핵심 요약 — 이 페이지는 개인정보 유출·무단 제공에 대해 정보주체가 사업자 등 개인정보처리자를 상대로 낸 민사 손해배상 소송의 결과를 사고 단위로 정리한 표입니다. 대량 유출 사건의 확정 인용액은 1인당 7만 원에서 100만 원 사이이며, 결과를 가르는 것은 유출 사실 자체가 아니라 유출된 정보가 실제로 유통·열람됐는가입니다. 유통 전 전량 회수된 사건과 해킹에서 사업자 과실이 부정된 사건은 청구가 기각됐고, 행정 제재(과징금)를 받은 사고라도 민사 배상은 별도로 판단됩니다. 직원·기관이 특정인의 정보를 조회·누설한 내부자 누설 사건은 따로 표시했습니다 — 피해자 개인의 사정을 따져 정하므로 인정액이 10만 원에서 1,000만 원까지 폭넓게 나옵니다. 행정 제재 쪽은 제재 추적기에, 처분 취소소송은 불복 소송 추적에 정리되어 있습니다.
"유출되면 얼마가 나오나"라는 질문에는 놀랄 만큼 답이 없습니다. 보도는 사고 규모를 다루고, 판결 해설은 법리를 다루지만, 사건별 인정액을 한 자리에서 비교할 수 있는 표는 찾기 어렵습니다. 그래서 국가법령정보센터에 공개된 판결을 전부 읽고, 거기 없는 심급과 최근 하급심은 판결문 검색 서비스로 보충해 그 표를 만들었습니다.
34수록 사고
21위자료 인용
13청구 기각
18대법원 확정
10그중 내부자 누설
| 사고 · 피고 | 결과 | 1인당 인정액 | 심급 경과 | 판단을 가른 것 |
|---|---|---|---|---|
| 대량 유출 온라인게임 이용자 개인정보 노출 (2005) 엔씨소프트 · 항소심 판결문 실명 게임서비스 시스템 사고로 이용자 개인정보가 노출될 위험 발생 (2005-05-11) | 인용대법원 확정 | 1인당 10만 원 확정원고 5인 중 3인 인용 — 1심 각 50만 원이 항소심에서 감액 |
| 다수 이용자로부터 수익을 얻는 사업자의 정보관리 책임을 무겁게 보되, 로그파일이 이용자 개인 PC에 저장됐을 뿐 실제 유출 자료가 없는 원고들은 정신적 고통을 인정하지 않음 |
| 대량 유출 은행 이메일 발송 사고 — 첨부파일로 개인정보 노출 (2006) 국민은행 · 항소심 판결문 실명 이메일 발송 과정에서 성명·주민등록번호·이메일 주소가 담긴 텍스트 파일을 첨부해 회원 3,723명에게 전송 (2006-03-15) | 인용항소심 확정 (상고 없음) | 1인당 20만 원(목록 1·2) / 10만 원(목록 3) 확정1심 10만/7만에서 항소심 증액 |
| 성명·주민등록번호·이메일이 결합돼 식별가능성이 커진 점, 개인정보를 영리적으로 이용하는 사업자의 책임, 스스로 개인정보보호방침·약관으로 책임을 다짐한 점, 사고 후 정보도용 차단서비스가 1년으로 제한된 점 |
| 대량 유출 온라인게임 명의도용 회원가입 (2006) 엔씨소프트 외 1인 · 항소심 판결문 실명 제3자가 원고들 명의를 도용해 게임 회원으로 가입 — 게임사의 본인확인·관리 책임이 다투어짐 | 기각대법원 확정 | — |
| 게임사의 불법행위 책임 부정 |
| 대량 유출 채용 사이트 입사지원자 정보 노출 (2006) 엘지전자 채용 사이트에서 입사지원자 정보(사진 포함)가 외부에 노출 (2006-09-26) | 인용대법원 확정 | 1인당 30만 원 확정별지 1 원고들 — 항소심에서 1심 인용액 감액 |
| 사고 당시 보안조치 수준, 사고 후 대응의 신속성·적절성, 피해자 안내의 적절성을 산정 요소로 명시 |
| 대량 유출 오픈마켓 해킹 — 회원 정보 대량 유출 (2008) 이베이옥션·인포섹 메인 데이터베이스 서버 해킹으로 회원의 이름·주민등록번호·주소·전화번호·아이디·계좌번호 등 유출 | 기각대법원 확정 (병렬 상고심 3건) | — |
| 고시 「개인정보의 기술적·관리적 보호조치 기준」의 조치를 다했다면 원칙적으로 보호조치 의무 위반이 아니라는 기준을 세운 리딩케이스 — 이후 해킹 사고 소송에서 반복 인용되며 사업자 과실 인정의 문턱이 된 판결 |
