개인정보 유출·피해구제

과징금은 국고로 가고, 배상은 신청한 사람만 받는다

개인정보가 새어 나간 뒤 국민이 받은 것과 받지 못한 것

발행일: 2026.08.17
자료 기준일: 2026.08.17
분량: PDF 22쪽
읽는 시간: 약 42분
발행: 넥서스 금융경영연구소

이 페이지에서 전문 읽기 ↓PDF 다운로드 ↓

REPORT STRUCTURE

보고서 구성

01유출은 드문 일이 아니다
02회사는 얼마를 내는가
03과징금은 왜 피해자에게 가지 않는가
04배상을 받으려면 무엇을 해야 하는가
05차단 장치는 어디까지 막는가
06무엇을 하면 되는가

FULL REPORT

웹 보고서 전문

넥서스 리서치 2026_33 · NEXUS Research 2026_33

과징금은 국고로 가고,
배상은 신청한 사람만 받는다

개인정보가 새어 나간 뒤 국민이 받은 것과 받지 못한 것

유럽에서는 개인정보 유출이 하루 443건씩 감독기관에 통지된다. 1년 전 같은 기간의 하루 363건에서 22% 늘었다. 같은 1년 동안 유럽 감독기관이 매긴 과징금은 약 12억 유로다.¹ 영국 정보위원회는 2025년 10월 15일 한 회사에 1,400만 파운드를 매겼다. 그 사건에서 개인정보가 노출된 사람은 660만 명이다.²

그 1,400만 파운드는 국고로 들어간다. 영국 정보위원회가 남길 수 있는 몫은 집행과 소송에 든 비용뿐이고, 한도는 회계연도당 750만 파운드다.³ 660만 명이 받은 것은 12개월짜리 신용정보 감시이고, 실제로 켠 사람은 26만 명 남짓이다.² 우리나라 개인정보분쟁조정위원회가 2024년에 처리한 조정은 806건, 성립률은 78.5%다.⁴ 처리 건수는 신청한 사람이 있어야 생긴다.

미국은 감독기관 합의금 가운데 일부를 피해자에게 쓰도록 따로 정했다. 한 신용정보회사 사건의 소비자 구제기금은 최대 4억 2,500만 달러다. 그 사건에서 개인정보가 노출된 사람은 1억 4,700만 명이다.⁵ 유럽은 재산 손해와 비재산 손해를 모두 배상 대상으로 정했다. 책임을 벗으려면 사업자가 스스로 입증해야 한다.⁶ 연구소는 과징금을 매기는 절차와 피해자가 돈을 받는 절차 사이를 잇는 규정이 우리 제도에 없다고 본다.

발행일2026년 8월 17일

자료 기준일2026년 8월 17일

분량본문 20쪽

넥서스 금융경영연구소

NEXUS Finance and Management Institute

nexusfmi.com

이 보고서는 국민의 금융생활과 관련된 사안을 넥서스 금융경영연구소가 자체 기준에 따라 조사·분석한 자료다. 특정 금융회사나 금융상품의 매매를 권유하거나 그 가치를 판단하려는 목적이 아니다. 본문의 견해는 넥서스 금융경영연구소의 것이며, 거래할 금융회사를 정하는 책임은 이용자 본인에게 있다.

Summary

세 줄 요약

무엇을 물었나: 개인정보가 새어 나간 뒤 국민이 실제로 받은 것은 무엇인가.
무엇을 알아냈나: 유럽에서는 개인정보 유출이 하루 443건 통지된다. 1년 동안 매겨진 과징금은 약 12억 유로다.¹ 영국 정보위원회가 한 회사에 매긴 1,400만 파운드는 국고로 간다. 위원회가 남기는 몫은 집행·소송 비용뿐이고 한도는 회계연도당 750만 파운드다.³ 피해자 660만 명이 받은 것은 12개월짜리 신용정보 감시이고, 켠 사람은 26만 명 남짓이다.² 우리나라 개인정보 분쟁조정은 2024년 806건을 처리했고 성립률은 78.5%다.⁴ 배상 재원을 미리 갖추라는 규칙도 사람 수를 따라가지 않는다. 최저 가입금액의 가장 높은 구간이 10억원이다.⁷
읽는 사람은 무엇을 하면 되나: 오늘 네 가지 차단을 건다. 여신거래 안심차단과 비대면 계좌개설 안심차단은 거래하는 금융회사에서 신청한다. 개인정보노출자 등록은 금융소비자정보포털 파인에서 한다. 이동전화 가입제한은 명의도용방지서비스 누리집에서 한다. 네 가지는 운영 기관이 서로 달라 한 곳에 걸어도 나머지가 함께 걸리지 않는다.

이 보고서 읽는 법

과징금 액수는 부과한 값이다. 소송으로 확정된 값이 아니다. 처분을 받은 회사들이 소송을 냈거나 낼 뜻을 밝혔다.
유출 규모는 사람 수와 계정 수, 건수가 뒤섞여 있다. 이 보고서는 값마다 무엇을 센 것인지 함께 적었다.
회사 이름은 표에만 두었다. 본문에서는 '통신회사', '카드회사'처럼 업종으로 적었다.
같은 사고에 두 기관이 각각 처분한 사건은 기관별로 나눠 적었다. 더해서 한 금액으로 적지 않았다.
국내 처분과 통계는 언론 보도로 확인한 값이다. 매체 두 곳 이상에서 같은 값을 확인한 것만 썼고, 한 곳에서만 확인한 값은 각주에 그렇게 적었다.
연구소가 나눈 값에는 계산식을 각주에 적었다. 어려운 용어는 부록 가에 풀었다.

1장

유출은 드문 일이 아니다

해마다 수백 건이 신고되는데, 국민이 받는 것은 무엇인가.

443건 유럽 감독기관에 하루 평균 통지된 개인정보 유출 2025년 1월~2026년 1월 · DLA Piper 연례조사

363건 1년 전 같은 기간의 하루 평균 통지 건수 2024년 1월~2025년 1월 · DLA Piper 연례조사

806건 우리나라 개인정보 분쟁조정 처리 건수 2024년 · 개인정보분쟁조정위원회

유럽에서는 개인정보 유출이 하루 443건 감독기관에 통지된다.¹ 2025년 1월 28일부터 2026년 1월 27일까지의 하루 평균이다. 1년 전 같은 기간은 하루 363건이었다.

