개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다

핵심 요약: 유출 사고 대응에서 회사가 가장 놓치기 쉬운 기한은 72시간이 아니라 15일입니다. 개인정보 보호법 제47조 제3항과 소비자기본법 제67조 제2항이 모두 조정안을 받고 15일 안에 의사표시가 없으면 수락한 것으로 본다고 정하고, 수락하거나 수락한 것으로 보는 경우 그 내용은 재판상 화해와 동일한 효력을 갖습니다. 그리고 같은 유출 사고에 조정안은 두 곳에서 따로 옵니다. 개인정보 분쟁조정위원회(개인정보 보호법 제49조)와 한국소비자원 소비자분쟁조정위원회(소비자기본법 제68조)는 근거 법률도 처리기간도 다릅니다. 2026년 9월 11일 시행 개정법은 여기에 하나를 더합니다. 유출 통지문에 손해배상과 분쟁조정의 행사 방법을 적어야 합니다(제34조 제1항 제6호).

유출 사고에서 회사가 기한으로 관리하는 날짜는 대개 통지와 신고까지입니다. 그 뒤에 오는 봉투에는 기한이 없다고 생각하기 쉽습니다.

그런데 조정안에는 기한이 있고, 그 기한을 넘기면 회사가 아무 것도 하지 않은 상태 그대로 결론이 납니다.

회신하지 않으면 수락이다

개인정보 보호법 제47조 제3항은 이렇게 정합니다.

제2항에 따라 조정안을 제시받은 당사자가 제시받은 날부터 15일 이내에 수락 여부를 알리지 아니하면 조정을 수락한 것으로 본다.

같은 조 제5항은 그 조정의 내용이 재판상 화해와 동일한 효력을 갖는다고 정합니다. 제4항 괄호는 수락한 것으로 보는 경우까지 포함한다고 명시하고, 그 경우에는 당사자의 기명날인과 서명을 생략할 수 있다고 합니다. 회사가 서명한 적이 없어도 조정서가 만들어집니다.

이 조항은 2023년 3월 14일 개정으로 들어와 2023년 9월 15일부터 시행됐습니다. 같은 개정에서 분쟁조정 의무참여제도 함께 들어왔습니다. 제43조 제3항이 개인정보처리자는 분쟁조정 통지를 받으면 특별한 사유가 없으면 분쟁조정에 응하여야 한다고 정합니다.

개인정보보호위원회가 밝힌 수치를 보면 이 두 장치가 실제로 결과를 바꿨습니다. 제도 개선 전후로 조정성립률이 66.9%에서 90.7%로 올랐고, 2024년에는 처리 건수가 806건으로 전년보다 21% 늘었습니다. 같은 해 손해배상금과 합의금의 평균 지급액은 57만 원으로 전년 28만 원의 두 배였습니다.

응하지 않는 선택지가 사라지고, 회신하지 않는 것이 수락이 됐습니다.

조정안은 두 곳에서 온다

여기서 실무가 한 번 더 갈립니다. 개인정보 유출 사고에서 집단분쟁조정은 서로 다른 두 법률에 각각 있습니다.

구조가 거의 같습니다. 그래서 두 절차가 같은 것이라고 오해하기 쉬운데, 신청 창구가 다르고 기간이 다르며 무엇보다 한쪽을 처리해도 다른 쪽이 남습니다.

실제로 한 회사가 두 트랙에 동시에 걸린 사례가 있습니다. 2025년 11월에 유출 사고가 공표된 쿠팡의 경우입니다.

• 소비자분쟁조정위원회는 2025년 12월 8일 소비자 50명의 신청을 받아, 2026년 2월 5일 절차 개시를 보류했다가 4월 6일 개시를 결정하고, 2026년 7월 22일 1인당 현금 10만 원 또는 쿠팡캐시 10만 원을 배상하라고 결정했습니다.
• 개인정보 분쟁조정위원회에는 2025년 12월에 50인 사건과 1,626인 사건이 접수됐고, 개인정보보호위원회의 조사를 이유로 2026년 2월 9일 정지됐다가 6월 12일 병합·재개됐습니다. 이 사건은 2026년 8월 현재 처리기간을 연장한 상태로 진행 중입니다.

