배상받지 못한 유출 피해에 국가가 먼저 구조금을 준다면, 누가 언제 그 문을 여는가

읽은 의안과 확인한 상태

이 글은 의안번호 2221865 개인정보 보호법 일부개정법률안을 읽는다. 발의자는 조정훈의원 등 10인이고 발의일은 2026년 10월 12일이며, 회기는 제439회 국회(정기회)로 표시된다. 확인 기준일인 2026년 10월 16일 화면의 국회진행상황은 소관위원회인 정무위원회 회부를 2026년 10월 13일로, 관련위원회인 재정경제기획위원회 회부를 같은 날로 적는다. 위원회 상정과 의결, 본회의 심의, 정부 이송은 그날 화면에 표시되지 않았다.

읽은 부분은 의안원문 PDF의 제안이유 및 주요내용, 개정 조문, 부칙, 신·구조문대비표이다. 제안이유의 참고사항은 이 안이 같은 의원이 대표발의한 국가재정법 일부개정법률안(의안번호 제21864호)의 의결을 전제로 한다고 적는다. 이 글은 그 국가재정법 안의 원문을 열어 읽지 않았으므로, 기금 설치에 필요한 국가재정법상 정리가 무엇인지는 다루지 않는다.

이 단락의 출처: 국민참여입법센터 국회입법현황: 개인정보 보호법 일부개정법률안 (제2221865호) · 의안원문 PDF: 개인정보 보호법 일부개정법률안 (제2221865호)

현행 법이 지금 정하는 피해 회복의 길

확인 기준일의 현행 개인정보 보호법은 2026년 9월 11일 시행 법률 제21445호이다. 제39조제1항은 정보주체가 개인정보처리자의 법 위반 행위로 손해를 입으면 손해배상을 청구할 수 있고, 처리자는 고의 또는 과실이 없음을 입증하지 않으면 책임을 면할 수 없다고 정한다. 같은 조 제3항은 고의 또는 중대한 과실로 유출등이 된 경우 법원이 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있다고 정하고, 제4항은 그때 고려할 사항으로 벌금과 과징금, 처리자의 재산상태, 피해구제 노력 등을 든다.

제39조의2제1항은 고의 또는 과실로 유출등이 된 경우 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다고 정한다. 제39조의7제1항은 대통령령으로 정하는 기준에 해당하는 처리자에게 손해배상책임 이행을 위한 보험 또는 공제 가입이나 준비금 적립 등을 하도록 정한다. 제49조는 다수 정보주체에게 같거나 비슷한 유형의 피해가 생긴 경우의 집단분쟁조정을 정한다. 현행 법의 회복 수단은 모두 처리자를 상대로 한 배상이나 조정이며, 국가가 먼저 돈을 내주는 조문은 확인한 범위에 없다.

제64조의2제1항은 보호위원회가 같은 항 각 호에 해당하는 경우 전체 매출액의 100분의 3 이내에서 과징금을 부과할 수 있다고 정하고, 제9호는 처리자가 처리하는 개인정보가 유출등이 된 경우를 든다. 제2항은 반복 위반이나 피해 규모 1천만명 이상 등에서 100분의 10 이내로 높이고, 제11항은 법원의 판결 등으로 과징금을 환급할 때 환급가산금을 지급하도록 정한다. 현행 조문은 과징금의 귀속처를 피해자 구제와 연결하지 않는다.

이 단락의 출처: 국가법령정보센터 현행 개인정보 보호법 (법률 제21445호, 2026. 9. 11. 시행)

법률안이 바꾸려는 것

안 제39조의16제1항은 보호위원회가 유출등에 대하여 이 법 위반 사실과 유출 사실을 확인한 경우로서, 피해를 입은 정보주체가 처리자로부터 손해의 전부 또는 일부를 배상받지 못하는 경우에 구조금을 지급할 수 있다고 정하려 한다. 제2항은 유출된 정보의 종류와 민감도, 유출 규모, 피해 발생 가능성, 피해자의 연령과 취약성을 고려해 대통령령 기준으로 산정하고, 아동·청소년의 정보가 유출된 경우 가산할 수 있다고 정한다. 지급은 할 수 있다는 재량 표현이다.

안 제39조의17은 정보주체가 손해배상을 받았으면 그 범위에서 구조금을 지급하지 않고, 지급한 구조금의 범위에서 보호위원회가 정보주체의 손해배상청구권을 대위하며, 대위할 때 구조금은 민법에 따른 손해배상금으로 본다고 정한다. 안 제39조의18은 거짓이나 부정한 방법으로 받은 경우와 잘못 지급된 경우의 환수를 정하고, 환수는 국세징수의 예에 따르며 우선순위는 국세 및 지방세 다음으로 한다.

