유출 피해자에게 먼저 보상하면 과징금이 줄어드나요? 결정문 8건의 피해 회복 감경

유출 통지를 보내고 나면 보상안 결재가 올라옵니다. 전 이용자에게 포인트를 줄지, 신청자에게만 이용권을 줄지, 다음 달 요금을 할인할지를 놓고 재무는 비용을 묻고 법무는 과징금에 도움이 되는지를 묻습니다. 고시는 「피해의 회복 조치를 이행한 경우」 30% 이하 감경이라고만 정하므로, 어떤 보상이 인정됐는지는 결정문을 세어 봐야 압니다. 이 글은 datalaw.kr 제재 DB에서 보상 사실이 적힌 결정문 8건을 찾아 비교한 결과입니다.

핵심 요약 피해 회복 조치는 과징금 산정의 2차 조정에서 「1차 조정을 거친 금액의 100분의 30 이하」를 감경하는 사유입니다(과징금 부과기준 고시 제10조 제2항 제2호). 결정문 전문을 검색한 결과 유출 뒤 보상·배상 사실이 적힌 의결은 적어도 8건이고, 4건은 산정에 반영됐고 4건은 반영되지 않았습니다. 이용자 2명 배상과 배상책임보험 가입만으로는 인정하기 어렵다고 적힌 사건이 있지만, 전원 보상이 감경 사유에 적히지 않은 사건도 있어 대상 범위만으로 갈리지는 않았습니다. 2026년 9월 11일 시행 개정 고시는 신속 대응 감경(40% 이하)을 신설하고 보험 가입 제외 단서를 「당연 해석」이라며 삭제했습니다.

보상은 과징금 계산의 어디에 들어가나요?

보상은 법률, 시행령, 고시 세 층에 걸쳐 있습니다. 2026년 9월 11일 시행 개정 개인정보 보호법 제64조의2 제5항 제6호는 과징금을 부과할 때 「위반행위로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부」를 고려하게 하고, 시행령 별표 1의5 제2호 라목 2)는 같은 사항을 2차 조정에서 1차 조정 금액의 100분의 50 범위로 반영하게 합니다. 고시(개인정보보호위원회고시 제2026-12호) 제10조 제2항 제2호는 이를 「개인정보 분쟁조정, 민사조정 등을 통해 정보주체에게 발생한 피해에 대한 원상회복, 손해배상 또는 이에 상당하는 필요한 피해의 회복 조치를 이행한 경우」 100분의 30 이하 감경으로 구체화합니다. 「이하」라는 상한만 있어서 얼마를 감경할지는 위원회가 정합니다.

이 자리는 2023년에 옮겨졌습니다. 구 고시(제2022-3호) 제9조 제1항은 부과과징금 결정 단계에서 피해구제 조치에 90% 범위의 감경을 두었고, 2023년 9월 15일 시행 제2023-3호부터 2차 조정의 30% 이하 감경이 됐습니다. 아래 표의 2024년 숙박 예약 서비스 사건은 위반행위가 2023년 4월에 끝나 구 고시가 적용됐습니다.

매우 중대한 위반행위에서는 고시와 시행령을 함께 봐야 합니다. 고시 제10조의2가 감경 배제·축소 대상으로 열거한 호에 제2호(피해 회복)는 없지만, 시행령 별표 1의5 제2호 마목은 매우 중대한 위반행위이면 「1차 조정 및 2차 조정에서 산정되는 감경의 전부 또는 일부를 적용하지 않을 수 있다」고 정합니다. 산정 단계 전체는 과징금 감경이 실제로 인정된 사유들에 있고, 감경률을 넣어 금액이 어떻게 달라지는지는 과징금·과태료 산정 계산기에서 확인할 수 있습니다.

결정문에 보상 사실이 적힌 8건에서 무엇이 갈렸나요?

제재 DB의 의결 889건(2020. 11. 25.~2026. 8. 26.) 중 텍스트로 검색할 수 있는 750건을 보상, 배상, 합의금, 이용권, 요금 할인 등의 검색어로 훑고 산정·감경 절과 사실관계 절을 읽어 확인했습니다. 스캔본 90건과 텍스트 미수집 49건은 검색하지 못했고, 검색어로 찾은 것이라 아래 숫자는 하한입니다. 보상·배상·합의금 지급이나 보상안 시행 사실이 적힌 의결은 적어도 8건이고, 4건은 감경 사유로 적혔고 4건은 적히지 않았습니다.

8건 가운데 위원회가 이유를 적은 곳은 제2023-004-034호 하나뿐입니다. 이 결정문은 「보험에 가입한 사실과 유출대상 중 2명에게 배상하였다는 사정만으로 … 필요한 구제조치를 하였다고 인정하기 어렵다」며 과징금을 유지했고, 보험 가입은 당시 법(제39조의9)상 의무라는 점도 적었습니다. 반영이 확인된 온라인 숙박 예약 서비스 사건과 에스케이텔레콤 사건은 유출 대상 전체를 향한 조치였고, 이 사건은 2명에게 한 일부 배상이었습니다.