한쪽에서 이미 금액이 나왔고 다른 쪽은 아직 진행 중입니다. 회사가 관리해야 하는 기한이 두 벌이라는 뜻입니다.

같은 사고에 두 위원회가 각각 결정을 낸 사례도 있습니다. SK텔레콤의 2025년 4월 유출 사고에서 두 결정의 내용이 이렇게 갈렸습니다.

금액도 다르고 지급 형태도 다릅니다. 조정안이 반드시 현금으로 오는 것은 아닙니다.

금액은 어디에서 나오는가

소비자분쟁조정위원회는 쿠팡 결정에서 금액의 근거를 이렇게 적었습니다.

대규모 개인정보 유출 사건에서 법원이 통상 10만 원의 범위에서 배상액을 결정했던 점

같은 위원회가 그 한 달 전 SK텔레콤 결정에서도 같은 기준선을 적었습니다. "그동안 발생한 대규모 개인정보 유출 사례의 1인당 보상액이 통상 10만 원이었던 점"입니다. 두 결정이 같은 문장으로 출발한 셈이니, 그 기준선의 근거인 법원 실무를 직접 보는 편이 빠릅니다.

개인정보 보호법 제39조의2 제1항은 정보주체가 300만 원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있게 하고, 제2항은 법원이 변론 전체의 취지와 증거조사 결과를 고려해 그 범위에서 상당한 손해액을 인정한다고 정합니다. 300만 원은 상한이고 금액은 법원이 정합니다. 이 조항을 인용한 판결에서 실제로 인정된 금액은 다음과 같습니다.

인정액의 중심이 10만 원에서 30만 원 사이에 있고, 1심에서 인정된 금액이 항소심에서 사라진 사건도 있습니다. 위원회가 말한 기준선과 판결이 서로 맞물립니다.

그러므로 "유출 건수 곱하기 300만 원"이라는 상대방의 계산은 회사가 준비해야 할 수치가 아닙니다. 다만 조정 단계에서 나오는 10만 원과 30만 원은 실제로 지급된 사례가 있는 수치입니다.

300만 원 조항은 왜 무서운가

금액이 아니라 증명책임 때문입니다. 대법원이 2025년 12월 4일 이 지점을 정면으로 판단했습니다(2023다311184). 소액사건인데도 "그 법령이 적용되는 다수의 사건이 하급심에 계속되는" 사정을 들어 법령해석의 통일을 위해 실체 판단에 들어갔습니다.

정보주체는 … 개인정보가 분실·도난·유출·위조·변조 또는 훼손되었다는 사실만 주장·증명하면 되고 손해의 발생 사실을 구체적으로 주장·증명할 필요는 없다.

회사가 이미 유출 통지를 보냈다면 그 통지문 자체가 유출 사실을 증명하는 문서입니다. 청구인은 자기가 무슨 피해를 입었는지 설명할 필요가 없습니다.

같은 판결이 회사 쪽 경로도 열어 두었습니다. 개인정보처리자가 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 주장·증명하면 책임을 면할 수 있고, 그 판단에서 법원이 볼 사정을 일곱 가지로 열거했습니다.

1. 유출된 개인정보의 종류와 성격
2. 유출로 정보주체를 식별할 가능성이 발생했는지
3. 제3자가 유출된 개인정보를 열람했는지, 또는 장래의 열람 가능성이 있는지
4. 유출된 개인정보의 확산 범위
5. 유출로 추가적인 법익침해 가능성이 발생했는지
6. 개인정보처리자의 개인정보 관리 상황과 유출의 경위
7. 피해 발생과 확산을 방지하기 위해 취해진 조치의 내용

3번과 7번은 사고 당일에 만들어지고 나중에는 만들 수 없는 자료입니다. 로그를 보존하지 않아 열람 여부를 확인하지 못한 회사는 이 자리에서 다툴 재료를 갖지 못합니다. 저희가 개인정보위 결정문 180건의 경위 분류에서 경위 불명 유형을 따로 센 이유도 같습니다. 경위를 밝히지 못하면 행정 처분에서도 민사에서도 같은 자리에서 불리해집니다.