안 제39조의19는 개인정보침해 피해구제기금을 설치하고, 재원으로 정부출연금, 제64조의2에 따른 과징금, 대위로 취득한 구상금, 운용수익금 등을 든다. 안 제39조의20부터 제39조의22까지는 기금의 관리·운용, 위탁, 회계기관, 이익금 적립과 손실금 처리를 정한다. 부칙 제1조는 공포 후 6개월이 경과한 날부터 시행하고, 제2조는 과징금 재원 규정을 시행 이후 징수하는 과징금부터 적용한다고 정한다.

이 단락의 출처: 의안원문 PDF: 개인정보 보호법 일부개정법률안 (제2221865호) · 국가법령정보센터 현행 개인정보 보호법 (법률 제21445호, 2026. 9. 11. 시행)

보호위원회가 위반 사실을 확인한 경우는 처분이 확정된 때를 말하는가?

안 제39조의16제1항은 지급의 출발점을 보호위원회가 법 위반 사실과 유출 사실을 확인한 경우로 적는다. 확인이 조사 종료인지, 시정조치나 과징금 처분인지, 그 처분이 쟁송으로 확정된 때인지 조문은 밝히지 않는다. 현행 제64조의2제11항이 판결로 과징금을 환급하는 경우를 따로 두는 것처럼, 처분은 다툼 끝에 바뀔 수 있다.

안 제39조의18제1항제2호는 잘못 지급된 경우의 환수를 정한다. 확인 뒤 처분이 취소되면 이미 지급한 구조금이 잘못 지급된 경우에 들어가는지, 받은 정보주체에게 귀책이 없어도 환수하는지 조문은 정하지 않는다. 또 제64조의2제1항제9호 단서처럼 처리자가 안전성 확보 조치를 다해 과징금 사유가 되지 않는 유출도 있을 수 있는데, 그때 이 법 위반 사실이 확인되지 않았다고 보아 지급하지 않는지도 조문에 없다. 지급 요건의 확인 시점과 처분 취소 뒤의 취급은 무엇으로 정하는가?

이 단락의 출처: 의안원문 PDF: 개인정보 보호법 일부개정법률안 (제2221865호) · 국가법령정보센터 현행 개인정보 보호법 (법률 제21445호, 2026. 9. 11. 시행)

배상받지 못하는 경우는 소송이나 조정을 거친 뒤를 말하는가?

안은 정보주체가 손해의 전부 또는 일부를 배상받지 못하는 경우를 요건으로 둔다. 제안이유는 소송의 장기화와 증명의 어려움, 소액 피해자의 소송 부담을 이유로 든다. 그렇다면 소송이나 분쟁조정을 거치지 않은 정보주체도 대상인지, 처리자가 배상을 거절하거나 연락이 끊긴 상태면 충분한지, 처리자의 파산이나 무자력이 요구되는지 조문은 밝히지 않고 대통령령에 맡긴다.

현행 제49조의 집단분쟁조정이 진행 중이거나 처리자가 제49조제5항의 보상계획서를 낸 경우, 또는 제39조의7에 따른 보험금이 지급될 예정인 경우에 구조금을 먼저 줄 수 있는지도 조문에 없다. 안 제39조의17제1항은 이미 배상을 받았으면 그 범위에서 지급하지 않는다고만 정하므로, 구조금을 받은 뒤 배상이나 보험금을 받는 순서의 정산은 비어 있다. 배상받지 못한 상태는 어떤 절차를 거친 결과로 정하여야 하는가?

이 단락의 출처: 의안원문 PDF: 개인정보 보호법 일부개정법률안 (제2221865호) · 국가법령정보센터 현행 개인정보 보호법 (법률 제21445호, 2026. 9. 11. 시행)

구조금으로 대위하는 청구권에는 법정손해배상과 5배 배상까지 들어가는가?

안 제39조의17제2항은 지급한 구조금의 범위에서 정보주체가 가진 손해배상청구권을 대위한다고 정하고, 제3항은 대위에서 구조금을 민법에 따른 손해배상금으로 본다고 정한다. 현행 법의 손해배상청구권은 제39조제1항의 실손해 청구, 같은 조 제3항의 5배 이내 배상, 제39조의2의 300만원 이하 법정손해배상으로 갈린다. 어느 청구권을 대위하는지 조문은 나누지 않는다.