우리나라도 방향이 같다. 2025년 개인정보 유출 신고는 447건이다.⁸ 2024년 307건에서 45.6% 늘었다. 원인은 해킹이 276건으로 62%를 차지한다.

447건은 사건 수이고 사람 수가 아니다. 사건 하나에 수백만 명이 들어가기도 한다.

국민이 받는 것은 통지문 한 장이다

유출이 나면 회사는 피해자에게 통지문을 보낸다. 그 통지문에는 무엇을 청구할 수 있는지가 들어 있지 않았다.

국회는 2026년 2월 12일 이 항목을 통지문에 넣도록 법을 고쳤다.⁹ 손해배상 청구와 분쟁조정 신청을 안내하게 했다. 개정법은 2026년 3월 10일 공포됐고 2026년 9월 11일 시행된다.¹⁰ 시행 전에는 회사가 이 항목을 적을 의무가 없다.¹¹

개인정보 보호가 중요하다고 답한 사람은 국민 열 명 가운데 아홉 명이다.¹² 열람과 정정, 삭제를 요구할 수 있다는 사실을 아는 성인은 37.4%다. 성인 열 명 가운데 네 명이 안 된다.

이 장에서 확인할 것

유출 통지를 받은 적이 있는지 확인한다. 확인하는 곳 · 회사 앱의 공지함, 문자함, 전자우편함
통지를 받았다면 어떤 항목이 새어 나갔는지 적어 둔다. 확인하는 곳 · 통지문의 유출 항목란

하지 않아도 되는 것 · 통지문을 받았다고 곧바로 카드나 계좌를 해지할 일은 없다. 먼저 새어 나간 항목을 확인한다.

2장

회사는 얼마를 내는가

액수는 무엇을 기준으로 정해지나.

1,400만 파운드 한 사무처리 대행 회사에 매긴 과징금 2025년 10월 · 영국 정보위원회

231만 파운드 유전자 검사 회사에 매긴 과징금. 피해자 15만 5,592명 2025년 6월 · 영국 정보위원회

12억 유로 유럽 감독기관이 1년 동안 매긴 과징금 합계 2025년 1월~2026년 1월 · DLA Piper 연례조사

영국 정보위원회는 2025년 10월 15일 한 사무처리 대행 회사에 1,400만 파운드를 매겼다.² 개인정보가 노출된 사람은 660만 명이다.

같은 위원회는 2025년 6월 17일 유전자 검사 회사에 231만 파운드를 매겼다.¹³ 영국에 사는 피해자가 15만 5,592명이다. 새어 나간 항목에 인종과 가계도, 건강보고서가 들어 있다.

유럽 감독기관이 1년 동안 매긴 과징금은 약 12억 유로다.¹

우리나라의 액수

개인정보보호위원회는 2025년 8월 27일 한 통신회사에 1,347억 9,100만원을 매겼다.¹⁴ 유출 인원은 2,324만 4,649명이다.

2026년 6월 10일에는 한 전자상거래 회사에 6,246억 8,100만원을 매겼다.¹⁵ 유출 인원은 약 3,750만 명이다. 배송지 정보에는 공동현관 비밀번호가 들어 있었다.

2026년 7월 29일에는 다른 통신회사에 539억 7,900만원을 매겼다.¹⁶ 유출 인원은 1만 6,647명이다. 무단 소액결제 피해가 368명, 약 2억 4,000만원으로 확인됐다.

카드회사 사건에는 처분이 두 번 붙었다. 개인정보보호위원회는 2026년 3월 11일 96억 2,000만원을 매겼다.¹⁷ 유출 인원은 약 297만 명이고 주민등록번호는 45만 명분이다.

금융위원회는 2026년 7월 31일 같은 사고에 과징금 50억원과 신규 카드 발급 중단을 정했다.¹⁸ 두 기관의 처분은 근거가 달라 더해서 읽으면 어긋난다.

<표 1> 액수는 커졌고, 피해자에게 간 돈은 그대로다

2025년 8월 이후 처분이 나온 국내 개인정보 유출 사건 네 건

사건(업종·회사)	유출 인원	부과된 과징금	회사가 자체로 준 것
통신 · SK텔레콤	2,324만 4,649명	1,347억 9,100만원	확인된 금전 배상 없음
전자상거래 · 쿠팡	약 3,750만 명	6,246억 8,100만원	5만원 상당 쿠폰
통신 · KT	1만 6,647명	539억 7,900만원	확인된 금전 배상 없음
카드 · 롯데카드	약 297만 명	개인정보위 96억 2,000만원 금융위 50억원	확인된 금전 배상 없음

주: 과징금은 부과액이고 확정된 값이 아니다. 카드회사 사건은 두 기관이 각각 처분해 기관별로 나눠 적었다.¹⁷¹⁸ 유출 인원은 사람 수 기준이고 계정 수나 건수와 다르다. 두 통신회사의 유출 인원에는 알뜰폰 이용자가 들어 있다.¹⁴¹⁶
자료: 개인정보보호위원회와 금융위원회 처분을 옮긴 언론 보도를 정리.

이 장에서 확인할 것

이용하는 회사가 유출 처분을 받았는지 확인한다. 확인하는 곳 · 개인정보보호위원회 누리집의 처분 공표
회사가 내놓은 보상안이 있는지, 신청 기한이 언제인지 확인한다. 확인하는 곳 · 회사 공지의 보상 안내와 접수 기간

하지 않아도 되는 것 · 과징금이 크다고 자기 몫이 늘지는 않는다. 그 돈은 피해자에게 나눠 주는 돈이 아니다.

3장

과징금은 왜 피해자에게 가지 않는가

과징금과 배상은 어디에서 나뉘나.