쿠팡 결정에서 위원회가 "추가 유출 가능성이 전혀 없다"는 회사 주장을 "단정하기는 어렵다"고 물리친 대목이 바로 3번과 7번의 자리입니다.

대법원은 마지막에 한 문장을 덧붙였습니다. 이런 판단이 "손해에 관한 증명 없이 피해자의 권리구제가 가능하게 하려는 법정손해배상제도의 취지가 형해화되지 않도록 주의하여야 한다"는 것입니다. 면책 경로가 열려 있으나 문턱이 낮지는 않다는 뜻으로 읽는 편이 안전합니다.

한 가지 더 있습니다. 제39조의2 제3항은 제39조로 손해배상을 청구한 정보주체가 사실심 변론이 종결되기 전까지 청구를 법정손해배상 청구로 변경할 수 있게 합니다. 서울중앙지방법원 2019나2048 사건에서 원고가 실제로 항소심에서 그렇게 변경했습니다. 회사가 손해액 다툼에서 앞서고 있더라도 변론이 끝나기 전까지 그 판단은 잠정적입니다.

조정 시계는 과징금이 확정되는 날 다시 돈다

집단분쟁조정에서 회사가 잘못 읽기 쉬운 것이 일정입니다. 조정은 개인정보보호위원회의 조사와 처분이 진행되는 동안 멈춰 있다가 처분이 나오면 재개됩니다.

SK텔레콤 사건이 그 흐름을 그대로 보여 줍니다. 개인정보위가 2025년 4월 22일 조사에 착수하자 분쟁조정위원회는 6월과 7월에 걸쳐 관련 사건을 일시 정지했고, 8월 27일 과징금 등 처분이 의결되자 다음 날 절차를 재개해 3건을 병합했습니다. 그리고 11월 3일 신청인에게 각 30만 원의 손해배상금을 지급하라는 조정안을 결정했습니다. 조사 착수부터 조정안까지 약 7개월입니다.

이 사건에서 위원회가 받아들이지 않은 청구도 함께 공개됐습니다. 침해행위 중지는 회사가 유출 경로를 차단하고 유심을 교체해 이미 중지됐다고 보았고, 원상회복은 유출 사고의 성격상 사실상 실현되기 어렵다고 보았습니다. 인정된 것은 휴대폰 복제 피해에 대한 불안과 교체 과정의 혼란에 대한 정신적 손해였습니다.

회사 입장에서 읽으면 이렇게 됩니다. 과징금이 확정되는 날이 민사 시계가 다시 도는 날입니다. 처분에서 확정된 사실관계 위에서 금액이 매겨지므로, 조사 대응 과정에서 만든 문서가 그대로 다음 절차의 재료가 됩니다.

사고 직후의 자발적 보상은 조정에서 공제된다

SK텔레콤 결정에서 소비자분쟁조정위원회는 회사가 사고 뒤 시행한 고객감사패키지 가운데 일부를 공제하도록 했습니다. 위원회는 그 이유를 "기업의 선제적 보상을 장려한다는 측면"이라고 적었습니다.

공제 방식이 실무적으로 중요합니다. 위원회는 8월 통신요금 50% 할인 금액을 전액 공제하면서도, 같은 피해를 입었는데 가입 요금제에 따라 보상액이 달라지는 것은 부당하다고 보아 모든 이용자에게 개인당 총 5만 원을 할인하도록 결정했습니다. 회사가 먼저 한 보상이 인정은 받되, 요금제별로 갈리던 금액은 균등하게 다시 맞춰진 것입니다.

사고 직후에 자체 보상안을 설계하는 회사라면 두 가지를 같이 봐야 합니다. 나중에 공제받으려면 지급 내역이 남아야 하고, 가입자 구분에 따라 금액이 갈리는 설계는 그 자리에서 다시 조정될 수 있습니다. 쿠팡 결정에서 위원회가 자체보상안의 사용 현황을 회사가 제출하지 않은 점을 금액 산정 사유로 든 것도 같은 맥락입니다.

같은 보상이 개인정보위의 과징금 산정에서는 피해 회복 감경으로 따로 평가되고, 보상 사실이 결정문에 적힌 사건에서도 반영되지 않은 경우가 있습니다.