| 대량 유출 정유사 보너스카드 고객정보 직원 유출 (2008) 지에스칼텍스·지에스넥스테이션 등 수탁사 직원이 보너스카드 회원 고객정보를 빼내 저장매체로 반출, 언론 제보 명목으로 전달 | 기각대법원 확정 | — |
| 유출 정보가 유통되기 전 전량 회수·압수돼 제3자 열람 가능성이 낮음 — 위자료로 배상할 정신적 손해 불발생. 이후 판결들이 반복 인용하는 판단 기준(정보의 종류·식별가능성·열람 여부·확산 범위·추가 피해 가능성·회수 노력)이 이 판결에서 정립 |
| 대량 유출 스마트폰 위치정보 무단 수집 (2010~2011) 애플코리아·Apple Inc. · 대법원 판결문 기준 실명 위치서비스를 '끔'으로 설정한 상태에서도 기지국·Wi-Fi 위치값이 서버로 전송된 결함 | 기각대법원 확정 | — |
| 수집 사실만으로 위자료로 배상할 정신적 손해를 인정하지 않음 — 위치정보 무단 수집의 손해배상 판단 기준을 확정한 공간 판결 |
| 대량 유출 택시기사 위치정보 무단 열람 (콜 관제시스템) 콜 관제시스템 운영 관련자들 동의 없이 개인택시 기사들의 위치정보를 수집·열람 | 인용대법원 확정 (환송 후) | 1인당 20만 원 확정 |
| 위치정보 무단 수집·이용의 위자료 판단 기준(식별가능성·열람 여부·기간·회수 노력 등)을 제시하고 심리 없이 청구를 배척한 원심을 파기. 환송 후 1인당 20만 원이 유지됐고, 재상고심은 지연손해금의 이율 기산점(소송촉진법 제3조 제2항의 항쟁 상당성)만 바로잡았다 |
| 대량 유출 통신사 영업시스템 고객정보 유출 (2012) 케이티 · 1심 판결문 실명, 일부 항소심은 비실명 영업시스템(N-STEP) 조회 권한을 악용한 정보유출자들이 고객정보를 조회·유출해 텔레마케팅 등에 사용 | 기각확인된 항소심·상고심에서 기각으로 수렴 (갈래 다수) | —1심은 1인당 10만 원 인용, 항소심에서 전부 취소 |
| 1심은 유출·유통 사실로 정신적 손해를 인정했으나, 항소심·상고심은 보호조치 의무 위반 판단 기준(고시 준수)에 따라 사업자 책임을 부정 — 1심 인용이 상급심에서 뒤집힌 대표 사건 |
| 대량 유출 통신 3사 통신자료 제공내역 공개청구 거부 (2013) — 유출 아님·열람 거부 유형 에스케이텔레콤·케이티·엘지유플러스 수사기관에 대한 통신자료 제공내역의 공개(열람) 요구를 거부당한 이용자들이 위자료를 청구 | 인용대법원 확정 | SKT 1인당 30만 원, KT·LGU+ 1인당 20만 원항소심 인용액이 그대로 확정 |
| 유출 사건이 아니라 열람·공개 요구 거부 유형 — 개인정보 자기결정권 행사를 막은 것 자체가 위자료 대상이 된 사례. 유출 없는 침해에서도 배상이 인정된 드문 확정례 |
| 대량 유출 통신사 홈페이지 해킹 — 요금명세서 조회 방식 (2013~2014) 케이티 해커가 파로스 프로그램으로 홈페이지 요금명세서 조회를 위조해 이용자 9,818,074명의 개인정보 11,708,875건 유출 | 기각항소심 확정 (상고 소취하) | — |
| 천만 명 규모 유출인데도 확인된 소송이 종국적으로는 전부 청구 기각(1심에서 1인당 10만 원을 인정한 갈래도 항소심에서 취소) — 해커의 이례적 공격 방식과 사업자의 보호조치 이행이 과실 부정의 근거. 유출 규모가 아니라 의무 위반 여부가 결과를 가른다는 것을 보여준 사건 |
| 대량 유출 카드사 고객정보 유출 — 롯데카드 (2010·2013) 롯데카드·코리아크레딧뷰로(KCB) FDS 개발용역 과정에서 외주 개발인력이 카드 고객정보를 USB로 반출. 2010년 4월 유출분 중 255만 명분이 제3자에게 전달, 2013년 12월 유출분은 체포·압수로 미유통 | 인용대법원 확정 | 1인당 7만 원 확정1심은 10만 원, 항소심에서 감액. 2013년 12월 유출분 청구는 기각 |