750만 파운드 영국 정보위원회가 과징금에서 남기는 회계연도당 한도 2022년 4월 이후 · 영국 정보위원회

4.25억 달러 미국 신용정보회사 사건의 소비자 구제기금 상한 2024년 1월 청구 마감 · 미국 연방거래위원회

1.47억 명 같은 사건에서 개인정보가 노출된 사람 2017년 9월 유출 · 미국 연방거래위원회

과징금은 회사의 위반을 벌하는 돈이고, 배상은 피해자의 손해를 메우는 돈이다.

영국 정보위원회는 과징금이 어디로 가는지 스스로 밝혀 두었다.³ 원칙은 국고 귀속이다. 2022년 4월 1일부터는 미리 합의하고 외부 감사를 받은 집행·소송 비용만 남길 수 있다. 한도는 회계연도당 750만 파운드다.

우리나라도 같다. 과징금과 과태료는 국고로 들어간다.¹⁹

앞 장의 660만 명은 그 1,400만 파운드에서 한 푼도 받지 않았다. 회사가 따로 내놓은 것은 12개월짜리 신용정보 감시다.²

미국은 합의금 일부를 피해자에게 돌린다

미국 연방거래위원회와 소비자금융보호국, 50개 주와 준주는 한 신용정보회사와 합의했다. 소비자 구제기금은 최대 4억 2,500만 달러다.⁵ 개인정보가 노출된 사람은 1억 4,700만 명이다. 이 돈은 국고가 아니라 피해자에게 쓰도록 정해졌다.

기금 가운데 현금 보상과 실제 손해 보전, 들인 시간에 대한 보상으로 나간 몫은 약 7,000만 달러다.²⁰

합의금이 언제나 배상은 아니다. 같은 감독기관이 2024년 한 호텔 회사와 맺은 합의에는 소비자에게 주는 돈이 없다.²¹ 소비자가 받은 것은 계정 점검 요구와 적립 포인트 복구, 삭제 요구, 다중 인증이다.

우리나라 전자상거래 회사가 자체로 준 것은 5만원 상당 쿠폰이다.²²

액수는 사람 수를 따라가지 않는다

과징금은 회사 매출을 기준으로 정한다. 피해자 수를 기준으로 정하지 않는다.

앞 장 네 사건의 과징금을 유출 인원으로 나누면 순서가 뒤집힌다.²³ 1만 6,647명이 새어 나간 사건은 1인당 324만원이다. 297만 명이 새어 나간 사건은 1인당 3,200원이다.

이 계산은 배상액이 아니고, 두 값 모두 피해자에게 가지 않는다.

배상 재원을 미리 갖추라는 규칙도 사람 수를 따라가지 않는다. 최저 가입금액은 매출액과 이용자 수 구간으로 정해지고, 가장 높은 구간이 10억원이다.⁷ 이용자가 100만 명이든 3,000만 명이든 이 선은 같다.

국회에는 과징금 일부를 피해자 지원에 쓰자는 개정안이 2026년 6월 15일 올라왔다.¹⁹ 법률지원과 분쟁조정, 소송지원에 쓰는 기금을 만드는 내용이다. 2026년 8월 17일 기준으로 통과 여부는 정해지지 않았다.

<표 2> 세 나라 모두 과징금은 국고로 가고, 피해자 몫은 따로 만든다

개인정보 유출에서 회사가 낸 돈이 가는 곳

나라	과징금이 가는 곳	피해자에게 가는 돈	확인한 자료
영국	국고. 집행·소송 비용만 회계연도당 750만 파운드까지	회사가 자체로 제공 (신용정보 감시 12개월)	정보위원회 자료
미국	감독기관 합의금 일부를 소비자 구제기금으로 배정	최대 4억 2,500만 달러 (돈이 없는 합의도 있다)	연방거래위원회 자료
대한민국	국고	조정이나 소송으로 각자 청구	국회 발의안 자료

주: 미국의 구제기금은 합의마다 다르고, 2024년 호텔 회사 합의에는 소비자에게 주는 돈이 없다.²¹ 우리나라의 국고 귀속은 국회 발의안 자료에서 확인했다.¹⁹ 세 제도는 근거가 달라 같은 기준으로 견주기 어렵다.
자료: 영국 정보위원회, 미국 연방거래위원회, 국회 발의안 관련 보도를 정리.

이 장에서 확인할 것

회사가 처분을 받았더라도 배상 절차는 따로 시작해야 한다는 점을 확인한다. 확인하는 곳 · 개인정보분쟁조정위원회 조정 신청 안내
그 사건의 집단분쟁조정 접수 기간이 언제까지인지 확인한다. 확인하는 곳 · 한국소비자원 집단분쟁조정 공고

하지 않아도 되는 것 · 과징금 처분이 확정되기를 기다릴 일은 없다. 조정 신청은 처분과 별개로 진행한다.

4장

배상을 받으려면 무엇을 해야 하는가

절차를 끝까지 간 사람은 몇 명이고, 얼마를 받았나.

78.5% 개인정보 분쟁조정 성립률. 2023년 77.3% 2024년 · 개인정보분쟁조정위원회

26만 명 피해자 660만 명 가운데 신용정보 감시를 실제로 켠 사람 2025년 10월 · 영국 정보위원회

0원 미국 호텔 회사 합의로 소비자가 받는 금전 배상 2024년 10월 · 미국 연방거래위원회

돈을 받으려면 피해자가 조정을 신청하거나 소송을 걸어야 한다.

개인정보분쟁조정위원회는 2024년 806건을 처리했다.⁴ 2023년은 666건이다. 조정 성립률은 78.5%다. 조정은 양쪽이 모두 받아들여야 성립한다.

손해배상이 이뤄진 사건은 72건이다. 평균 지급액은 57만원이다.²⁴ 2023년은 86건에 평균 28만원이었다. 이 평균은 806건 전체가 아니라 72건만 나눈 값이다.

신청하는 사람은 드물다

전자상거래 회사 사건에는 14만 5,653명이 집단분쟁조정을 신청했다.²⁵ 개인 신청 977명과 집단 신청 14만 4,676명을 합한 값이다. 개인정보 집단분쟁조정 기준으로 역대 가장 많다.

그래도 유출 인원 약 3,750만 명의 0.39%다.²³ 1,000명 가운데 네 명이 안 된다.

