집단소송법이 통과되면 이미 난 유출 사고도 대상인가요? 법안 15건 부칙으로 본 답

핵심 요약: 제22대 국회에 계류 중인 집단소송 법안 15건 가운데 8건은 부칙에서 법 시행 전에 생긴 사유로 인한 손해배상청구에도 법을 적용한다고 정합니다(우리가 부칙을 읽어 센 수, 2026년 10월 3일 기준). 그런 안이 통과되면 이미 발생한 유출 사고도 집단소송 안으로 들어올 여지가 있습니다. 다만 15건은 모두 법제사법위원회에 머물러 있고, 어느 안이 어떤 문언으로 통과될지는 알 수 없습니다. 회사의 노출액 계산에서 법안이 바꾸는 것은 1인당 인정액보다 그 금액에 곱해지는 사람 수 쪽으로 보입니다.

현행 증권관련 집단소송법(이하 "증권집단소송법")은 적용 범위를 자본시장법상 일부 손해배상청구와 상장법인 증권 거래로 한정합니다(제3조). 따라서 지금은 개인정보 유출 사고에 집단소송을 쓸 수 없습니다. 한편 제22대 국회에는 의안명에 「집단소송」이 들어간 법안이 15건 있고, 그중 8건이 2026년에 발의됐습니다.

이미 난 유출 사고에도 법이 적용되나요?

답은 법안마다 다릅니다. 우리가 15건의 부칙을 읽어 세어 보니 8건이 시행 전 사유로 인한 손해배상청구에도 그 법을 적용한다는 취지의 조항을 두고 있습니다. 다만 2218115는 일부 조문(제41조, 제42조 제2항 단서)을, 2218210은 법정손해배상 준용 조항(제38조 제3항)을 시행 후 사유에만 적용합니다.

나머지 7건 가운데 두 건은 시행일만 정했고, 두 건은 증권 집단소송 경과조치만 두었습니다. 남은 세 건은 시행 후 「최초로 제기되는」 확인소송부터 적용한다고 정하는데, 이 문언이 시행 전 사고에 관한 소송을 막는지는 부칙만으로 판단하기 어렵습니다.

15건은 모두 법제사법위원회에 계류 중입니다. 보도에 따르면 법안심사제1소위원회는 2026년 4월 두 차례 심사에서 결론을 내지 못했고, 쟁점은 소급 범위와 opt-out 여부였습니다. 소급 범위를 소멸시효가 남은 과거 사건으로 설명한 보도도 있으나, 그 설명은 법안 문언이 아닌 보도 기사의 서술입니다.

쉽게 말하면 이미 난 사고가 포함될지는 어느 안이 어떤 부칙으로 통과되는지에 달려 있고 그 결과는 아직 정해지지 않았습니다.

법안이 통과되면 무엇이 달라지나요?

첫째, 판결이 미치는 사람이 달라집니다. opt-out 안에서는 제외신고를 하지 않은 구성원 모두가 확정판결을 받습니다. 2단계형 안에서는 책임확인 판결이 난 뒤 채권신고를 한 피해자에게 그 판결의 효력이 미치는 구조이고, 일부 안은 요건을 갖추면 책임확인과 함께 개별 지급을 명할 수 있는 특례도 둡니다.

둘째, 개인정보 사건이 들어오는 경로가 다릅니다. 2206276·2218115는 개인정보 보호법상 청구를 명시하고, 2211911은 개인정보의 유출 또는 침해로 인한 개인정보 보호법 제39조의 손해배상청구로 범위를 한정합니다. 2210550·2216754·2217322·2218210은 손해배상청구 전반을 다루고, 2213199는 금융거래 과정에서 생긴 손해배상청구로 범위를 정하고 개인정보 청구를 따로 열거하지 않습니다.

셋째, 일부 안에는 자료 확보 장치가 들어 있습니다. 2219951·2215824는 자료보전명령과 법정 외 신문을, 2217322는 법원의 직권 증거조사와 문서제출명령을 둡니다. 2217289에서는 증거개시명령을 거부한 피고에게 대표당사자 주장을 진실로 인정하는 불이익이 따를 수 있습니다.

넷째, 배수 문구는 2단계형 안 세 건에서 나왔습니다. 2215824(제17조 제2항)와 2219951(제15조 제3항)은 5배 이내, 2213144(제10조 제3항)는 3배 이내이고, 세 안 모두 피고가 고의·중과실·반복 위법이 없었음을 증명하면 배수를 적용하지 않습니다. 손해액 산정 방식을 바꾸는 안도 있습니다. 2218115(제42조 제2항 단서)는 개인정보 분쟁에서 정확한 손해액을 산정할 수 없으면 1천만 원 이하에서 대법원규칙으로 정하는 금액을 구성원별 손해액으로 추정하고, 2218210(제38조)은 통계적 방법 등에 의한 산정과 개인정보 보호법 제39조의2 준용을 둡니다. 다만 2218115의 추정 조항과 2218210의 법정손해배상 준용(제38조 제3항)은 부칙에서 시행 후 생긴 사유에만 적용하도록 정했습니다.

노출액은 어떻게 다르게 계산되나요?

지금은 소송에 직접 참여한 원고만 판결을 받습니다. 집단분쟁조정은 회사가 수락하지 않으면 성립하지 않고, 쿠팡이 2026년 9월 조정안 불수용 서면을 내자 신청인단은 공동소송 추진을 밝혔습니다. 따라서 현행 구조에서 판결로 확정되는 회사의 배상 부담은 소송에 실제로 들어온 원고에 대해 인정된 금액에 그칩니다.