| 같은 사고 안에서도 제3자에게 유통된 유출분만 인용되고, 유통 전 압수된 유출분은 정신적 손해 불인정 — 「유통 여부」가 인용·기각을 가른 사건 |
| 대량 유출 카드사 고객정보 유출 — KB국민카드 (2013) 케이비국민카드·코리아크레딧뷰로(KCB) FDS 개발용역 과정의 고객정보 유출 (위 롯데카드와 같은 구조의 사고) | 인용대법원 확정 (병렬 소송 여러 건) | 1인당 10만 원 확정원심 3건 모두 각 10만 원 (수원지법 2016나55780·서울고법 2016나2049021은 항소기각, 서울중앙지법 2016나15432는 항소심에서 10만 원으로 감액. 원심 전문은 공개 판례 DB에 없어 판결문 열람 DB에서 확인, 2026-08-24) |
| 유출 정보가 사생활·신용과 밀접하고 2차 범죄 악용 가능성이 있으며 전파·확산 과정에서 열람됐거나 열람될 가능성이 크다고 봄. 위자료 액수 산정은 사실심 재량임을 확인. 병렬 소송 3건의 인정액이 전부 1인당 10만 원으로 수렴 — 같은 사고로 7년 뒤 낸 소송은 소멸시효 완성으로 기각됐다(2020가단5259622) |
| 대량 유출 카드사 고객정보 유출 — 농협 (2013) 농협은행·코리아크레딧뷰로(KCB) FDS 개발용역 과정의 카드 고객정보 유출 (같은 구조) | 인용대법원 확정 | 1인당 10만 원 확정원심에서 농협은행과 공동하여 각 10만 원 (원심 전문은 공개 판례 DB에 없어 판결문 열람 DB에서 확인, 2026-08-24) |
| 위 KB국민카드 사건과 같은 판단 기준. 카드3사 유출 병렬 소송의 인정액이 롯데카드(7만 원 확정)를 제외하면 전부 1인당 10만 원 |
| 대량 유출 네이트·싸이월드 해킹 (2011) 에스케이커뮤니케이션즈 해킹으로 회원 개인정보 대량 유출 | 기각대법원 확정 | — |
| 사업자의 기술적·관리적 보호조치 의무 위반이 부정됨 — 해킹 사고에서 사업자의 과실 인정이 얼마나 어려운지를 보여준 대표 사건 |
| 대량 유출 대형마트 경품행사 개인정보 보험사 제공 (2011~2014) 대형마트 운영사 · 판결문 비실명 경품행사로 수집한 개인정보를 보험회사에 판매하고, 회원 정보를 동의 없이 보험사 사전필터링에 제공 | 인용대법원 확정 | 경품행사 응모 원고 1인당 20만 원·사전필터링 제공 원고 1인당 10만 원 확정1심은 유형별 5만~12만 원 |
| 유출이 아니라 「동의 없는 제3자 제공」 유형 — 제공 유형(경품 응모 vs 사전필터링)별로 액수를 달리 산정 |
| 대량 유출 온라인 서비스 해킹 — 이메일·암호화된 비밀번호 유출 (2021) 온라인 서비스 운영사 · 판결문 비실명 웹방화벽 비활성화 상태에서 해킹 공격으로 이메일 주소와 암호화된 비밀번호 유출. 개인정보보호위원회가 2022-09-14 과징금·과태료 처분(안전조치의무 위반)을 별도로 부과한 사고 | 기각대법원 확정 | —법정손해배상 30만 원 청구 기각 |
| 제39조의2 법정손해배상 청구에서도 개인정보처리자가 「위자료로 배상할 만한 정신적 손해가 발생하지 않았음」을 증명하면 면책된다고 최초로 정리 — 행정 제재(과징금)와 민사 배상이 따로 간다는 것을 보여준 사건 |
| 내부자 누설 경찰 소송수행자가 보관한 징계·소송 기록을 민사소송에 제출 (2019) 경찰관(소송수행자)·지방경찰청장 · 판결문 비실명 징계처분 취소소송의 경찰청 측 소송수행자가 업무상 취득한 원고의 징계기록·소청심사 기록·행정소송 기록을 사본으로 보관하다가, 원고가 자신을 상대로 낸 민사소송에서 소송대리인을 통해 서증으로 제출 | 기각항소심 확정 | — |
| 사본 보관은 제3자가 알 수 있는 상태가 아니어서 「유출」(제59조 제3호)이 아니고, 법원 제출은 「누설」(제59조 제2호)로 보기 어려우며 누설이라 해도 소송수행 업무의 정당성을 증명하기 위한 정당행위로 위법성 조각 — 개인정보처리자(경찰청장)의 유출 통지의무 위반 주장도 유출 부존재를 이유로 배척. 「유출」·「누설」의 외연을 가른 사건 |
