고객센터 상담사가 개인정보를 유출하면 누가 책임지나요?
회사가 책임집니다. 개인정보처리자가 법을 위반해 손해를 입히면 정보주체는 손해배상을 청구할 수 있고, 회사는 고의·과실이 없음을 입증하지 못하면 책임을 면할 수 없습니다(개인정보 보호법 제39조 제1항). 외주 운영업체가 위탁 업무 중 법을 위반해 생긴 손해배상책임은 그 수탁자를 원청의 소속 직원으로 봅니다(제26조 제7항). 고의·중과실로 유출되면 법원은 손해액의 5배 이내에서 배상액을 정할 수 있습니다(제39조 제3항).
결과가 달라지는 조건 · 지금 할 일 · 2026-10-22 공식 자료로 확인
결과가 달라지는 조건
· 유출 통지를 받음: 통지 내용(유출 항목·시점)을 보관합니다.
· 피해 발생: 피해와 유출의 연결을 정리합니다.
· 상담사의 의도적 유출: 형사 고소를 함께 검토합니다.
지금 할 일
- 회사의 유출 통지·안내를 보관합니다.
- 개인정보침해 신고센터 118에 신고·상담합니다.
- 손해배상 청구 가능성은 대한법률구조공단 132에 상담합니다.
이어서 확인할 질문
원청이 위탁한 업무에 필요한 범위까지입니다. 수탁자(외주 운영업체)는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공할 수 없고(개인정보 보호법 제26조 제5항), 다시 위탁하려면 원청 동의가 필요합니다(제6항). 원청은 위탁 업무와 수탁자를 공개하고(제2항), 수탁자를 교육·감독해야 합니다(제4항). 구체적으로 어떤 화면을 보는지는 회사 내부 설계라 공개되지 않습니다.
개인정보요청할 수 있습니다. 자신의 개인정보를 열람한 정보주체는 정정 또는 삭제를 요구할 수 있고, 회사는 지체 없이 조사해 조치한 뒤 결과를 알려야 합니다(개인정보 보호법 제36조). 다만 다른 법령에서 수집 대상으로 정한 정보는 삭제를 요구할 수 없고(제36조 제1항 단서), 전자상거래 사업자는 거래기록과 관련 개인정보를 동의 철회 후에도 보존할 수 있습니다(전자상거래법 제6조 제2항). 불만·분쟁처리 기록은 3년 보존 대상입니다(시행령 제6조).
개인정보전달될 수 있습니다. 다만 요건이 있습니다. 개인정보를 국외로 제공·처리위탁·보관(조회 포함)하는 것은 원칙적으로 금지되고, 별도 동의나 법이 정한 예외가 있어야 합니다(개인정보 보호법 제28조의8 제1항). 계약 체결·이행에 필요한 처리위탁·보관이라면 이전 항목, 국가·시기·방법, 받는 자의 명칭·연락처, 이용 목적·보유기간, 거부 방법 등을 처리방침에 공개하거나 알리면 이전할 수 있습니다(제1항 제3호, 제2항). 해외 고객센터가 실제로 늘고 있는지는 공식 통계를 확인하지 못해 조사 중입니다.
왜 이렇게 처리되나
· 입증 책임 전환(제39조 제1항): 소비자가 회사의 과실을 증명하지 않아도, 회사가 과실 없음을 증명해야 합니다.
· 징벌적 손해배상(제3항): 고의·중대한 과실로 유출 → 손해액의 5배 이내.
· 사용자책임(민법 제756조): 상담사의 업무 중 불법행위에 대해 사용자도 배상책임을 질 수 있습니다.
· 상담사 개인: 형사 책임이나 회사의 구상(제756조 제3항)은 별개로 따질 수 있습니다.
손해(금전 피해, 정신적 피해)의 존재와 액수는 소비자가 주장·입증해야 하는 부분이 남아 있습니다.
누가 판단하나 — 소비자 몫과 사업자 사이 몫
손해배상은 법원(또는 개인정보 분쟁조정위원회)이 판단합니다.