수락의 비용은 조정금액에 신청인 수를 곱한 값이 아니다

개인정보 보호법 제49조 제5항과 소비자기본법 제68조 제5항은 같은 장치를 두고 있습니다. 사업자가 집단분쟁조정의 내용을 수락하면 위원회가 조정 당사자가 아닌 피해자에 대한 보상계획서를 작성해 제출하도록 권고할 수 있습니다. 소비자기본법 시행령 제60조는 권고를 받은 사업자가 권고받은 날부터 15일 이내에 수락 여부를 알리도록 정합니다.

소비자분쟁조정위원회는 쿠팡 결정을 알리면서 이 절차를 예고했습니다. 회사가 조정결정을 수락하는 경우 조정절차에 참여하지 않은 피해자들에게도 동일한 보상이 이루어질 수 있도록 보상계획서 제출 등 관련 절차를 진행하겠다는 것입니다.

SK텔레콤 결정에서는 그 규모가 숫자로 적혔습니다. 위원회는 이번 사고의 피해자가 약 2,300만 명에 달해 전체 피해자에 대한 보상이 이루어질 경우 그 규모가 2조 3천억 원에 이를 것으로 예상된다고 밝혔습니다. 신청인은 58명이었습니다.

신청인 수와 보상 대상자 수가 이만큼 벌어집니다. 수락 여부를 판단할 때 계산해야 하는 것은 신청인 수가 아니라 그 뒤에 오는 권고입니다.

수락하지 않으면 그다음은 소송이다

SK텔레콤은 2026년 1월 30일 소비자분쟁조정위원회의 조정결정을 수용하지 않았습니다. 회사가 밝힌 이유는 두 가지였습니다. 자발적 보상 노력과 보안 강화 조치를 선제적으로 이행했다는 점, 그리고 조정안을 수용할 경우 미칠 파급효과가 매우 크다는 점입니다.

두 번째 이유의 실체는 앞에서 본 숫자에 있습니다. 신청인 58명에 대한 보상액은 580만 원이지만, 수락하면 제68조 제5항의 보상계획서 권고가 따라오고 대상은 약 2,300만 명으로 넓어집니다. 회사가 계산한 것은 580만 원과 2조 3천억 원의 거리였습니다.

첫 번째 이유는 앞 절의 공제와 맞물립니다. 위원회는 이미 고객감사패키지의 일부를 공제해 주었고, 회사는 그 공제로는 부족하다는 취지로 답한 셈입니다. 선제적 보상을 공제로 볼 것인지 거절 사유로 볼 것인지가 이 사건에서 갈렸습니다.

거절로 사건이 끝나지도 않았습니다. 한국소비자원은 집단분쟁조정 신청인에 대한 소송 지원을 적극 검토하겠다고 밝혔고, 소송지원변호인단을 통해 소송을 지원하는 절차를 두고 있습니다.

정리하면 회사에게 선택지는 셋입니다. 수락하면 재판상 화해의 효력이 생기고 보상계획서 권고가 따라옵니다. 거절하면 조정은 불성립하고 상대는 소송으로 갑니다. 아무 것도 하지 않으면 15일 뒤에 수락한 것이 됩니다. 세 번째가 가장 나쁩니다. 회사가 첫 번째와 두 번째를 비교해 볼 기회를 잃기 때문입니다.

9월 11일부터 통지문이 조정 안내문이 됐다

2026년 9월 11일 시행 개정법(법률 제21445호)이 이 구도에 세 가지를 더합니다.

첫째, 개정 제34조 제1항에 제6호가 신설됐습니다. 유출 통지에 이것을 적어야 합니다.

개인정보 유출등으로 인한 제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보

회사가 자기 비용으로 보내는 통지문에 청구와 조정 신청 방법을 안내해야 합니다. 이 변화의 크기는 이미 관측된 적이 있습니다. 개인정보보호위원회는 2024년 분쟁조정 실적을 설명하면서 안전성 확보조치 미비를 이유로 한 분쟁조정 사건이 28건에서 62건으로 두 배 이상 늘어난 원인을 "개인정보 유출 사고 통지 시 분쟁조정 절차 안내를 추가한 것"으로 분석했습니다. 권고 수준의 안내가 만든 변화가 그 정도였고, 9월 11일부터 그것이 법률상 기재사항이 됐습니다.