| 대량 유출 숙박예약 앱 해킹 — 예약정보 유출·협박 문자 (2017) 숙박예약 앱 운영사 · 판결문 비실명 외부인이 마케팅센터 웹페이지에 SQL 인젝션 공격을 해 회원정보·숙박예약정보를 빼내고, 일부 이용자에게 예약 사실을 거론한 문자메시지를 보냄 | 인용1심 (상소 기록 없음, 2026-09-12 확인) | 1인당 10만~40만 원예약정보 유출에 협박 문자까지 받은 원고 40만 원, 예약정보만 유출 20만 원, 일부만 본인 정보인 원고 10만 원 |
| 보호조치 위반의 정도가 중대하다고 보고, 유출된 정보가 숙박예약 내역이라는 성격과 협박 문자라는 2차 피해 여부로 액수를 세 단계로 갈랐다 — 같은 사고 안에서 피해 정도별로 위자료를 달리 정한 사례 |
| 대량 유출 가상화폐 거래소 회원정보 유출 (2017) 가상화폐 거래소 운영사 · 판결문 비실명 해커가 운영자 개인 컴퓨터에 악성코드를 심거나 사전대입 공격으로 회원 개인정보를 빼냄. 원고들은 뒤이은 계정 해킹으로 가상화폐를 탈취당했다고 주장 | 인용 (일부)1심 (상소 기록 없음, 2026-09-12 확인) | 1인당 10만 원성명·생년월일·전화번호 유출이 확인된 원고 1명만 인용 |
| 암호화 등 보호조치 위반과 유출이 확인된 원고에게만 위자료를 인정하고, 가상화폐 탈취 손해는 유출과의 인과관계를 증명하지 못해 배척 — 유출 사실이 원고별로 증명돼야 한다는 점을 보여 준다 |
| 대량 유출 데이팅 앱 서버 해킹·협박 — 가입 증빙서류 유출 (2021) 데이팅 앱 운영사 · 판결문 비실명 회원이던 해커가 서버를 해킹해 회원(약 14만 3천 명) 개인정보를 빼낸 뒤 운영사를 협박. 운영사는 가입 검증용으로 받은 주민등록번호·재직증명서·부동산계약서·사진을 검증 뒤에도 파기하지 않고 보관 | 인용항소심 확정 (판결문 열람 DB 확정 기록) | 운영사 1인당 100만 원 확정해커 1,000만 원 중 100만 원을 운영사가 공동 부담 — 1심은 해커와 공동 500만 원 |
| 목적을 다한 민감 서류를 파기하지 않은 운영사의 책임을 인정하되, 경찰 신고·협박 대응 등 사후 조치를 참작해 해커(1,000만 원)와 운영사(100만 원)의 위자료를 달리 정했다 — 보관 자체가 배상 사유가 된 사례 |
| 대량 유출 여행사 웹사이트 해킹 (2024) 여행사 · 판결문 비실명 해커가 문의게시판에 웹셸을 올려 DB 서버의 회원·비회원 정보(한글·영문 이름, 생년월일, 성별, 휴대전화번호)를 빼냄. 운영사는 유출을 안 뒤 2개월이 지나서야 통지 | 인용항소심 확정 (판결문 열람 DB 확정 기록) | 1인당 10만 원 확정청구 220만 원 — 원고 항소 기각 |
| 안전조치(제29조)·파기(제21조)·72시간 내 통지(제34조) 위반을 인정하고 개인정보 보호법 제39조 제1항의 증명책임 전환을 적용했지만, 유출 항목이 연락처 수준이라 위자료는 10만 원 — 통지 지연도 액수를 크게 올리지 않았다 |
| 대량 유출 직원 명함으로 수집한 연락처의 수탁업체 해킹 유출 기업 · 판결문 비실명·업종 미기재 직원이 입사 전 다른 직장에서 명함을 교환하며 얻은 연락처(성명·휴대전화번호·직장명·이메일)를 회사가 동의 없이 보유하다가, 전산설비 수탁업체 서버 해킹으로 다수의 정보와 함께 유출 | 인용1심 (상소 기록 없음, 2026-09-12 확인) | 1인당 30만 원청구 120만 원 |
| 신용정보법상 신용정보라는 청구는 배척하고, 동의 없는 수집과 안전조치 소홀로 인한 유출을 개인정보 보호법 위반 불법행위로 선해해 인정 — 명함 정보도 회사가 보유하면 개인정보이고 수탁자 서버 사고도 위탁자 책임이 된다 |