나머지 미반영 3건은 보상을 고려하지 않은 이유가 결정문에 적혀 있지 않습니다. 미리디 사건은 유출 대상자 전원에게 3억 원 상당을 보상했는데도 감경 사유에 보상이 없으므로, 전체 보상이 반영된 쪽에 있다는 것은 관찰이지 기준이 아닙니다. 과태료 사건 3건(언더독스, 미리디, 숨수면의원)은 과징금 고시가 아니라 과태료 부과기준으로 감경을 계산합니다.

에스케이텔레콤 사건은 매우 중대한 위반행위로 판단됐는데도 2차 조정에서 시정 완료, 피해 회복 및 확산 방지 조치 이행, 보호 노력 세 사유를 합쳐 50%가 감경됐습니다. 합산값이어서 피해 회복 몫은 나눠 볼 수 없고, 클래스유 사건의 85%도 부담능력 단계에서 여러 사정을 「종합적으로 고려」한 값이라 마찬가지입니다.

쿠팡 사례는 어떻게 봐야 하나요?

개인정보보호위원회는 2026년 6월 10일 쿠팡에 과징금 6,246억 8,100만 원 등을 의결했고, 쿠팡은 2025년 12월 29일 1인당 총 5만 원 상당의 구매이용권 보상안을 발표해 2026년 1월 15일부터 순차 지급한다고 밝혔습니다. 이 의결의 결정문은 제재 DB에 아직 수록되지 않아 위 8건에 넣지 않았습니다. 보도(조선비즈 2026. 6. 11.)에 따르면 브리핑에서 개인정보위 측은 구매이용권 등 피해 보상이 감경에 「일부 고려됐다」고 답하면서, 실제 이용 규모는 쿠팡이 구체적으로 답하지 않아 확인하지 못했다고 했습니다. 결정문이 공개되기 전까지는 보도 이상으로 말할 수 없습니다.

9월 11일 개정 고시에서 달라진 것

직전 고시(제2026-5호, 2026년 5월 19일 시행)의 제2호는 「필요한 피해의 회복 및 피해 확산 방지 조치를 이행한 경우(다만, 법 제39조의7에 따른 손해배상책임의 이행을 위한 보험 등의 가입은 제외한다)」였습니다. 제2026-12호는 확산 방지를 떼어 내고 보험 단서를 지우면서 제개정이유에 「피해의 확산 방지 조치 관련 감경 사항은 별도(안 제10조제2항제5호)로 분리하고, 피해 회복의 조치 이행에 손해배상책임 이행을 위한 보험 등의 가입이 제외되는 것은 당연 해석이므로, 불필요하여 해당 문구 삭제」라고 적었습니다. 문구가 사라졌을 뿐 보험 가입이 피해 회복이 아니라는 해석은 그대로입니다.

떼어 낸 확산 방지는 신설 제5호로 갔습니다. 대응 체계를 구축·운영하고 조기 탐지, 신속한 신고·통지, 확산 방지 조치 이행 등으로 「안전한 보호 체계로 신속하게 회복ㆍ개선한 경우」 100분의 40 이하를 감경하고, 반대편에 신설된 제1항 제2호는 유출등을 알고도 기한 내 신고·통지를 하지 않았고 확산 방지 조치도 이행하지 않은 경우 100분의 30 이하를 가산합니다. 제2호와 제5호를 모두 인정받더라도 감경 합계는 제3항에 따라 100분의 50을 넘지 못하고, 부칙 제2조에 따라 시행 전에 종료된 행위에는 종전 규정이 적용됩니다.

조정과 소송에서는 따로 계산됩니다

보상은 손해배상 소송에서 다시 계산됩니다. 개인정보 보호법 제39조 제3항은 고의·중과실 유출등에서 법원이 손해액의 5배 범위에서 배상액을 정할 수 있게 하고, 제4항은 그 배액 배상액을 정할 때 「개인정보처리자가 정보주체의 피해구제를 위하여 노력한 정도」(제8호) 등을 고려하게 합니다. 대법원 2025. 12. 4. 선고 2023다311184 판결은 법정손해배상 사안에서 정신적 손해가 없다는 처리자 주장을 판단할 때 피해 발생·확산 방지를 위해 취해진 조치의 내용 등을 종합 고려하되 「법정손해배상제도의 취지가 형해화되지 않도록 주의하여야 한다」고 했고, 서울고등법원 2008. 11. 25. 선고 2008나25888 등 판결은 위자료 산정 요소로 사고발생 안내의 적절성과 피해접수·확인, 피해회복조치 이행 여부를 들었습니다(판결 DB).