통신회사 사건은 3,998명이 신청했다.²⁵ 2,324만 4,649명의 0.017%다. 1만 명 가운데 두 명이 안 된다.

소송도 비슷하다. 같은 사건에서 세 건의 소송에 참여한 원고가 약 1만 5,900명이다.²⁶ 전체의 0.068%다. 조정과 소송은 다른 절차이므로 두 인원을 더하면 어긋난다.

법원은 유출 사실만으로 배상을 인정하지 않는다. 2026년 3월 26일 첫 변론에서 재판부는 원고 쪽에 본인 확인과 손해의 구체적 특정을 요구했다.²⁷ 재산 손해와 정신적 손해를 각각 주장하고 입증하라는 내용이다.

받은 금액은 사건마다 다르다

한국소비자원 소비자분쟁조정위원회는 2026년 7월 31일 신청인 50명에게 1인당 10만원을 정했다.²⁸ 현금과 회사 적립금 가운데 고를 수 있다.

조정에 참여하지 않은 피해자가 자동으로 같은 돈을 받지는 않는다.²⁸ 회사가 이 결정을 받아들이면 위원회가 참여하지 않은 사람의 보상계획서를 받는 절차를 밟는다. 회사가 받아들이지 않으면 그 절차도 시작되지 않는다.

법원 판단도 갈린다.²⁹ 카드회사 세 곳 사건은 1인당 최대 10만원을 인정했다. 세 곳 가운데 한 곳은 7만원이다. 통신회사 2012년 사건은 배상 책임을 인정하지 않았다.

대법원은 2025년 12월 4일 40만 3,298명이 새어 나간 사건에서 청구를 받아들이지 않았다.³⁰ 비밀번호가 강하게 암호화돼 있었고 그것을 푸는 키가 함께 새지 않은 점을 근거로 들었다. 재판부는 유출 사실만으로는 법이 정한 배상액을 인정하지 않았다.

시간도 걸린다. 카드회사 세 곳 사건에서 1인당 10만원 판결이 나온 날은 2018년 5월 21일이다.³¹ 이 판결의 원고는 87명이고, 유출 사실이 드러난 2014년부터 4년이 넘게 걸렸다.

유럽은 배상 범위를 규정에 직접 적었다. 유럽 일반 개인정보보호규정은 재산 손해와 비재산 손해를 모두 배상 대상으로 정한다.⁶ 책임을 벗으려면 사업자가 스스로 입증해야 한다.

영국 사례에서도 피해자가 직접 움직여야 했다. 12개월 신용정보 감시를 받을 수 있는 660만 명 가운데 26만 명 남짓만 실제로 켰다.² 약 4%다.²³

<표 3> 1인당 10만원이거나 0원이거나, 둘 가운데 하나였다

국내 개인정보 유출 사건의 법원 판결과 조정 결정

사건(업종·유출 시점)	유출 규모	1인당 인정액	절차와 시점
카드회사 세 곳(2014)	1억 400만여 건	최대 10만원	법원 판결(2018.5.21)
온라인 쇼핑몰(2016)	1,030만 명	10만원	법원 판결
통신회사(2012)	870만 명	0원	법원 판결(책임 인정 안 함)
인터넷 서비스(2011)	3,500만 명	0원	법원 판결(책임 인정 안 함)
지식거래 사이트(2021)	40만 3,298명	0원	대법원 판결(2025.12.4)
전자상거래 회사(2025)	약 3,750만 명	10만원	소비자분쟁조정(2026.7.31)

주: 1억 400만여 건은 계정 기준이고 사람 수가 아니다. 인정액은 소송이나 조정에 참여한 사람에게만 적용된다.³¹²⁹ 전자상거래 회사 사건의 결정은 신청인 50명에 대한 것이다.²⁸
자료: 법률신문이 정리한 사건별 판결과 한국소비자원 소비자분쟁조정위원회 결정 보도를 정리.

이 장에서 확인할 것

유출 통지문과 본인 확인 자료를 한곳에 모아 둔다. 확인하는 곳 · 통지문 원본, 가입 내역과 결제 내역 갈무리
금전 피해가 있었다면 날짜와 금액을 적어 증빙을 남긴다. 확인하는 곳 · 통신요금 청구서의 소액결제 항목

하지 않아도 되는 것 · 조정을 신청했다고 소송을 접을 일은 없다. 다만 조정이 성립하면 같은 내용으로 다시 소송을 걸 수 없다.

5장

차단 장치는 어디까지 막는가

무엇을 막고 무엇을 막지 못하나.

1가지 명의도용방지서비스가 신규 개통을 막는 회선 종류 2026년 8월 확인 · 한국정보통신진흥협회

0원 미국에서 신용조회 동결을 걸고 푸는 데 드는 돈 2026년 8월 확인 · 미국 연방거래위원회

7년 미국 확장 사기 경보의 유효기간. 기본은 1년 2026년 8월 확인 · 미국 연방거래위원회

유출 통지를 받은 사람이 오늘 걸 수 있는 차단은 네 가지다.

여신거래 안심차단은 새 대출을 막는다.³² 한 곳에서 신청하면 은행과 보험, 증권, 카드회사 약 4,000곳에 함께 적용된다. 대부업자는 지방자치단체에 등록한 곳도 등록하지 않은 곳도 모두 빠진다. 해제는 지점을 직접 방문해야 한다.

비대면 계좌개설 안심차단은 본인 동의 없는 비대면 입출금계좌 개설을 막는다.³³ 신청은 금융회사 앱과 금융결제원 어카운트인포에서 한다.

개인정보노출자로 등록하면 금융회사가 신규 계좌개설과 대출, 신용카드 발급 같은 거래를 막는다.³⁴ 이미 열려 있는 계좌의 거래를 막는 제도는 아니다. 등록과 해제는 사고예방시스템 누리집이나 금융소비자정보포털 파인에서 한다.

명의도용방지서비스는 통신 쪽 제도다.³⁵ 가입사실현황조회와 실시간 통지는 여섯 가지 회선에 걸린다. 유선전화와 이동전화, 무선인터넷, 초고속인터넷, 인터넷전화, 방송이다.