| 대량 유출 약국 청구 프로그램으로 처방정보 수집·외국계 조사회사 제공 (2011~2013) 약사 단체·의약품정보 재단법인·외국계 의료정보 조사회사 한국법인 · 판결문 비실명 약국 요양급여 청구 소프트웨어로 전국 약국의 환자 처방전 정보를 모아 암호화한 뒤 외국계 조사회사에 제공 — 관련자는 형사 기소 | 기각대법원 확정 | —청구 1인당 100만 원 |
| 정보가 암호화돼 통계 분석에만 쓰였고 제3자 열람 가능성·2차 피해가 없으며 해외 서버 정보도 삭제됐다는 이유로 정신적 손해 발생을 부정. 법정손해배상(제39조의2)은 2015-07-24 이후 유출분부터라 소급 적용 불가 — 위법한 수집·제공이 형사 기소됐어도 민사 위자료는 별개라는 사례 |
| 대량 유출 해외 소셜미디어 제3자 앱 정보 제공·운영 법인 변경 미고지 (2018) 해외 소셜미디어 운영사 2곳 · 판결문 비실명 이용자 친구의 개인정보를 제3자 앱에 제공했다는 주장, 한국 이용자 서비스 제공 법인을 해외 법인 사이에서 바꾸면서 이전 사실을 알리지 않은 행위 | 기각1심 (상소 기록 없음, 2026-09-12 확인) | —청구 1인당 50만 원 |
| 원고별로 제3자 앱에 정보가 제공된 사실을 증명하지 못했고, 운영 법인 변경 시 이전 고지의무(구 정보통신망법 제26조) 위반은 인정되나 이전 전후 관리 방식이 같아 손해가 없다고 봄 — 고지의무 위반이 인정돼도 원고별 손해 증명은 따로 필요하다 |
| 내부자 누설 역 직원의 내부망 주소지 조회 뒤 살인 — 신당역 사건 (2021~2022) 서울교통공사 직위해제된 직원이 내부 통합정보시스템에서 피해자의 주소지 등 개인정보를 조회해 찾아간 뒤 살해. 유족이 공사를 상대로 사용자책임과 개인정보 보호의무 위반을 청구 | 인용 (일부)대법원 계속 중 (2025다215622, 2026-09-12 확인) | 망인 위자료 1,000만 원상속인 부모에게 각 500만 원 (범행 자체에 대한 사용자책임은 부정) |
| 범행이 공사의 사무집행과 관련된다고 보기 어려워 사용자책임은 부정했지만, 직위해제된 직원의 내부망 접근·조회를 막지 않은 접근통제(제29조) 위반으로 개인정보가 탐지된 것 자체의 정신적 손해를 인정 — 사후에 주소지 조회 차단 조치를 한 사정도 참작 |
| 내부자 누설 구청 공무원의 차적정보 조회·흥신소 유출 (2020) 수원시 소속 공무원이 돈을 받고 원고의 인적사항·주소지 등 차적정보를 조회해 텔레그램으로 흥신소 업자에게 넘김 | 인용1심 (상소 기록 없음, 2026-09-12 확인) | 200만 원청구 1,000만 원 |
| 공무원이 직무를 집행하면서 고의로 개인정보를 영리 목적으로 제공(제70조 제2호)했으므로 지방자치단체가 국가배상법 제2조에 따라 배상 — 내부자의 범죄도 기관의 배상 책임이 된다 |
| 내부자 누설 항공 종사자 행정처분 알림에 개인정보를 적어 타사에 발송 (2019) 대한민국 (국토교통부) 항공 종사자 자격 행정처분을 알리면서 이름·생년월일·자격증명 번호·처분 기간을 적은 공문을 원고가 소속되지 않은 항공사 대표 등에게도 발송 | 인용 (일부)항소심 (상고 기록 없음, 2026-09-12 확인) | 70만 원1심 기각 → 항소심 인용 |
| 목적 외 제3자 제공(제17조 제1항)을 인정했지만, 수신 회사가 내부에 더 퍼뜨렸다는 증거가 없고 그 확산은 수신사의 책임이라는 점을 들어 70만 원으로 제한 |
| 내부자 누설 병무청의 입영 알림을 아파트 출입문에 공개 부착 (2018) 대한민국 (병무청) 입영통지서가 송달되지 않자 병무청 직원이 원고의 입영 기피 관련 내용을 적은 「병무청 알림」을 불특정 다수가 볼 수 있게 아파트 출입문 등에 약 3시간 부착 | 인용 (일부)대법원 확정 (심리불속행 기각, 2020다236923) | 100만 원 확정1심 기각 → 항소심 인용, 청구 5,000만 원 |
