소액·다수 소비자 피해 구제 위해 집단소송제 도입하라

▶2025년 이후 제재 대규모 유출 사고 16건 피해 규모 약 8,188만 명
▶초대형 유출 3건 피해 규모만 약 8,032만 명…국민 다수 위험 노출
▶대규모 유출사고 관련 과징금 6천억 원 넘어도 실질적 피해 회복 어려워
▶개별소송‧집단분쟁조정 한계 넘어 실질적 배상 위한 집단소송제 필요
▶피해에 상응하는 배상책임으로 개인정보 보호 투자와 사고 예방 이끌어야

최근  대규모  개인정보  유출  사고가  끊이지  않고  있다.  개인정보보호위원회(이하 ‘개인정보위’)에  따르면  2025년  개인정보  유출  신고는  447건으로  전년도  307건보다 45.6%  증가했다.  개인정보위는  2025년  한  해에만  227건을  조사‧처분해  과징금 1,677억  원과  과태료  5억8,720만  원을  부과했지만,  2026년에는  상반기에만  다시 432건의 유출 신고가 접수됐다. 개인정보위 제재가 이어지고 있음에도 개인정보 유출 사고의 증가세는 멈추지 않고 있다.
□ 수천만 명 단위 개인정보 유출…국민 다수가 반복적 유출 위험에 노출
개인정보위가  2025년  1월  이후  제재를  의결한  개인정보  유출  사건  가운데  피해자 수가  10만  명  이상인  16건을  단순  합산하면  약  8,188만  명분의  개인정보가  유출된 것으로 나타난다. 이 가운데 SK텔레콤과 쿠팡의 개인정보 유출 사고에서 확인된 피해 규모만  약  6,079만  명분으로  16건  전체의  약  74%를  차지한다.  조사가  진행  중인 티빙 사건에서 잠정 확인된 약 1,953만 명까지 더하면, 피해자 수 1천만 명 이상인 대규모 개인정보 유출 사건 3건의 피해 규모만 약 8,032만 명분에 이른다.

동일한 정보주체가 여러 사고에 중복 포함될 수 있어 이를 그대로 실제 피해자 수로 볼  수는  없다.  그러나  개인정보  유출이  더  이상  일부  소비자에게만  발생하는 예외적인  사고가  아니라,  국민  다수가  일상적인  서비스를  이용하는  과정에서 반복적으로 노출될 수 있는 국가적 소비자 안전 문제로 확대됐다는 점은 분명하다.

□ 민간뿐 아니라 법원‧정부‧대학‧공공기관 등 공공부문에서도 유출 피해 반복
개인정보  유출은  민간  사업자만의  문제가  아니다.  2025년  전체  유출  신고  447건 가운데 중앙행정기관‧지방자치단체‧공공기관‧지방공기업‧각급 학교 등 공공부문 신고는 128건으로 전체의 28.6%를 차지했고, 이는 전년의 104건보다 23% 증가한 수치다.
법원행정처에서는 자필 진술서‧혼인관계증명서‧진단서 등이 포함된 전자소송 자료 약 1,014GB가  유출됐다.  행정안전부  ‘정부24’에서는  소스코드  개발  오류로  1,233명의 생활기록부‧졸업증명서‧주민등록번호  등이  타인에게  공개됐고,  ‘공유누리’에서는 공공주차장  담당자  3,828명의  이름‧휴대전화번호‧이메일‧소속기관  정보가  검색엔진에 노출됐다.  농촌진흥청과  소속기관이  정보시스템  유지‧관리를  위탁한  미소테크의 네트워크  저장장치에서는  개인정보  약  57만5천  건이  해커에게  탈취돼  다크웹에 게시됐다.  전북대학교에서는  약  32만  명의  학사정보가  유출됐고,  이  가운데 주민등록번호가  포함된  자료만  약  28만  건에  달했다.  한국연구재단에서는  약  12만 명의 성명‧휴대전화번호‧이메일·계좌번호 등 44개 항목의 개인정보가 유출됐다.
조사‧후속  절차가  진행  중인  사건도  있다.  서울시설공단이  운영하는  ‘따릉이’에서는 약  462만  명의  휴대전화번호‧생년월일‧성별‧이메일‧주소‧체중  등이  유출됐다. 중소벤처기업부가  주관하고  창업진흥원이  운영한  ‘모두의  창업’에서도  합격자  5천 명의 이메일‧합격 여부‧창업 아이디어 요약본‧심사평 등이 유출됐다.