그런데 신규 개통을 실제로 막는 가입제한은 이동전화 회선에만 걸린다.³⁵ 나머지 다섯 가지는 개통 사실을 알려 줄 뿐 개통 자체를 막지 않는다.

미국은 조회 자체를 멈춘다

미국은 신용조회를 멈추는 방법을 둔다.³⁶ 동결을 걸 때도 풀 때도 돈이 들지 않는다. 동결하면 본인을 포함해 누구도 새 신용계좌를 열 수 없다. 신용점수는 달라지지 않는다.

사기 경보는 다르다. 기본 경보는 1년, 확장 경보는 7년이고 갱신할 수 있다.³⁶ 경보는 기업이 신용보고서를 보는 것을 막지 않는다.

연구소는 유출이 한 번에 일어나는데 국민은 네 곳에 따로 신청해야 하는 구조를 문제로 본다.

<표 4> 네 가지를 다 걸어도 막지 못하는 것이 남는다

유출 통지를 받은 사람이 신청할 수 있는 차단 제도

제도	운영	막는 것	막지 못하는 것과 해제
여신거래 안심차단	금융회사 공동	은행·보험·증권·카드의 새 대출	대부업자는 등록 여부와 상관없이 빠진다. 해제는 지점 방문
비대면 계좌개설 안심차단	금융결제원· 금융회사	본인 동의 없는 비대면 입출금계좌 개설	이미 열린 계좌의 거래. 해제는 지점 방문
개인정보노출자 등록	금융감독원	신규 계좌개설·대출· 신용카드 발급	이미 열린 계좌의 거래. 누리집과 파인에서 해제
명의도용방지 서비스	한국정보통신 진흥협회	이동전화 신규 개통	유선·인터넷·방송 개통은 알려 주기만 한다

주: 안심차단 두 가지의 해제 방법은 서비스를 제공하는 금융회사 안내에 따른다.³²³³ 개인정보노출자 등록의 차단 범위는 금융감독원 사고예방시스템 안내에 따른다.³⁴
자료: 한국정보통신진흥협회, 금융회사 안내를 정리.

이 장에서 확인할 것

여신거래 안심차단과 비대면 계좌개설 안심차단을 함께 신청한다. 확인하는 곳 · 은행 앱의 안심차단 메뉴, 어카운트인포
주민등록번호가 새어 나갔다면 개인정보노출자로 등록한다. 확인하는 곳 · 금융소비자정보포털 파인
이동전화 가입제한을 걸고, 나머지 회선은 가입사실 통지를 신청한다. 확인하는 곳 · 명의도용방지서비스 누리집

하지 않아도 되는 것 · 대출을 곧 받을 계획이라면 여신거래 안심차단을 걸지 않는다. 해제하려면 지점을 직접 방문해야 한다.

6장

무엇을 하면 되는가

국민과 회사와 당국이 각각 무엇을 할 수 있나.

90.6% 보안을 위해 불편을 감수하겠다는 금융소비자. 조사 대상 1,000명 2024년 10월 발표 · 금융보안원

10억원 손해배상 책임보장 최저 가입금액의 가장 높은 구간 2026년 8월 확인 · 한국인터넷진흥원

5,000만원 같은 기준의 가장 낮은 구간 2026년 8월 확인 · 한국인터넷진흥원

국민이 할 일

금융보안원이 금융소비자 1,000명에게 물었다. 90.6%가 보안을 위해 불편을 감수하겠다고 답했다.³⁷ 보안이 편리성보다 중요하다는 응답은 73%다. 연구소는 네 가지 차단이 그 불편에 든다고 본다.

금융회사가 할 일

배상 재원을 유출 규모에 맞춰야 한다. 최저 가입금액은 가장 높은 구간이 10억원, 가장 낮은 구간이 5,000만원이다.⁷

3,750만 명이 새어 나간 사건에 10억원을 그대로 대면 1인당 27원이다.²³ 법이 정한 최저선을 그대로 지키는 것으로는 배상 재원이 되지 않는다.

통지문에 무엇을 청구할 수 있는지 적어야 한다. 개정법이 이 항목을 넣도록 했고 2026년 9월 11일 시행된다.¹⁰

당국이 할 일

과징금을 매기는 절차와 피해자가 돈을 받는 절차 사이를 잇는 규정을 정해야 한다.

개정법은 과징금 상한을 전체 매출액의 3%에서 요건을 갖추면 10%로 올렸다.⁹ 상한이 올라가도 그 돈이 가는 곳은 바뀌지 않는다.

금융 쪽과 통신 쪽으로 나뉜 차단 신청을 한 곳에서 하게 하는 방법도 정해야 한다.

아직 정해지지 않은 것

연구소는 예측하지 않고 무엇을 어디에서 보면 되는지만 적는다.

첫째, 과징금 일부를 피해자 지원에 쓰는 기금 법안이다.¹⁹ 국회 의안정보시스템에서 그 법안의 처리 상황을 본다.

둘째, 진행 중인 손해배상 소송의 1심 결과다. 선고가 나오면 1인당 인정액과 입증 기준이 드러난다.

셋째, 소비자분쟁조정 결정을 회사가 받아들일지 여부다.²⁸ 회사가 받아들여야 참여하지 않은 피해자의 보상 절차가 시작된다.

이 장에서 확인할 것

오늘 네 가지 차단을 건다. 확인하는 곳 · 은행 앱, 어카운트인포, 파인, 명의도용방지서비스
유출 통지를 받았다면 조정 접수 기간을 달력에 적는다. 확인하는 곳 · 개인정보분쟁조정위원회 공지
한 달 안에 통신요금 청구서의 소액결제 항목을 확인한다. 확인하는 곳 · 통신사 앱의 요금 상세 내역

하지 않아도 되는 것 · 유료 신용정보 감시 상품에 새로 가입할 일은 없다. 위의 네 가지는 모두 돈이 들지 않는다.

Appendix A

부록 가 · 용어 풀이

분쟁조정: 소송을 걸지 않고 위원회의 중재로 배상을 정하는 절차다.
집단분쟁조정: 같은 사건의 피해자 여러 명이 한꺼번에 신청하는 조정이다. 신청한 사람에게만 결과가 적용된다.
명의도용방지서비스: 통신 회선의 가입 사실을 조회하고 통지받는 제도다. 개통을 막는 기능은 이동전화에만 있다.

