외국 회사에서 새어 나간 내 정보, 대만에 사는 한국인이 대만 법으로 다툴 수 있는 범위

119명이던 숫자가 2,210명이 됐습니다. KB국민은행이 해킹 유출 규모를 다시 집계해 내놓은 결과입니다(연합뉴스, 2026년 10월 26일). 은행은 10월 2일 고객 119명의 이름·전화번호·주소·암호화된 주민등록번호 등이 유출됐다고 발표했습니다. 26일에는 고객 1,631명과 임직원 460명이 더 확인됐다고 밝혔습니다. 새로운 해킹 공격으로 생긴 유출은 아니고, 기존 시스템의 데이터와 절차를 다시 정밀 검증해 찾아냈다는 것이 은행의 설명입니다.

대만에 사는 한국인 가운데 이 통지를 받은 사람이 있는지는 알려지지 않았습니다. 질문은 그와 상관없이 남습니다. 외국 회사에서 내 정보가 새어 나갔다면, 대만 법은 무엇을 해 줄 수 있을까요?

대만 법이 외국 회사에 닿는 범위

출발점은 대만 개인자료보호법(個人資料保護法) 제51조 제2항입니다. 공무기관이나 비공무기관이 중화민국 영역 밖에서 '중화민국 인민'의 개인정보를 수집·처리·이용할 때에도 이 법을 적용한다는 조항입니다. 기준은 국적입니다. 한국 국적자의 정보를 한국 은행이 한국에서 처리하다 유출했다면, 이 조항의 문언으로는 대만 법이 닿지 않습니다. 여기까지는 분명합니다.

갈리는 곳은 대만 안에서 정보를 받아 간 회사입니다. 타이베이 지점에서 계좌를 열 때 서류를 받아 간 외국계 은행이나 FX 회사가 그런 예입니다. 제51조 제2항은 영역 밖의 처리로 적용을 넓히는 규정이고, 대만 안에서 이뤄진 수집·처리에 대해 피해자의 국적을 묻는 조문은 이 법에 없습니다. 법이 말하는 당사자는 '개인자료의 본인'일 뿐입니다(제2조 제9호). 대만에서 내려받은 해외 여행 앱처럼 서버와 운영 법인이 모두 해외에 있는 서비스라면, 어디에서 수집·처리했는지부터 다툼거리입니다. 이 점을 정면으로 다룬 공개 해석은 이번에 확인하지 못했습니다.

손해를 금액으로 증명하기 어려울 때

통지는 받았지만 아직 계좌에서 돈이 빠져나간 일은 없다면? 손해배상에서 가장 먼저 막히는 곳입니다. 민간 회사의 책임은 제29조가 정합니다. 법을 위반해 개인정보가 불법으로 수집·처리·이용되거나 그 밖에 권리가 침해되면 회사가 배상하고, 고의나 과실이 없었다는 증명은 회사가 해야 합니다. 피해자에게 유리한 출발점입니다.

같은 조 제2항은 제28조 제2항부터 제6항까지를 적용합니다. 재산상 손해가 아니어도 상당한 금액이 배상 대상입니다. 실제 손해액을 증명하기 어렵거나 증명할 수 없으면, 법원에 침해 정도에 따라 한 사람, 한 사건마다 500대만달러 이상 2만 대만달러 이하로 산정해 달라고 청구합니다. 같은 원인으로 여러 사람이 피해를 입은 사건은 배상 총액 상한이 2억 대만달러입니다. 그 사건에 걸린 이익이 이보다 크면 그 이익이 상한이 되고, 총액이 상한을 넘으면 1인 최저액 500대만달러는 적용되지 않습니다.

비재산적 손해의 청구권은 양도하거나 상속할 수 없습니다. 계약으로 금액을 약속받았거나 이미 소를 제기했다면 예외입니다. 개인정보 유출에 대한 회사 쪽의 통지·신고 의무는 대만 사업장 해킹 칼럼에서 따로 다뤘습니다.