둘째, 제34조 제2항이 신설되어 유출등의 가능성을 알게 된 때에도 통지 의무가 생깁니다. 대상과 범위는 대통령령이 정합니다. 통지를 받는 사람의 수가 곧 조정을 신청할 수 있는 사람의 수입니다.

셋째, 통지 대상 사고의 범위가 넓어집니다. 지금 제34조는 「유출등」을 그 조문 안에서 분실·도난·유출 세 가지로 정의하는데, 개정법은 제23조 제2항에서 분실·도난·유출·위조·변조 또는 훼손 여섯 가지로 정의하고 제34조와 제39조 제3항, 제39조의2 제1항의 문언을 모두 「유출등」으로 정비했습니다. 파일이 훼손되기만 한 사고처럼 지금까지 신고 여부를 두고 다투던 유형이 여기에 걸립니다. 이 부분은 랜섬웨어로 파일이 암호화만 됐다면 유출 신고를 해야 하나에서 신고 의무 쪽을 따로 다뤘습니다.

⚠️ 9월 11일 시행에 맞춘 시행령은 2026년 9월 10일 대통령령 제36671호로 공포됐습니다. 제34조 제2항의 가능성 통지 대상(제39조의2)과 72시간 기한(제39조의3)을 정했고, 제1항 제7호의 추가 기재사항은 따로 정하지 않았습니다. 통지문 서식은 이제 이 조문으로 확정할 수 있습니다.

그래서 지금 무엇을 하는가

유출 대응을 72시간 안에 해야 할 일로만 설계해 두었다면 그 뒤가 비어 있습니다. 저희가 통지·신고를 마친 다음에서 여섯 단계로 정리한 흐름 중 조사와 처분 다음에 오는 것이 이 국면입니다. 지금 손댈 수 있는 것은 넷입니다.

• 조정안 수령일을 기한 관리 대상에 넣습니다. 15일 미회신은 수락이고 그 효력은 재판상 화해입니다. 통지 기한과 같은 급으로 관리해야 합니다.
• 창구가 둘이라는 전제로 대응 체계를 짭니다. 개인정보 분쟁조정위원회와 소비자분쟁조정위원회는 별개이고 기간도 다릅니다.
• 면책 판단 요소 일곱 가지를 사고 대응 기록의 목차로 씁니다. 특히 열람 여부 확인과 확산 방지 조치는 사고 당일에만 기록할 수 있습니다.
• 통지문 서식을 9월 11일 기준으로 다시 만듭니다. 제34조 제1항 제6호의 기재사항이 들어가야 하고, 그 문안이 나중에 청구인의 증거가 된다는 전제로 문장을 고릅니다.

위·수탁 구조라면 회사가 먼저 배상한 뒤 수탁사에서 돌려받는 비율도 같이 봐야 합니다. 이 부분은 수탁사 잘못으로 우리가 먼저 손해배상을 했습니다에서 다뤘습니다.

이 글이 말하지 않은 것

• 진행 중인 사건의 결과. 쿠팡에 대한 두 절차 가운데 개인정보 분쟁조정위원회 사건은 2026년 8월 현재 처리기간을 연장한 상태이고, 소비자분쟁조정위원회 결정에 대한 회사의 수락 여부도 이 글을 쓰는 시점에는 공개되지 않았습니다.
• 판결의 확정 여부. 표에 적은 하급심 사건 중 상소심 결과를 확인하지 못한 건이 있습니다. 특정 사건을 근거로 삼으려면 그 사건의 확정 여부를 따로 확인해야 합니다.
• 개별 사건의 예측. 위 금액들은 각 사건의 사실관계 위에서 나온 결과입니다. 다른 사건의 결과를 가늠하는 기준으로 쓸 수 없습니다.
• 시행령. 제34조 제2항의 통지 대상은 대통령령 제36671호(2026. 9. 10. 공포, 2026. 9. 11. 시행) 제39조의2가 정했고, 제1항 제7호의 추가 기재사항은 공포본에 없습니다.