정보주체가 구조금을 받은 뒤에도 남은 손해를 처리자에게 청구할 때, 보호위원회의 대위 청구와 정보주체의 잔여 청구가 처리자의 한정된 재산을 두고 어떤 순서에 서는지도 조문에 없다. 제39조제4항제4호가 배상액 산정에서 과징금을 고려 사항으로 두는데, 과징금이 기금 재원이 되고 그 기금이 다시 구조금으로 나가 대위 청구로 돌아오는 구조에서 같은 사정이 두 번 계산되지 않는지도 조문은 다루지 않는다. 대위의 대상 청구권과 정보주체 잔여 청구와의 순위는 어떻게 정하는가?

이 단락의 출처: 의안원문 PDF: 개인정보 보호법 일부개정법률안 (제2221865호) · 국가법령정보센터 현행 개인정보 보호법 (법률 제21445호, 2026. 9. 11. 시행)

과징금이 기금으로 들어가면 산정 기준은 법률에 얼마나 적어야 하는가?

안 제39조의19제2항제2호는 제64조의2에 따른 과징금을 기금 재원으로 든다. 현행 제64조의2제11항과 제12항은 판결로 처분이 취소되면 과징금과 환급가산금을 돌려주도록 정한다. 이미 기금에 들어가 구조금으로 나간 과징금을 환급할 때 그 재원이 기금인지 일반회계인지 조문은 정하지 않는다.

안 제39조의16제2항은 산정 고려 요소를 적되 금액 상한, 지급 총액이 기금을 넘을 때의 안분, 같은 사고로 여러 번 신청하는 경우를 정하지 않고 대통령령에 맡긴다. 피해 발생 가능성을 고려 요소로 드는 점은 실제 손해가 드러나지 않은 정보주체에게도 지급할 수 있다는 뜻인지, 손해를 요건으로 하는 제1항과 어떻게 맞물리는지 분명하지 않다. 상한과 안분과 손해 요건의 관계는 법률에 적어야 하는가?

이 단락의 출처: 의안원문 PDF: 개인정보 보호법 일부개정법률안 (제2221865호) · 국가법령정보센터 현행 개인정보 보호법 (법률 제21445호, 2026. 9. 11. 시행)

시행과 남는 쟁점

부칙 제1조는 공포 후 6개월이 경과한 날부터 시행하도록 제안한다. 제안된 조건이지 확정된 날짜가 아니며, 이 글은 발의일에서 날짜를 계산하지 않는다. 부칙 제2조는 과징금 재원 규정만 시행 이후 징수하는 과징금부터 적용한다고 정하고, 구조금 지급 자체의 적용례는 두지 않는다.

따라서 시행 전에 일어난 유출 사고의 피해자가 시행 뒤 구조금을 신청할 수 있는지, 시행 전에 이미 위반 사실이 확인된 사고도 대상인지 부칙은 밝히지 않는다. 재원은 시행 뒤 징수분부터 들어오는데 지급 대상은 과거 사고까지 열려 있다면 초기 재원은 정부출연금에 기대게 된다. 이 안이 전제로 삼는 국가재정법 안의 처리 결과에 따라 조정될 수 있다는 참고사항도 남는다. 시행 전 사고에 대한 지급 여부는 부칙으로 정하여야 하는가?

이 단락의 출처: 의안원문 PDF: 개인정보 보호법 일부개정법률안 (제2221865호)

이 글이 확인하지 않은 것

이 글은 검토보고서, 회의록, 하위법령, 국가재정법 일부개정법률안(의안번호 제21864호)의 원문, 같은 회기의 다른 개인정보 보호법 개정안을 읽지 않았다. 범죄피해자 구조금처럼 다른 법률의 구조금 제도와 비교하지 않았고, 구조금 규모의 재정 추계도 확인하지 않았다. 원문 인용의 가운뎃점은 표기를 고쳐 옮겼다.

이 글은 법률안에 찬성하거나 반대하지 않고 입법을 권고하지 않는다. 앞으로의 처리 결과는 예측하지 않으며, 개별 유출 사고의 배상 가능성에 대한 판단을 담지 않는다.

이 단락의 출처: 국민참여입법센터 국회입법현황: 개인정보 보호법 일부개정법률안 (제2221865호) · 의안원문 PDF: 개인정보 보호법 일부개정법률안 (제2221865호) · 국가법령정보센터 현행 개인정보 보호법 (법률 제21445호, 2026. 9. 11. 시행)