기한은 2년

제30조에 따르면 손해배상청구권은 손해와 배상의무자를 안 때부터 2년, 손해가 생긴 때부터 5년이 지나면 소멸합니다. 길지 않습니다. 회사가 보낸 통지를 받은 날은 '안 때'를 따질 때 회사 쪽이 내세울 만한 날짜입니다.

통지에 무엇이 들어가야 하는지는 지금 시행 중인 제12조와 시행세칙이 정합니다. 현행 제12조는 법을 위반해 개인정보가 도용·유출·변조되거나 그 밖에 침해된 경우 사실을 조사한 뒤 적절한 방법으로 당사자에게 알리도록 합니다. 시행세칙 제22조는 그 내용에 침해 사실과 이미 취한 대응 조치를 넣게 하고, 비용이 지나치게 크면 인터넷·언론 공개로 갈음하게 합니다. 2025년 11월 11일 공포된 개정 제12조는 통지와 주무기관 통보를 새로 짰지만, 시행일은 행정원이 정하게 되어 있고 확인일 현재 정해지지 않았습니다(沿革).

소송을 낸다면 어느 법원인가

이 법에 따른 손해배상 소송의 법원은 미리 정해져 있습니다. 제33조는 민간 회사를 상대로 한 소송을 그 회사의 주사무소·주영업소 소재지 지방법원의 전속관할로 합니다. 대만에 주사무소나 주영업소가 없는 외국 법인이라면 중앙정부 소재지, 곧 타이베이의 지방법원이 전속관할입니다(같은 조 제3항). 고를 수 없습니다.

어느 나라 법으로 판단하느냐는 그다음 단계입니다. 섭외민사법률적용법(涉外民事法律適用法) 제25조는 불법행위로 생긴 채무를 불법행위지법에 따르게 하되, 관계가 가장 밀접한 법이 따로 있으면 그 법에 따르게 합니다. 인터넷 등 전파 수단을 통한 불법행위에는 제28조가 따로 있는데, 해킹으로 인한 유출이 여기에 들어가는지는 다툼거리입니다. 대만에서 판결을 받아도 회사 재산이 대만에 없다면, 집행은 그 회사가 있는 나라에서 다시 문제가 됩니다.

혼자 하지 않는 방법

피해자가 수천 명이면 한 사람이 감당할 소송 비용과 시간은 청구액에 비해 무겁습니다. 제34조는 같은 원인 사실로 여러 사람이 피해를 입었을 때 재단법인이나 공익사단법인이 피해자 20명 이상에게서 서면으로 소송실시권을 받아 자기 이름으로 소송하게 합니다. 소송 목적의 값이 60만 대만달러를 넘는 부분은 재판비가 잠정 면제됩니다.

아무 단체나 되지는 않습니다. 제32조가 정한 요건은 재단법인의 등록 재산 1천만 대만달러 이상 또는 사단법인의 사원 100명 이상, 정관 목적에 개인정보 보호가 들어 있을 것, 설립 허가 뒤 3년 이상입니다.

서비스를 이용한 소비자로서의 길도 있습니다. 소비자보호법(消費者保護法) 제50조는 소비자보호단체가 20명 이상의 소비자에게서 손해배상청구권을 양도받아 자기 이름으로 소송하게 하고, 그 단체가 소비자에게 보수를 청구하지 못하게 합니다. 이 소송을 낼 수 있는 단체는 설립 허가 2년 이상, 전문 인력, 행정원의 우량 평정을 갖추어야 하고 변호사를 선임해야 합니다(제49조). 다만 개인자료보호법상 비재산 손해 청구권은 같은 법 제28조 제6항에 따라 이미 소를 제기했거나 계약으로 금액을 약속받은 경우가 아니면 양도할 수 없어, 이 길로 넘길 수 있는 청구의 범위는 따로 따져야 합니다. 어느 길이든 피해자가 서면으로 소송실시권을 주거나 청구권을 양도해야 들어갑니다.

대만에서 먼저 닥칠 수 있는 일

통지 뒤에 실제로 걱정되는 것은 2차 피해입니다. KB국민은행은 2차 피해가 생기면 전액 보상할 방침이라고 10월 2일 밝혔습니다(앞의 연합뉴스 보도).

