고에서는 약 3,755만 명의 정보가 유출된 것으로 조사됐습니다. 개인정보보호위원회는 쿠팡과 쿠팡풀필먼트서비스에 총 6,249억2,900만 원의 과징금과 1,680만 원의 과태료를 부과하기로 의결했습니다.

그러나 기업이나 기관에 부과되는 과징금은 행정상 제재입니다. 피해자 개인에게 지급되는 손해배상금과는 법적 성격과 절차가 다릅니다.

노종언 대표변호사 — “개인별 손실을 구체적으로 입증하기 어렵다”

노종언 대표변호사는 개인정보가 유출됐다는 사실과 각 피해자에게 발생한 구체적인 손해 사이에는 입증상의 간격이 있다고 설명했습니다.

“개인정보가 유출됐다는 사실까지는 확인되더라도 그로 인해 각각의 개인에게 발생한 손실이 얼마인지 구체적으로 입증하기 어렵다.”

개인정보가 유출된 피해자는 자신의 정보가 언제, 어디에서, 어떤 범죄에 이용될지 알기 어렵습니다. 스팸이나 피싱, 사칭 범죄와 같은 2차 피해가 발생할 가능성이 있어도 유출 직후에는 금전적 손실을 구체적인 액수로 산정하기 어렵다는 문제가 있습니다.

노종언 대표변호사는 손해 입증 기준이 지나치게 엄격하면 법 위반으로 얻는 이익이 제재와 배상 부담보다 커지는 상황이 생길 수 있다고 지적했습니다. 기업의 예방 투자와 피해구제를 유도하려면 법 위반에 따른 비용이 실질적으로 작동해야 한다는 취지입니다.

정신적 손해와 재산상 피해의 배상

「개인정보 보호법」은 개인정보처리자의 위법행위로 손해를 입은 정보주체가 손해배상을 청구할 수 있도록 규정하고 있습니다.

개인정보처리자의 고의 또는 과실로 개인정보가 유출된 경우에는 일정한 범위에서 법정손해배상을 청구할 수 있습니다. 법정손해배상은 실제 손해액을 정확히 계산하기 어려운 경우 법률이 정한 범위 안에서 법원이 상당한 배상액을 정하는 제도입니다.

개인정보처리자의 고의 또는 중대한 과실이 인정되는 경우에는 징벌적 손해배상 제도도 적용될 수 있습니다. 이는 위법행위를 억제하고 피해구제를 강화하기 위해 실제 손해액보다 높은 배상액을 인정할 수 있도록 한 제도입니다.

다만 실제 소송에서는 개인정보의 종류와 유출 범위, 제3자 열람 여부, 2차 피해 발생 여부, 사업자의 사후 조치 등 구체적인 사정에 따라 배상책임과 금액이 달라질 수 있습니다.

노종언 대표변호사는 법원이 액수를 산정하기 어려운 정신적 손해와 재산상 피해도 구체적인 사안에 따라 적극적으로 검토해야 한다는 의견을 밝혔습니다.