Appendix B

부록 나 · 자료 출처와 각주

자료 출처

아래 자료는 모두 2026년 8월 17일에 직접 열어 확인했다. 45건 가운데 1차 자료가 18건으로 40.0%다.

[1차] 영국 정보위원회 · 캐피타 유출 과징금 발표(2025.10.15). ico.org.uk 확인일 2026년 8월 30일.
[1차] 영국 정보위원회 · 23앤드미 유출 과징금 발표(2025.6.17). ico.org.uk 확인일 2026년 8월 30일.
[1차] 영국 정보위원회 · 기관 재원 구조 안내. ico.org.uk 확인일 2026년 8월 30일.
[1차] 미국 연방거래위원회 · 에퀴팩스 합의 안내. ftc.gov 확인일 2026년 8월 30일.
[1차] 미국 연방거래위원회 · 메리어트 합의 소비자 안내(2024.10). consumer.ftc.gov 확인일 2026년 8월 30일.
[1차] 미국 연방거래위원회 · 신용조회 동결과 사기 경보 안내. consumer.ftc.gov 확인일 2026년 8월 30일.
[1차] 유럽연합 · 일반 개인정보보호규정 배상 조항. gdpr-info.eu 확인일 2026년 8월 30일.
[1차] DLA Piper · 유럽 개인정보 유출 8차 연례조사(2026.2). dlapiper.com 확인일 2026년 8월 30일.
[1차] 한국인터넷진흥원 · 손해배상 책임보장제도 안내. i-privacy.or.kr 확인일 2026년 8월 30일.
[1차] 한국정보통신진흥협회 · 명의도용방지서비스 이용안내. msafer.or.kr 확인일 2026년 8월 30일.
[1차] 한국정보통신진흥협회 · 개인정보노출자 사고예방시스템 안내. msafer.or.kr 확인일 2026년 8월 30일.
[1차] 대법원 판례속보 · 2023다311184(2025.12.4). scourt.go.kr 확인일 2026년 8월 30일.
[1차] 개인정보분쟁조정위원회 · 2024 분쟁조정 사례집. minwho.kr 확인일 2026년 8월 30일.
[1차] 금융보안원 · 디지털금융 보안 인식 조사(2024.10.29). fsec.or.kr 확인일 2026년 8월 30일.
[1차] KB국민은행 · 여신거래 안심차단 신청과 해제 안내. kbthink.com 확인일 2026년 8월 30일.
[1차] KB국민은행 · 비대면 계좌개설 안심차단 안내. kbthink.com 확인일 2026년 8월 30일.
[1차] 개인정보 보호법 현행 조문(법률 제20897호, 2025.10.2 시행). nepla.ai 확인일 2026년 8월 30일.
[1차] 에퀴팩스 · 합의금 최종 지급 안내. equifax.com 확인일 2026년 8월 30일.
[2차] 이데일리(2026.5.15) · 2025년 유출 신고 통계. edaily.co.kr 확인일 2026년 8월 30일.
[2차] 국민일보(2026.5.15) · 같은 발표 보도. kmib.co.kr 확인일 2026년 8월 30일.
[2차] 파이낸셜뉴스(2025.11.11) · 통신회사 처분 보도. fnnews.com 확인일 2026년 8월 30일.
[2차] 서울신문(2025.8.29) · 같은 처분 보도. seoul.co.kr 확인일 2026년 8월 30일.
[2차] 비즈워치(2026.7.30) · 두 통신회사 과징금 비교 보도. bizwatch.co.kr 확인일 2026년 8월 30일.
[2차] 투데이신문 · 통신회사 유출 인원 보도. ntoday.co.kr 확인일 2026년 8월 30일.
[2차] 전자신문(2026.6.11) · 전자상거래 회사 처분 보도. etnews.com 확인일 2026년 8월 30일.
[2차] 한국일보(2026.6.11) · 같은 처분 보도. hankookilbo.com 확인일 2026년 8월 30일.
[2차] 디지털타임스(2026.7.29) · 통신회사 처분 보도. dt.co.kr 확인일 2026년 8월 30일.
[2차] 뉴시스(2026.3.12) · 카드회사 처분 보도. newsis.com 확인일 2026년 8월 30일.
[2차] 허프포스트코리아(2026.7.31) · 금융위 카드회사 제재 보도. huffingtonpost.kr 확인일 2026년 8월 30일.
[2차] 서울경제TV(2026.7.31) · 소비자분쟁조정 배상 결정 보도. sentv.co.kr 확인일 2026년 8월 30일.
[2차] 허프포스트코리아(2026.7.31) · 같은 결정 보도. huffingtonpost.kr 확인일 2026년 8월 30일.
[2차] 파이낸셜뉴스(2026.6.29) · 집단분쟁조정 신청 인원 보도. fnnews.com 확인일 2026년 8월 30일.
[2차] 로톡뉴스 · 같은 판결 보도. lawtalknews.co.kr 확인일 2026년 8월 30일.
[2차] 법률신문 · 유출 사건별 법원 판단 정리. lawtimes.co.kr 확인일 2026년 8월 30일.
[2차] 이투데이(2026.3.26) · 손해배상 소송 첫 변론 보도. etoday.co.kr 확인일 2026년 8월 30일.
[2차] 투데이e코노믹 · 세 건 소송 원고 합계 보도. todayeconomic.com 확인일 2026년 8월 30일.
[2차] 이투데이(2018.5.21) · 카드회사 세 곳 배상 판결 보도. etoday.co.kr 확인일 2026년 8월 30일.
[2차] 미디어스(2026.6.15) · 피해자보호기금 개정안 발의 보도. mediaus.co.kr 확인일 2026년 8월 30일.
[2차] 법률신문(2026.2) · 개정 개인정보보호법 내용. lawtimes.co.kr 확인일 2026년 8월 30일.
[2차] 법률신문 · 개정 개인정보 보호법 공포·시행 일정. lawtimes.co.kr 확인일 2026년 8월 30일.
[2차] 신김 법률사무소 · 개정 개인정보 보호법 시행 동향. shinkim.com 확인일 2026년 8월 30일.
[2차] GNN뉴스통신(2026.4.17) · 보호·활용조사 보도. gnnnews.kr 확인일 2026년 8월 30일.
[2차] 뉴스서울(2026.4.17) · 같은 조사 보도. newsseoul.co.kr 확인일 2026년 8월 30일.
[2차] 일요신문 · 전자상거래 회사 자체 보상 보도. ilyo.co.kr 확인일 2026년 8월 30일.
[2차] 세계일보(2025.2.10) · 2024년 분쟁조정 성과 보도. segye.com 확인일 2026년 8월 30일.