카드 정보가 새었다면 출발점은 발급 카드사입니다. 대만에서 발급한 카드에 모르는 결제가 청구되어 카드사와 다툼이 생겼다면, 그다음 단계는 금융소비자보호법(金融消費者保護法) 제13조가 정합니다. 먼저 카드사에 이의(申訴)를 내고, 카드사는 30일 안에 처리 결과를 회신해야 합니다. 결과를 받아들이기 어렵거나 회신이 없으면, 결과를 받은 날이나 그 기한이 끝난 날부터 60일 안에 분쟁처리기구에 평의(評議)를 신청합니다.

대만에서 카드나 대출 거래가 있다면 재단법인 금융연합징신중심(財團法人金融聯合徵信中心)의 본인 신용보고서로 모르는 거래가 생겼는지 확인됩니다. 통일증번호(統一證號)가 있는 외국인이 센터 창구에서 신청할 때는 거류증·취업금카드(就業金卡)·통일증번호 기본자료표 가운데 하나와 여권·건강보험카드·대만 운전면허증 가운데 하나의 유효한 원본을 냅니다(聯徵中心 창구 신청 안내). 센터가 안내하는 당사자 주기(當事人註記)에는 앞으로 대출·신용카드를 신청하지 않겠다는 주기와, 금융기관이 보고한 자료에 다툼이 있을 때 붙이는 보충 설명이 있습니다. 금융기관은 대출·카드·계좌 심사 때 이를 참고하지만, 센터 안내대로 알림 효과만 있습니다(聯徵中心 신용자료 주기 안내).

은행이나 기관을 사칭하는 연락, 송금 요구는 대만에서도 뒤따를 수 있습니다. 그런 연락을 받았다면 내정부 경정서의 165 전민방사기망(165全民防騙網)과 165 전화가 문의·신고 창구입니다.

대만 변호사에게 맡길 수 있는 일

외국 회사에 대한 청구가 대만 개인자료보호법으로 가능한지(제51조 제2항, 수집·처리 장소)에 관한 검토, 통지문·결제 기록·2차 피해 기록을 증거로 정리하는 일, 회사에 보내는 서면 청구와 협상, 타이베이 지방법원 소송이나 단체소송 수권 서류의 검토를 대만 변호사에게 맡길 수 있습니다. 한국 회사를 상대로 한국에서 무엇을 청구할 수 있는지는 한국 변호사와 따로 확인할 부분입니다. 대만 판매자와의 일반적인 소비자 분쟁은 온라인 주문 분쟁 칼럼, 민사 업무 범위는 민사 분쟁 안내에 있습니다. 상담 문의: wei@hoveringlaw.com.tw. 호정국제법률사무소(昊鼎國際法律事務所) 타이베이 사무소: 103 臺北市大同區承德路一段35號7樓之2.

통지문은 2년을 세는 출발점으로 다퉈질 수 있는 문서입니다. 받은 날짜가 남아 있는 원본 그대로가 첫 증거입니다.

참고한 자료

확인일: 2026년 10월 27일.

• 개인자료보호법(個人資料保護法) — 제2조, 제28조, 제29조, 제30조, 제32조, 제33조, 제34조, 제51조, 개정 제12조(시행일 미정)
• 개인자료보호법 현행본(2023년 5월 31일 개정본, 제12조 포함), 개인자료보호법 沿革
• 개인자료보호법 시행세칙 제22조
• 소비자보호법(消費者保護法) 제49조, 제50조
• 금융소비자보호법(金融消費者保護法) 제13조
• 섭외민사법률적용법(涉外民事法律適用法) 제25조, 제28조
• 연합뉴스, 「해킹 발표 24일 만에…KB국민은행 정보유출 119→2천210명(종합)」, 2026년 10월 26일
• 내정부 경정서 165 전민방사기망
• 재단법인 금융연합징신중심, 창구 신청 안내(親臨或委託親友至聯徵中心櫃台辦理)
• 재단법인 금융연합징신중심, 신용자료 주기(信用資料註記) 안내