| 공적 동기였고 민감정보가 아니며 부착 시간이 짧다는 점을 감안해도, 가족 등 제한된 사람만 볼 수 있게 접어 붙이는 등 유출을 줄이는 방법을 쓰지 않았으므로 정당행위가 아니라고 봄 |
| 내부자 누설 교원 인사 회의록의 정신과 치료 내역을 교원들이 열람 (2019) 학교법인·회의록 작성 간사 · 판결문 비실명 간사가 원고의 정신과 치료 내역이 적힌 회의록을 학교 행정시스템에 올리면서 열람 제한 설정을 하지 않아 다른 교원들이 볼 수 있게 됨 | 인용 (일부)대법원 확정 | 150만 원 확정1심 기각 → 항소심 인용, 청구 500만 원 |
| 민감정보(건강)를 내부 시스템에 올리면서 접근 제한을 하지 않은 과실을 인정하고, 사용자인 학교법인이 간사와 함께 배상 — 외부 유출이 아니라 조직 내부 열람도 배상 사유가 된 사례 |
| 내부자 누설 사내추천 입사지원 사실을 추천 직원이 원고의 직장 관계자에게 누설 (2023) 연예 매니지먼트 회사 · 판결문 비실명 사내추천 제도로 입사 지원한 원고의 지원 사실을, 추천인인 소속 직원이 원고가 재직하던 업계 관계자에게 알림 | 인용 (일부)1심 (상소 기록 없음, 2026-09-12 확인) | 100만 원청구 3,000만 원 |
| 개인정보 보호법 제39조 제1항 책임을 인정하되, 유출 범위가 업계 일부에 그치고 퇴사·재취업 불가와의 인과관계가 증명되지 않았으며 「통상 개인정보 유출에서 인정되는 위자료의 평균적인 액수」를 참작해 100만 원 |
| 내부자 누설 아파트 관리사무소 직원의 입주민 명부 게시 (2020) 아파트 위탁관리업체 · 판결문 비실명 관리과장·관리소장이 입주민의 세대 호수와 이름이 적힌 명부를 각 동 현관 앞에 게시 — 직원과 회사가 개인정보 보호법 위반으로 약식기소돼 유죄 | 인용1심 (상소 기록 없음, 2026-09-12 확인) | 1인당 10만 원원고 37명, 청구 각 300만 원 |
| 직원의 누설에 대해 위탁관리업체가 민법 제756조 사용자책임을 지되, 누설된 정보가 세대 호수와 이름뿐이라는 점을 들어 1인당 10만 원 — 형사 유죄여도 위자료는 정보의 성격을 따른다 |
| 내부자 누설 교육청 상담 기관의 교사 상담신청서 유출·인사과 이관 주장 (2019) 부산광역시 · 대법원 판결문 실명 교권 상담을 받은 교사가 상담교사의 상담신청서 외부 의사 전달, 법률상담신청서의 인사과 이관 등을 개인정보 유출이라고 주장 | 기각대법원 확정 | —1심 일부 인용이 항소심에서 취소 |
| 상담신청서는 공공기록물로 보존이 필요한 문서여서 인사과 이관만으로는 누설·목적 외 이용이라고 보기 어렵다고 판단 — 기관 내부의 기록 이관과 외부 누설을 구분한 사례 |
| 내부자 누설 건강보험공단 직원이 가입자의 직장 정보를 가족에게 알림 (2017) 국민건강보험공단 원고의 모친이 보험료 부과 내역을 문의하자 공단 직원이 피부양자 자격 취득 절차를 설명하면서 원고의 직장 관련 정보를 알려 줌 — 원고는 가족에게 직장을 숨기고 있었음 | 기각항소심 (상고 기록 없음, 2026-09-12 확인) | —청구 1,000만 원, 항소심에서 법정손해배상으로 변경 |
| 직원의 유출 사실은 인정했지만, 법정손해배상(제39조의2)도 실제 손해액이 아닌 손해 발생 사실의 증명은 필요하다고 보고 — 특정인(모친)에게만 알려져 제3자 열람 가능성이 없으므로 청구 기각. 법정손해배상의 요건을 좁게 본 초기 판결 |
이 표를 읽는 법
행의 단위는 판결이 아니라 사고입니다. 한 사고에 1심부터 대법원까지 여러 판결이 있으면 한 행 안에 심급 경과로 적었습니다. 각 판결 앞의 1심·항소심·상고심 표시는 사건번호의 사건부호(가단·가합·가소, 나, 다)를 보고 붙였습니다. 카드사 유출처럼 같은 사고를 두고 병렬 소송이 여럿 진행된 경우 피고 회사별로 행을 나눴습니다 — 같은 사고라도 피고별로 확정 시점과 인정액이 다르기 때문입니다.