자주 묻는 질문

Q. 분쟁조정위원회에서 조정안을 받았는데 검토 중이라 회신을 못 했습니다. 어떻게 되나요?

수락한 것으로 봅니다. 개인정보 보호법 제47조 제3항은 조정안을 제시받은 당사자가 제시받은 날부터 15일 이내에 수락 여부를 알리지 않으면 조정을 수락한 것으로 본다고 정합니다. 한국소비자원 소비자분쟁조정위원회의 조정도 같습니다. 소비자기본법 제67조 제2항이 15일 이내에 의사표시가 없는 때에는 수락한 것으로 본다고 정합니다. 두 법 모두 수락하거나 수락한 것으로 보는 경우 그 분쟁조정의 내용이 재판상 화해와 동일한 효력을 갖는다고 정합니다(개인정보 보호법 제47조 제5항, 소비자기본법 제67조 제4항).

Q. 같은 유출 사고인데 조정 신청이 두 군데에서 들어왔습니다. 하나로 합칠 수 있나요?

근거 법률이 달라 별개로 진행됩니다. 개인정보 분쟁조정위원회의 집단분쟁조정은 개인정보 보호법 제49조에 따르고, 한국소비자원 소비자분쟁조정위원회의 집단분쟁조정은 소비자기본법 제68조에 따릅니다. 실제로 한 회사의 유출 사고에서 두 위원회가 각각 절차를 진행한 사례가 있습니다. 처리기간도 다릅니다. 개인정보 보호법은 공고 종료 다음 날부터 60일이고(제49조 제7항), 소비자기본법은 공고 종료 다음 날부터 30일이며 2회에 한해 각 30일씩 연장할 수 있습니다(제68조 제7항).

Q. 조정금액이 1인당 10만 원이면 신청인 수만큼만 물면 되나요?

그렇지 않을 수 있습니다. 개인정보 보호법 제49조 제5항과 소비자기본법 제68조 제5항은 사업자가 집단분쟁조정의 내용을 수락한 경우 위원회가 조정 당사자가 아닌 피해자에 대한 보상계획서를 작성해 제출하도록 권고할 수 있게 합니다. 소비자기본법 시행령 제60조는 권고를 받은 사업자가 권고받은 날부터 15일 이내에 수락 여부를 알리도록 정합니다. 수락의 비용을 조정금액에 신청인 수를 곱한 값으로만 계산하면 이 항이 빠집니다.

참고 자료

• 개인정보 보호법(법률 제20897호) 제34조, 제39조, 제39조의2, 제43조, 제47조, 제48조, 제49조
• 개인정보 보호법(법률 제21445호, 2026년 9월 11일 시행) 제23조 제2항, 제34조, 제39조 제3항, 제39조의2 제1항
• 소비자기본법(법률 제21065호) 제67조, 제68조 · 소비자기본법 시행령 제60조
• 대법원 2025. 12. 4. 선고 2023다311184 판결
• 서울중앙지방법원 2019. 9. 5. 선고 2019나2048 판결 외 하급심
• 한국소비자원 보도자료 「소비자분쟁조정위원회, 쿠팡에 '10만 원 배상책임(현금 또는 쿠팡캐시)' 인정」(2026. 7. 31.) · 「소비자분쟁조정위원회, SKT 해킹사고 피해에 통신요금 할인·포인트 지급 결정」(2025. 12. 21.)
• 개인정보보호위원회 보도자료(2025. 5. 27. · 2025. 9. 4. · 2025. 11. 4.), 2024년 분쟁조정 운영성과(2025. 2. 11.), 2023년 운영성과(2024. 3. 28.)
• 개인정보 분쟁조정위원회 공지사항(2026. 8. 18.) · 개인정보위 제재 전수 표
• SK텔레콤의 조정안 불수용과 한국소비자원의 소송 지원 검토는 2026년 1월 30일 언론 보도로 공개됐습니다.

이 글은 일반적인 법령 해설이며 개별 사안에 대한 법률자문이 아닙니다. 구체적인 사건은 사실관계에 따라 결론이 달라질 수 있습니다.