확인된 사실과 공개되지 않은 것
- 개인정보 보호법 제26조 제7항: 수탁자가 위탁 업무와 관련해 이 법을 위반해 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 봅니다.
이런 일이 왜 반복되는지 궁금하다면 AMS 분석: 고객센터는 왜 이렇게 운영될까 — 외주·권한·AI·보상의 비용 구조, 고객탐정에서 돈과 책임이 어떻게 나뉘는지 이어서 볼 수 있습니다.
사람들이 이것도 물어봐요
회사마다 다르며, 일괄적으로 "쓴다" 또는 "안 쓴다"고 말할 수 없습니다. 법적으로는 회사가 개인정보를 수집 목적 범위에서만 이용할 수 있고(개인정보 보호법 제15조), 그 범위를 넘으면 별도 동의 등 예외가 있어야 합니다(제18조). 상담 처리를 위해 받은 대화를 AI 모델 학습에 쓰는 것이 원래 목적 범위에 들어가는지는 처리방침의 이용 목적 기재와 구체적 처리 방식에 따라 달라집니다. 먼저 처리방침에서 "상담 내용"의 이용 목적과 보유기간을 확인하세요.
개인정보모든 회사가 모든 통화를 녹음하는지는 확인할 수 없습니다. 통화 연결 전 "녹음됩니다" 안내가 나오는 경우가 많지만 회사마다 다릅니다. 법적으로 통신비밀보호법이 금지하는 것은 "공개되지 아니한 타인간의 대화"의 녹음입니다(제3조, 제14조). 대법원은 대화에 참여한 사람이 녹음하는 경우 다른 사람의 발언은 녹음자와의 관계에서 타인간의 대화가 아니라고 봤습니다(2006도4981). 다만 녹음 파일도 개인정보이므로 회사는 수집 목적·보유기간 등을 지켜야 합니다(개인정보 보호법 제15조).
개인정보요구할 수 있습니다. 회사가 처리하는 내 개인정보에 대한 열람을 요구할 수 있고(개인정보 보호법 제35조 제1항), 회사는 대통령령이 정한 기간 안에 열람하게 해야 합니다(제3항). 상담 녹취에는 내 음성과 상담 내용이 들어 있어 열람 대상이 될 수 있습니다. 다만 다른 사람의 생명·신체를 해할 우려나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있으면 회사가 사유를 알리고 제한하거나 거절할 수 있습니다(제4항). 녹취가 이미 보유기간이 지나 파기됐다면 받을 수 없습니다.
개인정보녹취 파일의 보관기간은 회사가 처리방침에 정하며, 회사마다 다릅니다. 모든 녹취에 일괄 적용되는 법정 보관기간 조문은 AMS가 확인하지 못했습니다. 관련된 법정 기준은 있습니다. 전자상거래 사업자는 소비자의 불만 또는 분쟁처리에 관한 기록을 3년간 보존해야 합니다(전자상거래법 시행령 제6조 제1항 제4호). 녹취가 이 "기록"에 해당하는지는 회사의 기록 방식에 따라 다릅니다(INFERRED). 보유기간이 지나거나 목적을 달성하면 지체 없이 파기해야 합니다(개인정보 보호법 제21조).
구조많은 기업이 고객 응대 업무를 전문 운영업체에 맡깁니다. 이때 전화를 받는 상담사는 운영업체와 근로계약을 맺은 직원이라, 이름이 알려진 회사(원청)의 직원이 아닐 수 있습니다. 다만 소비자와 계약한 상대방은 여전히 원청이고, 원청이 다른 사람을 써서 의무를 이행할 때 그 사람의 잘못은 원청의 잘못으로 봅니다(민법 제391조). 상담사 소속과 소비자에 대한 책임은 별개입니다.
출처
- 개인정보 보호법 제39조(손해배상책임) — 시행본 원문 — 국가법령정보센터 · 법령·생활법령정보
- 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) — 시행본 원문 — 국가법령정보센터 · 법령·생활법령정보
- 민법 제756조(사용자의 배상책임) — 시행본 원문 — 국가법령정보센터 · 법령·생활법령정보
이 페이지의 수치·기한은 2026-10-22에 위 출처로 재확인했습니다.