개인정보 유출로 보상이나 손해배상을 받을 수 있나요?

최종 판단은 계약관계와 조사 결과에 따라야 하지만, 개인정보 보호법 구조상 항공사가 "운영사 관리 영역"이라고만 할 수는 없습니다. 업무를 위탁한 개인정보처리자는 수탁자를 교육·감독해야 하고, 수탁자가 위탁 업무 중 법을 위반해 생긴 손해배상책임에서는 수탁자를 개인정보처리자의 소속 직원으로 봅니다. 다만 아마데우스와의 관계가 법상 처리위탁인지, 국외 이전 요건을 어떻게 갖췄는지는 공개되지 않았습니다.

개인정보 보호법은 유출을 알게 되면 지체 없이 ① 유출 항목 ② 시점과 경위 ③ 피해를 줄이기 위해 할 수 있는 방법 ④ 회사의 대응과 피해 구제 절차 ⑤ 신고 접수 부서·연락처 ⑥ 손해배상·분쟁조정 등 법적 권리와 행사 방법을 알리도록 정합니다. 받은 안내에 이 내용이 빠져 있으면 공식 고객센터에 요청할 수 있습니다.

회사가 책임집니다. 개인정보처리자가 법을 위반해 손해를 입히면 정보주체는 손해배상을 청구할 수 있고, 회사는 고의·과실이 없음을 입증하지 못하면 책임을 면할 수 없습니다(개인정보 보호법 제39조 제1항). 외주 운영업체가 위탁 업무 중 법을 위반해 생긴 손해배상책임은 그 수탁자를 원청의 소속 직원으로 봅니다(제26조 제7항). 고의·중과실로 유출되면 법원은 손해액의 5배 이내에서 배상액을 정할 수 있습니다(제39조 제3항).

대한항공과 아시아나항공이 쓰는 예약·발권 IT 시스템 운영사 아마데우스에서 비인가 접근이 있었고, 고객 예약번호가 유출된 것으로 확인됐다고 두 항공사가 밝혔습니다(2026년 10월 23일 보도). 결제 정보는 포함되지 않았다고 설명했고, 유출 규모와 다른 항목은 아직 조사 중입니다. 지금 할 일: ① 항공사 공식 홈페이지·앱에서 공지를 직접 확인 ② 항공사를 사칭한 문자·이메일의 링크 클릭·첨부파일 열기·개인정보 입력 금지 ③ 공식 앱에서 내 예약이 그대로인지 확인 ④ 이상한 변경·취소·결제 요구가 있으면 공식 고객센터에 직접 문의.

네. 아시아나항공은 같은 아마데우스 시스템 정보 유출로 예약 관련 정보가 유출된 것을 확인했다고 밝혔고, 결제 관련 정보는 포함되지 않았다고 설명했습니다. 자체 내부 DB가 직접 침해된 정황은 없다고 했습니다. 영향받은 고객 수와 고객 통지 방법은 보도에서 확인되지 않았습니다.

보도에 따르면 대한항공은 10월 23일 저녁 대상 고객에게 이메일로 알렸습니다. 별도의 "유출 여부 조회" 서비스가 있는지는 확인되지 않았으니, 항공사 공식 홈페이지·앱 공지와 회원 계정에 등록된 이메일을 확인하세요. 개인정보 보호법은 유출을 알게 된 개인정보처리자가 지체 없이 정보주체에게 항목·시점·경위 등을 알리도록 정합니다.

아직 확인되지 않았습니다. 두 항공사가 확인했다고 밝힌 유출 항목은 예약번호(아시아나는 "예약 관련 정보")이고, 결제 정보는 포함되지 않았다고 했습니다. 이름·연락처·여권번호 등 다른 항목과 전체 규모는 아마데우스가 조사 중이라고 보도됐습니다.

사유를 증명할 책임은 항공사에 있습니다. 소비자분쟁해결기준은 항공사가 기상사정·공항사정 등을 "증명한 경우" 배상에서 제외하고, 항공사업법 제61조도 항공사가 불가항력 피해임을 증명하고 보호기준을 지켰을 때만 피해구제 의무에서 벗어난다고 정합니다. 그러니 "기상 악화"라는 말만으로 끝내지 말고 사유와 근거를 서면으로 요청할 수 있습니다. 기준표의 "기상사정"은 항공기가 운행할 수 없는 악천후 등의 기상상태를 말합니다.