안녕하세요. 남현수 변호사입니다.
개인정보 보호법 제39조 제1항은 개인정보처리자가 법을 위반하여 정보주체가 손해를 입은 경우 손해배상을 청구할 수 있도록 하면서, 개인정보처리자가 고의 또는 과실이 없음을 입증하지 못하면 책임을 면할 수 없다고 정하고 있습니다. 즉 기업의 잘못에 대한 입증책임은 기업에게 전환되어 있어 피해자가 기업의 과실까지 증명할 필요는 없습니다.
손해 자체에 관하여는, 같은 법 제39조의2가 고의 또는 과실로 개인정보가 유출된 경우 구체적인 손해액을 증명하지 않아도 300만원 이하의 범위에서 상당한 금액을 배상받을 수 있는 법정손해배상 제도를 두고 있습니다. 다만 일반 손해배상으로 위자료를 청구하는 경우, 대법원 2019. 9. 26. 선고 2018다222303 판결은 유출된 정보의 종류와 성격, 제3자 열람 가능성, 확산 범위, 추가 피해 가능성 등을 종합하여 정신적 손해 발생 여부를 개별적으로 판단한다고 보았으므로, 유출 사실만으로 당연히 인정되는 것은 아닙니다.
유출된 정보에 관한 자료는 기업에 요구할 수 있습니다. 같은 법 제34조 제1항에 따라 개인정보처리자는 유출 사실을 알게 되면 지체 없이 유출된 항목, 시점과 경위, 피해 구제절차 등을 정보주체에게 알려야 하므로, 통지문을 보관하시고 통지가 없었다면 본인 정보가 포함되었는지 회사에 확인을 요청하시기 바랍니다.
※ 본 답변은 질문에 기재된 내용만을 바탕으로 한 일반적인 법률정보로, 구체적인 사실관계에 따라 판단이 달라질 수 있습니다. 개별 사건의 결과를 보장하거나 답변의 활용에 따른 법적 책임을 부담한다는 취지는 아니므로, 실제 대응 전에는 관련 자료를 토대로 별도의 법률상담을 받으시기 바랍니다.