사고 유형을 두 갈래로 나눴습니다. 「대량 유출」은 해킹·시스템 사고나 무단 수집·제공으로 여러 사람의 정보가 새어 나간 사건이고, 「내부자 누설」은 직원이나 기관이 특정인의 정보를 조회·누설·공개한 사건입니다. 내부자 누설은 피해자 한 사람의 사정을 따져 액수를 정하므로 액수의 폭이 대량 유출보다 훨씬 넓고, 한 사람에게 수백만 원 이상이 인정되기도 합니다. 두 유형의 금액을 섞어 「평균」을 내면 안 됩니다. 내부자 누설은 회사·기관이 피고이거나 배상 책임을 다툰 사건만 싣고, 직원 개인만 피고인 사건과 개인 사이의 분쟁은 싣지 않았습니다.
금액이 비어 있는 행은 청구가 기각된 사건(—)입니다. 인용된 사건은 전부 액수를 적었습니다. 액수가 적힌 판결이 국가법령정보센터에 없던 사건은 판결문 열람 DB에서 원문을 확인해 채웠습니다(엔씨소프트·국민은행 항소심, 택시기사 환송 후 판결, 카드사 원심).
확정된 사건은 확정액을 적었습니다. 1심 인용액이 상소심에서 바뀐 사건이 여럿이므로(감액·증액 모두 있습니다) 최종 확정액을 굵게 적고, 1심에서 얼마였는지 같은 경위는 그 아래 줄에 남겼습니다. 최근 판결 중 상소 기록을 찾지 못한 사건은 결과 칸에 「1심 (상소 기록 없음)」처럼 그 상태를 그대로 적었습니다 — 확정액이 아니므로 위의 확정 인용액 범위에는 넣지 않았습니다.
피고 표기는 판결문의 공개 수준을 따랐습니다. 판결문에 실명이 적힌 사건만 실명으로 적고, 법원이 비실명 처리한 피고는 업종으로만 적었습니다. 다른 자료를 동원해 특정하지 않습니다.
이 표에 없는 것
- 공개 판례 DB에 수록되지 않은 판결. 언론에 크게 보도된 유출 사고 중에도 판결문이 공개 DB에 실리지 않아 여기 없는 사건이 여럿 있습니다. 표에 없다는 것을 "소송이 없었다" 또는 "인정액이 0이었다"로 읽으면 안 됩니다. 미수록 하급심은 판결문 열람 경로로 확보되는 대로 추가합니다.
- 행정 사건. 개인정보위 처분에 대한 취소소송은 이 표가 아니라 불복 소송 추적에 있습니다.
- 형사 사건과 합의금. 이 표는 민사 판결의 인용액만 담습니다. 수사·기소 결과나 재판 밖 합의는 다루지 않습니다.
자주 묻는 질문
Q. 개인정보가 유출되면 위자료는 얼마나 받을 수 있나요?
대량 유출 사건에서 확정된 인용액은 1인당 7만 원에서 100만 원 사이이고, 가장 높은 쪽은 가입 검증용으로 받은 주민등록번호·재직증명서를 파기하지 않고 보관하다 유출한 데이팅 앱 사건입니다. 카드사 고객정보 유출은 7만~10만 원, 경품행사 개인정보 판매는 10만~20만 원, 채용 사이트 노출은 30만 원이 인정된 예가 있습니다. 다만 유출 사실만으로 인정되는 것이 아닙니다 — 유출된 정보가 제3자에게 유통되기 전에 전량 회수·압수된 사건들(정유사 직원 유출, 카드사 2013년 12월 유출분)에서는 정신적 손해 자체가 부정되어 청구가 기각됐습니다.