각주

DLA Piper의 8차 연례조사다. 2025년 1월 28일부터 2026년 1월 27일까지 유럽 감독기관에 통지된 유출이 하루 평균 443건, 1년 전 363건이고 같은 기간 부과 과징금이 약 12억 유로다. 통지된 건수이고 발생 건수가 아니다. 조사에 넣은 나라 범위는 이 발표문에 없다. 1차.
영국 정보위원회가 2025년 10월 15일 낸 발표다. 계열 두 회사에 나눠 매긴 800만·600만 파운드를 합해 1,400만 파운드다. 노출 660만 명, 신용정보 감시 12개월과 이용자 26만여 명이 있다. 1차.
영국 정보위원회가 밝힌 재원 구조다. 과징금은 원칙적으로 국고로 넘어간다. 2022년 4월 1일부터 감사를 받은 집행·소송 비용만 회계연도당 750만 파운드까지 남길 수 있다. 1차.
개인정보분쟁조정위원회 「2024 개인정보 분쟁조정 사례집」이다. 2024년 처리 806건과 성립률 78.49%, 2023년 666건과 77.3%가 있다. 본문의 78.5%는 반올림한 값이다. 1차.
미국 연방거래위원회의 에퀴팩스 합의 안내다. 연방거래위원회와 소비자금융보호국, 50개 주·준주가 함께 맺었다. 구제기금 최대 4억 2,500만 달러, 노출 1억 4,700만 명, 청구 마감 2024년 1월 22일이다. 1차.
유럽 일반 개인정보보호규정의 배상 조항이다. 재산 손해와 비재산 손해가 모두 대상이고, 사업자가 아무 책임이 없음을 스스로 입증해야 면책된다. 1차.
한국인터넷진흥원의 손해배상 책임보장제도 안내다. 최저 가입금액은 이용자 수와 매출액 구간으로 정해진다. 가장 높은 구간은 이용자 100만 명 이상·매출 800억원 초과에 10억원, 가장 낮은 구간은 5천만원이다. 1차.
개인정보보호위원회와 한국인터넷진흥원이 2026년 5월 15일 낸 통계다. 이데일리와 국민일보가 같은 값으로 전했다. 신고 447건, 45.6% 증가, 해킹 276건과 62%, 업무 과실 110건이 두 매체에 같이 있다. 과징금 총액은 두 매체가 어긋나 쓰지 않았다. 2차.
법률신문이 정리한 2026년 2월 12일 국회 통과 개정안이다. 과징금 상한을 매출액의 3%에서 10%로 올리고 유출 통지에 손해배상·법정손해배상 청구와 분쟁조정 신청 안내를 넣게 했다. 10%는 반복 위반, 고의·중과실로 피해 1,000만 명 이상, 시정명령 불이행에만 적용한다. 통지 항목 추가는 법률신문 한 곳에서만 확인했다. 2차.
개정 개인정보 보호법의 공포·시행 일정이다. 2026년 3월 10일 공포, 2026년 9월 11일 시행이다. 법률신문과 신김 법률사무소 자료가 같은 날짜를 적었다. 정보보호 인증 의무만 2027년 7월 1일부터다. 2차.
개인정보 보호법 현행 조문이다. 법률 제20897호로 2025년 10월 2일 시행됐고 2026년 개정 내용은 아직 들어 있지 않다. 1차.
개인정보보호위원회 국가승인통계 「2025년 개인정보보호 및 활용조사」다. GNN뉴스통신과 뉴스서울이 같은 값으로 전했다. 보호가 중요하다는 응답이 국민 열 명 가운데 아홉 명, 권리를 아는 성인 37.4%다. 표본 수와 조사 기간은 두 보도에 없다. 2차.
영국 정보위원회가 2025년 6월 17일 낸 발표다. 과징금 231만 파운드, 영국 거주 피해자 15만 5,592명이다. 전 세계 피해자 수는 이 발표에 없다. 1차.
개인정보보호위원회가 2025년 8월 27일 의결하고 이튿날 발표한 처분이다. 과징금 1,347억 9,100만원과 과태료 960만원, 정보 25종은 파이낸셜뉴스와 서울신문이 같이 전했다. 이 둘은 인원을 '약 2,324만명', '2,300만여명'으로만 적었다. 자릿수까지 적은 곳은 비즈워치와 투데이신문이고 둘 다 2,324만 4,649명, 알뜰폰 포함이다. 2차.
개인정보보호위원회가 2026년 6월 10일 의결하고 이튿날 발표한 처분이다. 전자신문과 한국일보가 같이 전했다. 과징금 6,246억 8,100만원과 과태료 1,680만원이 두 매체에 있다. 유출 인원은 전자신문이 약 3,750만 명으로, 한국일보가 회원 3,320만·비회원 433만 명으로 적었다. 배송지의 공동현관 비밀번호는 한국일보 한 곳에서만 확인했다. 회사가 밝힌 초기 규모 3,370만은 계정 수다. 2차.
개인정보보호위원회가 2026년 7월 29일 의결하고 이튿날 발표한 처분이다. 디지털타임스와 비즈워치가 같이 전했다. 과징금 539억 7,900만원, 유출 1만 6,647명(알뜰폰 포함), 무단 소액결제 피해 368명과 약 2억 4,000만원이 두 매체에 있다. 2차.
개인정보보호위원회가 2026년 3월 11일 의결한 처분이다. 과징금 96억 2,000만원, 유출 약 297만 명, 그 가운데 주민등록번호 45만 명분이다. 뉴시스 한 곳에서만 확인했다. 2차.
금융위원회가 2026년 7월 31일 정한 제재다. 과징금 50억원과 2026년 8월 1일부터 9월 15일까지 신규 카드 발급 중단이다. 개인정보보호위원회 처분과 근거가 달라 더하지 않았다. 허프포스트코리아 한 곳에서만 확인했다. 2차.