□ 주요 유출 사고 제재만 6천억 원 넘어도 사고는 계속…사후제재 한계
개인정보위가  2025년  이후  제재를  의결한  사건  가운데  피해자  규모가  10만  명 이상인  16건과  전체  피해자  수가  명확하게  특정되지  않은  6건에  부과한  개인정보 유출 관련 과징금은 총 6,001억2,801만 원, 과태료는 1억3,140만 원에 이른다. 역대 최대  규모인  6,246억8,100만  원의  과징금이  부과된  쿠팡의  경우,  다른  위반행위에 대한 과징금을 제외하고 개인정보 유출과 직접 관련된 과징금만 4,235억7,500만 원에 달한다.  이처럼  수천억  원의  행정제재가  반복되는데도  개인정보  유출  사고가 계속되고 있다는 사실은 사고 이후의 제재만으로 개인정보처리자의 사전 예방투자를 충분히 이끌어내는 데 한계가 있음을 보여준다.

더  큰  문제는  개인정보위가  부과하는  막대한  과징금은  법  위반에  대한  행정제재로 피해  소비자에게  직접  지급되는  손해배상금이  아니라는  점이다.  개인정보처리자에 대한  행정적  책임이  강화되는  것과  개인정보  유출  피해자가  자신의  손해를 실질적으로 배상받는 것은 별개의 문제다.

□ 손해배상제도 있어도 실질적인 피해구제로 이어지기 어려워
「개인정보 보호법」은 개인정보처리자의 보호법 위반행위로 손해를 입은 정보주체에게 손해배상청구권을  인정하고,  개인정보처리자가  고의‧과실이  없음을  증명하지  못하면 책임을  면할  수  없도록  규정한다(개인정보  보호법  제39조  제1항).  다만  증명책임이 전환되는 범위는 개인정보처리자의 고의‧과실에 한정되고, 개인정보처리자의 위법행위 사실과 손해, 인과관계는 정보주체가 주장‧증명해야 한다. 대법원도 개인정보처리자가 보호법을  위반한  행위를  했다는  사실  자체는  정보주체가  주장·증명해야  한다고 판시한 바 있다(대법원 2024. 5. 17. 선고 2018다262103 판결).
개인정보처리자의  고의‧중과실로  개인정보가  유출된  경우,  법원은  손해액의  5배를 넘지 않는 범위에서 배상액을 정할 수 있다(개인정보 보호법 제39조 제3항). 이 경우 법원은  피해  규모,  위반행위의  기간‧횟수,  개인정보처리자가  취득한  경제적  이익, 벌금‧과징금, 피해구제 노력 등을 고려해 배상액을 정한다(같은 조 제4항).
또,  개인정보  유출과  관련하여  정보주체는  구체적인  손해액을  증명하지  않고  300만 원  이하의  법정손해배상을  청구할  수  있다.  다만  대법원은  정보주체가  손해의  발생 사실을  구체적으로  주장‧증명할  필요까지는  없다고  보면서도,  개인정보처리자가 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 주장‧증명하여 법정손해배상 책임을 면할 수 있다고 판시했다(대법원 2025. 12. 4. 선고 2023다311184 판결).
결국  「개인정보  보호법」이  여러  손해배상  수단을  마련하고  있더라도  이를  실제 권리구제로 연결하기 위해 피해자가 감당해야 하는 부담은 여전히 크다. 사고 원인과 보안조치  이행  여부,  접속기록,  접근권한  관리,  개인정보  보유‧파기  내역  등  책임 판단에  필요한  핵심  자료  대부분을  개인정보처리자가  보유하고  있어  정보  비대칭도 크다.  자료제출명령제도가  마련돼  있더라도  피해자가  소송을  제기한  이후  활용되는 수단이라는 한계가 있다.
무엇보다  개인정보  유출은  개별  피해액이  작거나  구체적으로  산정하기  어려운  반면 동일한 사고로 다수가 피해를 입는 전형적인 소액‧다수 피해 사건이다. 소송으로 얻을 수 있는 경제적 이익보다 소송에 필요한  시간과 비용이 더 크다면 상당수 피해자는 권리행사를  포기하게  된다.  그  결과  전체  피해  규모에  비해  개인정보처리자가  실제 부담하는 민사상 책임은 그에 미치지 못하는 책임의 공백이 발생할 수 있다.

현행  집단분쟁조정도  이러한  한계를  충분히  해소하지  못한다.  개인정보처리자가 조정안을  수락해야  조정이  성립하고,  조정에  참여하지  않은  피해자에  대한 보상계획은  권고할  수  있을  뿐  강제할  수  없다.  개인정보  단체소송도  개인정보 침해행위의  금지‧중지를  구하는  제도로  이미  발생한  다수  피해자의  손해배상을 일괄적으로 실현하는 절차는 아니다.
이러한  구조에서는  다수  피해자에  대한  개인정보처리자의  책임  이행은  실질적인 금전배상보다  자발적으로  제공하는  포인트‧쿠폰‧데이터‧이용권  수준에서  이루어질 가능성이  크다.  반면  인증수단  변경과  계정보안  강화에  필요한  시간과  비용, 명의도용‧피싱‧  스미싱  등  2차  피해  위험에  대한  지속적인  불안과  부담은  피해자 개인의 몫으로 남게 된다.
반복되는  개인정보  유출과  형식적인  보상  사례가  누적되면서  국내  제도만으로는 실질적인  피해구제를  받기  어렵다는  소비자들의  문제의식도  커지고  있다.  실제로 최근에는  개인정보  유출  피해를  입은  국내  소비자들이  보다  폭넓은  집단적 권리구제와 손해배상 가능성을 기대하며 미국 법원에 집단소송을 제기하는 사례까지 나타나고  있다.  국내에서  발생한  대규모  소비자  피해의  실질적인  배상을  위해 피해자들이 미국 법원까지 찾아가 집단소송을 제기하는 현실은 국내 소비자 피해구제 체계의 한계를 보여주는 단면이다.