Q. 직원이 고객 정보를 몰래 조회하거나 누설하면 회사도 배상하나요?
배상 책임이 인정된 예가 많습니다. 이 표의 내부자 누설 사건 10건 중 7건에서 회사·기관의 배상이 인정됐고, 인정액은 10만 원에서 1,000만 원입니다. 역 직원이 내부망으로 피해자 주소를 조회한 뒤 범행한 신당역 사건에서는 범행 자체에 대한 사용자책임은 부정됐지만, 직위해제된 직원의 조회를 막지 못한 접근통제 위반으로 위자료가 인정됐습니다(상고심 계속 중). 반대로 유출이 특정인 한 명에게만 알려져 제3자가 볼 가능성이 없거나, 기관 내부의 정당한 기록 이관에 그친 경우에는 기각됐습니다.
Q. 회사가 개인정보위 과징금 처분을 받았으면 민사 손해배상도 인정되나요?
별개로 판단됩니다. 웹사이트 해킹으로 개인정보보호위원회가 안전조치의무 위반 과징금을 부과한 사건에서도, 민사에서는 유출된 정보가 이메일 주소와 암호화된 비밀번호뿐이어서 위자료로 배상할 정신적 손해가 발생하지 않았다는 이유로 청구가 기각되고 대법원에서 확정됐습니다(2023다311184). 이 판결은 증명 부담을 덜어주는 법정손해배상(제39조의2) 청구에서도 처리자가 정신적 손해의 부존재를 증명하면 면책된다고 처음 정리했습니다.
Q. 법원은 무엇을 보고 위자료 인정 여부를 판단하나요?
대법원이 반복 인용하는 기준은 유출된 개인정보의 종류와 성격, 정보주체 식별 가능성, 제3자의 열람 여부 또는 열람 가능성, 유출 범위와 확산 정도, 추가 법익 침해 가능성, 개인정보를 처리하는 자의 관리 실태와 유출 경위, 피해 확산을 막기 위해 취한 조치입니다(대법원 2012. 12. 26. 선고 2011다59834 등). 같은 사고 안에서도 제3자에게 유통된 유출분만 인용되고 유통 전 압수된 유출분은 기각된 사건이 실제로 있습니다.
출처와 정정
표 전량을 CSV 파일로 내려받을 수 있습니다: damages-judgments.csv (UTF-8, Excel에서 바로 열립니다). 표와 같은 기준으로 피고·결과·인정액을 각각 두 열(핵심과 부연)로 나눠 실었습니다. 출처를 밝히시면 기사·보고서·논문에 자유롭게 인용·재사용하실 수 있습니다.
인용 시점을 고정하려면 아카이브 판을 쓰십시오. 위 CSV는 표가 갱신될 때 함께 바뀝니다. 논문·보고서처럼 나중에 검증되어야 하는 글에서는 날짜가 박힌 아래 파일을 인용하시는 편이 안전합니다. 각 파일은 그 날짜의 표를 그대로 담고 있고, 주소는 이후로 바뀌지 않습니다.
학술 인용에는 DOI를 쓰십시오. 이 표를 포함한 자료 4종은 Zenodo에 아카이브돼 있습니다 — 논문·보고서처럼 나중에 검증되어야 하는 글에서는 판이 고정된 10.5281/zenodo.22722237을, 항상 최신판을 가리키려면 10.5281/zenodo.22722236을 인용하시면 됩니다. 정리물의 이용 조건은 CC BY 4.0이고, 원문 결정·판결은 저작권법 제7조에 따라 애초에 저작권 보호 대상이 아닙니다.
모든 행은 판결문 전문을 읽고 작성했습니다. 국가법령정보센터에 공개된 판결문을 기본으로 하고, 거기 없는 원심·상소심은 판결문 열람 DB에서 원문을 확인했습니다. 사건번호를 함께 적어 원문을 대조할 수 있게 했습니다. 오류를 발견하셨거나 상소심에서 결과가 바뀐 사건을 알고 계시면 hyunsub.lee@seumlaw.com 으로 알려주십시오. 원문 대조 후 반영합니다.
구체적인 사안에서 손해배상 청구의 가능성과 범위는 유출 경위, 정보의 종류, 유통 여부 등에 따라 판단이 달라지므로 개별 검토가 필요합니다.