미디어스가 2026년 6월 15일 전한 개정안 발의 내용이다. 과징금과 과태료가 국고로 귀속된다는 설명과, 피해자보호기금을 만들어 법률지원·소송지원에 쓰자는 제안이다. 한 곳에서만 확인했다. 2차.
합의 당사자인 에퀴팩스가 낸 안내다. 4억 2,500만 달러 기금 가운데 약 7,000만 달러가 대체 보상금과 실제 손해 보전, 들인 시간 보상으로 청구인에게 모두 지급됐다. 1인당 지급액은 공개하지 않는다. 1차.
미국 연방거래위원회가 2024년 10월 낸 소비자 안내다. 메리어트 합의로 소비자가 받는 네 가지 항목이 여기에 있고 현금 지급은 없다. 1차.
일요신문이 전한 내용이다. 전자상거래 회사가 자체로 준 것이 5만원 상당 쿠폰이다. 5만원은 계열 서비스 네 곳의 쿠폰을 합한 값이다. 한 곳에서만 확인했다. 2차.
연구소가 계산한 값이다. 324만원=539억 7,900만원÷1만 6,647명. 3,200원=96억 2,000만원÷297만 명. 0.39%=14만 5,653명÷3,750만 명. 0.017%=3,998명÷2,324만 4,649명. 0.068%=1만 5,900명÷2,324만 4,649명. 4%=26만 명÷660만 명. 27원=10억원÷3,750만 명. 파생.
세계일보가 2025년 2월 10일 전한 제55차 개인정보분쟁조정위원회 전체회의 자료다. 2024년 배상이 이뤄진 72건의 평균 57만원, 2023년 86건의 평균 28만원이다. 처리 806건 전체의 평균이 아니다. 한 곳에서만 확인했다. 2차.
파이낸셜뉴스가 2026년 6월 29일 전한 집단분쟁조정 접수 결과다. 6월 26일까지 14만 5,653명(개인 977명·집단 14만 4,676명)이 신청했고 종전 최대가 통신회사 사건 3,998명이었다. 한 곳에서만 확인했다. 2차.
투데이e코노믹이 전한 소송 현황이다. 9,166명·5,275명·1,459명 세 건을 합해 약 1만 5,900명이다. 소송과 조정은 다른 절차여서 더하면 어긋난다. 한 곳에서만 확인했다. 2차.
이투데이가 2026년 3월 26일 전한 서울중앙지방법원 첫 변론이다. 원고 9,166명, 1인당 청구액 50만원이고 재판부가 본인 확인과 손해의 구체적 특정을 요구했다. 한 곳에서만 확인했다. 2차.
한국소비자원 소비자분쟁조정위원회가 2026년 7월 31일 내린 결정이다. 서울경제TV와 허프포스트코리아가 같이 전했다. 신청인 50명, 1인당 10만원, 15일 안에 이의가 없으면 성립이다. 참여하지 않은 피해자의 보상계획서 절차는 회사가 이 결정을 받아들여야 시작된다. 2차.
법률신문이 사건번호와 함께 정리한 표다. 카드회사 세 곳 사건은 대법원에서 1인당 최대 10만원, 그 가운데 한 곳은 7만원으로 확정됐다. 온라인 쇼핑몰 10만원, 통신회사 2012년과 인터넷 서비스 2011년 사건의 미인정, 유출 규모 1억 400만 건도 이 표에 있다. 한 곳에서만 확인했다. 2차.
대법원 판례속보의 2023다311184 판결이다. 사건명 손해배상(기), 선고일 2025년 12월 4일, 상고 기각이 대법원 자료에 있다. 근거로 삼은 범위는 판례속보 요지까지다. 40만 3,298명과 복호화 키가 함께 새지 않았다는 근거는 로톡뉴스 한 곳에서 확인했다. 1차와 2차.
이투데이가 2018년 5월 21일 전한 서울중앙지방법원 판결이다. 원고 87명, 1인당 10만원과 지연손해금, 카드회사 세 곳 모두 지급 대상이다. 이 보도는 유출 규모를 '1억 400만여 명'으로 적었으나 보고서는 계정 기준인 법률신문의 '1억 400만 건'을 따랐다. 2차.
KB국민은행이 낸 여신거래 안심차단 안내다. 적용 범위 약 4,000곳과 해제 방법이 여기에 있다. 지방자치단체에 등록한 대부업체와 등록하지 않은 대부업체는 모두 빠진다고 적혀 있다. 1차.
KB국민은행이 낸 비대면 계좌개설 안심차단 안내다. 신청 경로와 해제 방법, 막는 대상이 여기에 있다. 1차.
한국정보통신진흥협회가 올린 금융감독원 개인정보노출자 사고예방시스템 안내다. 등록하면 금융회사가 신규 계좌개설과 대출, 신용카드 발급 등 금융거래를 막는다. 1차.
한국정보통신진흥협회의 명의도용방지서비스 안내다. 가입사실현황조회와 실시간 통지는 여섯 가지에 걸리지만, 신규 개통을 막는 가입제한은 이동전화에만 걸린다. 1차.
미국 연방거래위원회의 소비자 안내다. 신용조회 동결은 걸 때도 풀 때도 돈이 들지 않고 신용점수도 달라지지 않는다. 사기 경보는 기본 1년, 확장 7년, 현역 군인 1년이다. 1차.
금융보안원이 2024년 10월 29일 낸 「2024년 금융소비자 대상 디지털금융 이용 및 보안 인식 조사」 결과다. 대상은 금융소비자 1,000명이다. 불편을 감수할 수 있다는 응답 90.6%, 보안이 편리성보다 중요하다는 응답 73%다. 조사 기간은 이 발표문에 없다. 1차.