인정액의 현재 범위는 판결에서 확인됩니다. 우리 민사 손해배상 판결 표에서 대량 유출 사건 가운데 인용액이 확정된 12건의 1인당 인정액은 7만 원에서 100만 원 사이입니다. 한편 유출 사실만으로 배상이 인정되지는 않습니다. 같은 표에는 정보가 유통되기 전에 회수돼 정신적 손해가 부정된 사건 등이 있고, 대법원은 이메일·암호화 비밀번호 유출을 이유로 한 법정손해배상 청구를 기각했습니다(대법원 2023다311184).

opt-out 안이 통과되면 판결의 효력이 미치는 사람이 소송에 들어온 원고에서 법원이 정한 총원 가운데 제외신고를 하지 않은 구성원으로 넓어질 것으로 판단됩니다. 총원이 곧 사고 피해자 전원인 것은 아니고, 구성원 모두에게 같은 금액이 인정된다는 뜻도 아닙니다. 1인당 인정액은 배수 조항과 손해액 산정 특례가 있는 안을 빼면 법안이 직접 정하지 않습니다. 나아가 소급 조항이 있는 안이라면 이미 난 사고도 이 계산에 들어갈 여지가 있습니다. 손해 인정 여부와 피해자 범위는 사안에 따라 결론이 달라질 수 있습니다.

지금 보상안을 짤 때 무엇을 적어 두어야 하나요?

회사가 지금 짜는 자발적 보상과 조정 대응은 현행법 기준으로 먼저 검토해야 합니다. 자발적 보상과 과징금의 관계는 자발적 보상과 과징금 감경에, 조정안 회신 기한과 수락의 효력은 조정안 15일 수락 간주에 정리했습니다. 그 기록이 장래 집단소송에서 갖는 의미는 최종 문언이 나오기 전에는 판단하기 어렵다고 보입니다.

다만 회사가 추적할 조항은 넷으로 좁힐 수 있습니다. ① 부칙 적용례가 시행 전 사유를 포함하는지 ② 판결 효력이 제외신고 방식인지 채권신고 방식인지 ③ 배수 규정과 면책 요건이 남는지 ④ 자료 확보 조항의 범위입니다. 리스크 공시나 충당금 검토 메모에 검토 기준일과 이 네 조항의 상태를 함께 적어 두면 갱신이 수월할 것으로 보입니다.

유출 사고 대응의 다른 단계는 어디서 보나요?

이 글은 유출 사고 뒤 분쟁 단계의 질문을 다뤘습니다. 통지부터 분쟁까지의 순서는 유출 통지 이후 단계에, 사고 대응 전체는 개인정보 유출 사고 대응 안내에 모아 두었습니다.

자주 묻는 질문

Q. 지금 계류 중인 집단소송 법안이 통과되면 이미 발생한 유출 사고도 소송 대상이 되나요?

법안마다 다릅니다. 우리가 부칙을 읽어 센 결과(2026년 10월 3일 기준) 15건 가운데 8건은 법 시행 전에 생긴 사유로 인한 손해배상청구에도 법을 적용한다고 정합니다. 나머지 7건은 시행일만 두었거나, 증권 집단소송에 관한 경과조치만 두었거나, 법 시행 이후 처음 제기되는 소송부터 적용한다고 정합니다. 15건은 모두 법제사법위원회에 계류 중이어서 어느 안이 어떤 문언으로 통과될지는 알 수 없습니다.

Q. 집단소송이 도입되면 1인당 배상액도 올라가나요?

법안마다 다릅니다. 배수 문구는 2단계형 안 세 건에서 확인됩니다. 의안번호 2215824와 2219951은 손해액의 5배 이내, 2213144는 3배 이내에서 법원이 정할 수 있게 하고, 세 안 모두 피고가 고의·중과실·반복 위법이 없었음을 증명하면 이를 적용하지 않습니다. 이와 별도로 2218115는 개인정보 분쟁에서 정확한 손해액을 산정할 수 없으면 1천만 원 이하에서 대법원규칙으로 정하는 금액을 구성원별 손해액으로 추정하는 조항을 두는데, 이 조항은 시행 후 생긴 사유에만 적용됩니다. 그 밖의 안들이 주로 바꾸는 것은 판결의 효력이 미치는 사람의 범위입니다.

Q. 유출 사실이 확인되면 피해자 전원에게 배상해야 하나요?

그렇게 단정할 수 없습니다. 법원이 유출 사실만으로는 정신적 손해를 인정하지 않은 사건이 있습니다. 대법원 2023다311184 사건(2025. 12. 4. 선고, 우리 판결 표 기준)에서는 이메일과 암호화된 비밀번호 유출에 대한 법정손해배상 청구가 기각됐습니다. 집단소송 법안이 통과되더라도 손해의 인정 여부는 사건마다 따로 판단될 것으로 보입니다.

참고 자료

• 제22대 국회 의안(열린국회정보, 2026년 10월 3일 조회): 2202896, 2206276, 2210550, 2211911, 2213144, 2213199, 2215824, 2215877, 2216527, 2216754, 2217289, 2217322, 2218115, 2218210, 2219951
• 증권관련 집단소송법 제3조 · 개인정보 보호법 제39조, 제39조의2
• 대법원 2025. 12. 4. 선고 2023다311184 판결 · 민사 손해배상 판결 표
• 보도: 머니투데이(2026. 4. 22.), 아시아경제(2026. 4. 29.), 헤럴드경제(2026. 6. 12.), 뉴스핌(2026. 9. 8.), 비즈니스포스트(2026. 9. 9.), 메트로신문(2026. 9. 16.)

이 글은 계류 중인 법안에 관한 일반적인 해설이며 개별 사안에 대한 법률자문이 아닙니다. 법안은 심사 과정에서 내용이 바뀔 수 있습니다.