조정에서도 이미 지급한 보상이 다뤄집니다. 한국소비자원 소비자분쟁조정위원회의 에스케이텔레콤 결정(2025. 12. 18.)은 8월 통신요금 50% 할인을 전액 공제하되 요금제별 차등을 균등화했고, 그에 앞서 에스케이텔레콤은 개인정보 분쟁조정위원회의 조정안(각 30만 원, 2025. 11. 3.)에 대해 「선제적 보상 등이 조정안에 반영되지 않아 수용하지 않기로 했다」고 밝혔습니다(시사저널e 2025. 11. 22. 보도). 두 위원회는 다른 기관이고, 상세는 개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다에 있습니다. 시행령 제52조는 집단분쟁조정 대상 50명을 셀 때 「피해보상에 관한 합의가 이루어진 정보주체」를 제외하는데, 일방적으로 지급한 쿠폰을 받은 것만으로 이 「합의」가 되는지는 조문이 말하지 않습니다. 배상책임보험 약관에는 「위로금·위문품 비용에 기인한 손해배상청구」를 면책하는 예(현대해상 약관 제4조 제29호)가 있으므로, 위로금 성격의 보상은 유출 과징금도 보험으로 처리되나요?에서 따로 봐야 합니다.

보상안을 설계할 때 무엇을 남겨야 하나요?

1. 대상 범위를 정하고 이유를 남깁니다. 대상이 드러난 반영 사건 2건은 유출 대상 전체를 향한 조치였고, 미반영 사건 중 제2023-004-034호는 2명 배상, 와이엘랜드 사건은 요청자 대상 유심 교체였습니다. 다만 전원 보상이 반영되지 않은 미리디 사건도 있습니다.
2. 지급 내역과 실제 사용 내역을 숫자로 남깁니다. 쿠팡 브리핑에서 개인정보위는 구매이용권의 실제 이용 규모를 확인하지 못했다고 했습니다.
3. 조사 단계에서 보상 사실을 자료로 정리해 냅니다. 표의 8건에서 보상은 결정문의 사실관계 절이나 감경 절에 대상·내역·시점과 함께 적혔습니다.
4. 보험 가입은 보상 실적으로 적지 않습니다. 개정 고시가 제외 단서를 지운 이유는 「당연 해석」이었고, 제2023-004-034호도 같은 취지입니다.
5. 통지문의 권리 안내와 보상 안내를 맞춥니다. 개정법 제34조 제1항 제6호는 유출 통지 사항에 손해배상 청구와 분쟁조정 등 법적 권리와 행사 방법을 넣었습니다. 보상 수령이 합의나 청구권 포기를 뜻하는지 문안에서 분명히 하고 권리 안내와 어긋나지 않게 합니다.

보상안은 사고 국면의 결재이지만 읽히는 자리는 조사 국면의 의견제출과 결정문입니다. 사고 인지 후 시간표는 유출 인지 후 72시간에 있습니다.

자주 묻는 질문

Q. 유출 뒤 전 이용자에게 포인트를 지급하면 과징금 감경이 확실히 인정되나요?

확실하지 않습니다. 고시 제10조 제2항 제2호는 「100분의 30 이하」라는 상한만 둔 재량 규정이고, 결정문에 보상 사실이 적힌 8건 중 4건은 산정에 반영되지 않았습니다. 반영하지 않은 이유를 적은 결정문은 1건뿐이고, 전원 보상이 감경 사유에 적히지 않은 사건도 있습니다.

Q. 개인정보보호배상책임보험에 가입해 두었으면 피해 회복 감경을 받을 수 있나요?

보험 가입 자체는 피해 회복 조치가 아닙니다. 직전 고시의 보험 제외 단서를 2026년 9월 11일 개정 고시가 지운 이유는 「당연 해석」이라는 것이었고, 제2023-004-034호 결정문도 보험 가입과 이용자 2명 배상만으로는 피해 회복 조치를 인정하기 어렵다며 과징금을 유지했습니다.

이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.

참고 자료

• 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 제34조 제1항, 제39조 제3항·제4항, 제64조의2 제5항
• 개인정보 보호법 시행령(대통령령 제36671호) 제52조, 별표 1의5 제2호 라목·마목
• 「개인정보 보호법 위반에 대한 과징금 부과기준」 개인정보보호위원회고시 제2026-12호(2026. 9. 11. 발령·시행) 제10조·제10조의2, 부칙 제2조. 직전본 제2026-5호(2026. 5. 19. 시행) 제10조 제2항 제2호
• 표에 적은 결정문 8건은 제재 DB에서 의결번호로 조회할 수 있습니다
• 대법원 2025. 12. 4. 선고 2023다311184 판결
• 서울고등법원 2008. 11. 25. 선고 2008나25888 등 판결
• 과징금 감경이 실제로 인정된 사유들: 산정 단계와 감경 사유 전체
• 개인정보 유출 조정안, 15일 안에 회신하지 않으면 수락입니다: 소비자분쟁조정위원회 결정과 개인정보 분쟁조정위원회 조정안
• 유출 과징금도 보험으로 처리되나요?: 배상책임보험 약관의 면책 조항
• 유출 인지 후 72시간