□ 소액‧다수 소비자 피해의 실질적 손해배상을 위한 집단소송제 도입해야
대규모 개인정보 유출은 동일한 개인정보처리자의 위법행위나 의무 위반으로 다수의 정보주체에게  동일하거나  유사한  피해가  발생한다는  점에서  집단적  권리구제가 필요한  대표적인  영역이다.  국내  제도의  한계  때문에  피해자들이  미국의  집단소송 절차까지  찾아야  하는  상황을  더  이상  반복해서는  안  된다.  핵심은  동일하거나 공통된  원인으로  다수의  소비자에  대한  피해가  발생했을  때,  공통된  사실관계와 개인정보처리자의  법적  책임을  하나의  절차에서  효율적으로  심리하고,  피해자가 개별적으로  동일한  소송을  반복하지  않더라도  실질적인  손해배상을  받을  수  있도록 하는 것이다.
집단소송제가  도입되면  지금처럼  공동소송에  적극적으로  참여한  일부  피해자에게만 제한적으로  배상이  이루어지는  구조를  개선할  수  있다.  동시에  사고로  발생한  전체 피해 규모에 상응하는 민사상 책임이 현실화되면 개인정보처리자가 개인정보 보호와 정보보안에 대한 사전투자를 강화할 유인도 커진다.

집단소송제는 피해 발생 이후의 배상만을 위한 제도가 아니다. 개인정보 유출 위험을 가장  효과적으로  관리할  수  있는  개인정보처리자가  관리  실패로  발생한  비용을 부담하게  함으로써  개인정보  유출로  인한  피해를  실질적으로  회복하고,  그  책임이 다시 사고 이전의 예방투자를 촉진하는 구조를 만들기 위한 것이다.
행정제재와  피해자에  대한  집단소송을  통한  민사상  손해배상은  서로  다른  역할을 한다.  행정제재가  법  위반행위에  대한  국가의  조치라면,  집단소송은  그  위법행위로 피해를  입은  다수  소비자의  권리를  실질적으로  회복하기  위한  절차다.  대규모 개인정보  유출이  반복되고  행정제재  규모도  수천억  원에  이르는  지금,  행정제재와 피해구제 사이의 공백을 더 이상 방치해서는 안 된다.

이에 <소비자주권시민회의>는 다음과 같이 촉구한다.

〇  정부와  국회는  개인정보  유출을  비롯한  소액‧다수의  소비자  피해를  실질적으로 구제할 수 있는 집단소송제를 조속히 도입하라.
〇  집단소송제가  명목상  제도에  그치지  않도록  피해자의  실질적인  소송  접근성과 배상  가능성을  보장하고,  동일한  원인으로  발생한  다수  피해를  하나의  절차에서 효율적으로 구제할 수 있도록 제도를 설계하라.
〇  개인정보  유출  사고를  발생시킨  개인정보처리자는  포인트‧쿠폰‧데이터‧이용권  등 자사  서비스  이용을  전제로  한  보상으로  책임을  대신하지  말고,  피해의  성격과 규모에 상응하는 실질적인 손해배상에 나서라.
〇 개인정보를 수집‧보유하는 기업과 공공기관은 사고에 따른 손해배상책임까지 조직 운영의  위험으로  인식하고  개인정보  보호  인력과  정보보안  시스템에  대한  사전 예방투자를 강화하라.
수천억  원의  과징금이  부과돼도  피해자가  실질적인  손해배상을  받지  못한다면 개인정보  보호의  마지막  단계인  피해회복은  여전히  비어있는  셈이다.  이제는 행정제재를  강화하는  데서  더  나아가  대규모  개인정보  유출로  발생한  피해가  실제 배상으로 이어지고, 그 배상책임이 다시 개인정보처리자의 사전 예방투자를 촉진하는 책임구조를 마련해야  한다. <소비자주권시민회의>는 반복되는  대규모 개인정보 유출 사고를  예방하고  피해  소비자의  정당한  권리를  실질적으로  구제하기  위해  정부와 국회가  소액‧다수  소비자  피해에  적용할  수  있는  집단소송제를  조속히  도입할  것을 촉구한다.