개인정보 유출, 나라마다 보상은 얼마나 다를까 — 12개 법역 법령·배상 비교

같은 규모의 유출이 나도 어느 나라에서 났는지에 따라 피해자가 받는 것이 크게 다릅니다. 한국과 일본에서는 회사가 스스로 내놓는 이용권·상품권이 가장 흔하고, 미국과 캐나다에서는 집단소송 화해금이, 유럽에서는 법원이 인정하는 위자료가 중심입니다. 이 글은 12개 법역의 법령과 실제 사례를 2026년 11월 8일 기준으로 비교합니다. 모든 수치에는 아래 출처가 있으며, 확인하지 못한 값은 "확인 안 됨"으로 적었습니다. 일반 정보이며 법률 자문이 아닙니다.

12개 법역 법령 비교표

법적 쟁점: 누가, 어떻게 회사에 돈을 내게 하나

• 한국: 개인정보 보호법 제39조의2는 손해액을 증명하지 않아도 300만 원 이하를 청구할 수 있게 하고, 회사가 고의·과실이 없음을 증명해야 합니다. 제39조의 징벌적 손해배상은 2023년 개정으로 3배에서 5배로 늘었습니다. 2014년 카드 3사 유출 소송에서 대법원은 1인당 10만 원 배상을 확정했습니다. 개인정보 분쟁조정은 회사가 거부하면 효력이 없습니다.
• 일본: 법정손해배상이 없어 피해자는 불법행위 소송으로 위자료를 청구합니다. 최고재판소는 2017년 10월 23일 베네세 사건에서 이름·주소 같은 정보의 유출도 프라이버시 침해가 될 수 있다며 사건을 돌려보냈고, 이후 하급심은 1인 1,000~3,000엔을 인정했습니다.
• 미국: 연방 차원의 일반 유출법이 없어 주법과 집단소송이 중심입니다. 캘리포니아 CCPA는 보안 의무 위반 유출에 소비자 1인·사고 1건당 107~799달러(2025년 물가 조정)의 법정손해배상을 둡니다. 상장사는 사고가 중대하다고 판단한 뒤 4영업일 안에 SEC에 공시해야 합니다.
• EU: GDPR 제82조로 정신적 손해도 배상받을 수 있습니다. 유럽사법재판소는 2023년 5월 4일 Österreichische Post 판결(C-300/21)에서 위반만으로는 부족하고 손해가 있어야 하지만 '심각성 기준'은 둘 수 없다고 했고, 12월 14일 판결(C-340/21)에서는 악용에 대한 두려움도 손해가 될 수 있다고 봤습니다. 독일 연방대법원은 2024년 11월 18일 페이스북 스크래핑 사건(VI ZR 10/24)에서 잠깐의 통제 상실도 손해이며 100유로 정도의 위자료는 문제없다고 판단했습니다.
• 영국: 감독기관(ICO)은 배상을 명령하지 못합니다. 대법원은 2021년 11월 10일 Lloyd v Google 판결에서 '통제 상실'만을 이유로 한 사람당 똑같은 금액을 일괄 청구하는 대표소송을 받아들이지 않았습니다.
• 호주: 2025년 6월 10일부터 심각한 사생활 침해를 직접 소송할 수 있게 됐습니다(고의·무모한 침해). 2025년 10월 8일 연방법원은 Australian Clinical Labs에 프라이버시법 첫 민사 제재금 580만 호주달러를 명령했습니다. 제재금은 피해자에게 가지 않습니다.
• 브라질: 상급법원(STJ)은 2023년 3월 7일(AREsp 2.130.619) 일반 개인정보 유출만으로 정신적 손해가 추정되지 않는다고 판단했습니다. 2025년 2월에는 민감정보 유출에서 손해 추정을 인정한 판결(REsp 2.121.904)이 보도됐습니다.
• 인도: DPDP법은 벌금을 국고로 보내고 피해자 배상 조항을 두지 않습니다. 기존 IT법 제43A조(배상 청구)는 핵심 의무가 시행되는 2027년 5월에 삭제될 예정입니다.
• 중국: 개인정보보호법 제69조는 회사가 과실이 없음을 증명하지 못하면 배상하게 하고, 제70조는 검찰·소비자단체가 공익소송을 낼 수 있게 합니다.

사례 비교: 얼마가 유출됐고, 보상까지 며칠 걸렸나

발표일은 회사나 당국이 처음 공개한 날, 보상일은 회사가 보상안을 발표했거나 법원·당국이 결정한 날입니다. 걸린 날은 두 날짜의 차이입니다. 둘 중 하나의 정확한 날짜를 확인하지 못한 경우는 "—"로 두었습니다.

표에서 두 가지 흐름이 보입니다. 첫째, 회사가 스스로 내놓는 보상은 빠릅니다. 오나마에닷컴 3일, Optus 4일, 타임즈카 28일, 쿠팡 30일입니다. 다만 대부분 현금이 아니라 이용권·서비스이고 금액도 회사가 정합니다. 둘째, 법원을 거치는 보상은 느립니다. 미국·캐나다·영국의 화해는 발표에서 1년 3개월~3년이 걸렸고, 호주의 Optus·Medibank 소송은 2026년 11월 현재 끝나지 않았습니다. 한국 SK텔레콤처럼 분쟁조정안(1인 30만 원)을 회사가 거부하면 결국 소송으로 갑니다.

지역별로 내가 할 일

• 한국: 회사 보상은 보상 모아보기에서 기한을 확인하세요. 회사가 거부하면 개인정보 분쟁조정위원회 조정이나 소송을 검토할 수 있고, 법정손해배상(300만 원 이하)은 손해액을 증명하지 않아도 됩니다. 통지 이후 할 일은 유출 통지를 받았을 때 할 일에 정리했습니다.
• 일본: 사과금·상품권은 회사 공지에서 대상과 신청 기한을 확인합니다. 상담은 소비자 핫라인 188이나 개인정보보호위원회 상담 다이얼로 합니다.
• 미국: 집단소송 화해는 청구 마감이 있습니다. 통지 편지를 보관하고, 법원이 승인한 공식 화해 사이트에서만 청구하세요.
• EU·영국: 회사에 먼저 서면으로 배상을 요구하고, 감독기관에 민원을 낼 수 있습니다. 영국 금융감독청(FCA)은 청구 대행업체 없이 직접 청구할 수 있다고 안내합니다.
• 캐나다·호주: 감독기관(OPC·OAIC)에 민원을 낼 수 있습니다. 호주 OAIC는 결정으로 배상을 명령할 수 있고, 캐나다 OPC 보고 뒤에는 연방법원에 배상을 청구할 수 있습니다.
• 어디서든: 보상 신청을 대신해 준다며 수수료나 비밀번호·카드 번호를 요구하는 연락은 응하지 마세요. 보상 안내를 사칭한 문자가 유출 뒤에 늘어납니다.

내가 쓰는 서비스가 몇 번 털렸는지는 털림 체크에서 볼 수 있어요.