“제대로된 보상 어렵다” 쿠팡 개인정보 유출 사태가 남긴 숙제

집단소송·분쟁조정 확산에도 배상 현실은 1인당 10만 원 수준 전망…징벌적 손해배상 실효성 논란

[일요신문] 쿠팡에서 3000만 개 이상의 고객 개인정보가 외부로 유출되는 사태가 발생했다. 정부 관계 부처와 국회에서는 쿠팡에 역대급 과징금을 부과와 징벌적 손해배상 적용을 검토하고 있다. 피해자와 시민단체에서도 집단소송·분쟁조정 움직임을 본격화하고 있다. 일각에서는 현행 제도로는 제대로 된 보상이 불가능하다는 지적도 나오고 있다.

서울 송파구 쿠팡 본사 전경. 사진=임준선 기자

지난 11월 29일 쿠팡은 “고객 계정 약 3370만 개가 무단으로 노출된 것으로 확인됐다”며 “노출된 정보는 이름, 이메일 주소, 배송지 주소록, 일부 주문 정보”라는 메시지를 고객들에게 발송했다. 이어 “(쿠팡은) 이번 노출을 인지한 즉시 경찰청, 개인정보보호위원회, 한국인터넷진흥원 등 관계기관에 신고했으며 조사에 협조하고 있다”며 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않았으며 안전하게 보호되고 있다. 고객이 별도 계정 조치를 취할 필요는 없다”고 덧붙였다.

수사당국과 정부의 조사에 따르면 쿠팡의 개인정보 유출은 6월 24일부터 11월 18일까지 약 5개월간 지속됐다. 공격자는 로그인 절차 없이 고객 정보를 여러 차례 비정상으로 접속해 유출했으며, 이 과정에서 쿠팡 서버 접속 시 이용되는 인증용 토큰을 전자 서명하는 암호키가 사용됐다. 공격자가 누구인지는 특정되지 않았으며, 쿠팡에 개인정보 유출 사실을 알리겠다는 협박성 이메일을 보낸 인물과 공격자가 동일인인지도 확인 중이다. 여기에 비회원 배송자 정보도 유출된 것으로 확인돼 쿠팡의 개인정보 유출 사태의 피해자는 더욱 늘어날 것으로 전망된다.

쿠팡의 개인정보 유출 발표 이후 소비자들과 시민단체에서는 집단분쟁조정과 단체소송에 나섰다. 12월 3일 참여연대와 민주사회를 위한 변호사모임(민변), 민생경제위원회, 한국소비자연맹은 서울 송파구 신천동 쿠팡 본사 앞에서 기자회견을 열고 한국소비자단체협의회 자율분쟁조정위원회에 분쟁조정을 신청한다고 밝혔다. 이들 단체는 9일까지 분쟁조정에 참여할 피해자를 모집 중이다.

쿠팡 이용자 50여 명도 12월 2일 한국소비자원에 '쿠팡 개인정보 유출 사태 집단분쟁조정 신청서'를 제출한 바 있다. 소비자들은 전체 쿠팡 이용자를 대상으로 1인당 12만 원 배상 또는 이에 상응하는 서비스 혜택 지급을 요구했다. 또 쿠팡 이용자 37명은 개인정보분쟁조정위원회에 개인정보 유출과 관련해 분쟁 조정을 신청하기도 했다.

단체손해배상소송도 본격화되고 있다. 단체소송을 위해 만들어진 온라인 카페 회원 수는 50만 명을 돌파했고, 법무법인과 법률사무소별로 수천~수만 명 참여 의사를 밝혔다.

가장 먼저 손해배상 소송을 제기한 법무법인 청은 14명을 대리했다. 청은 12월 1일 서울중앙지법에 1인당 20만 원의 위자료를 청구하는 소송을 제기했다. 소송대리인을 맡은 곽준호 법무법인 청 대표변호사는 “유출 범위가 모두 확인될 때까지 기다리면 피해 구제가 지연될 수 있어 선제적으로 소송을 제기했다”고 말했다. 3일에는 법률사무소 번화에서 3000명 이상의 참여자를 대리해 1인당 30만 원의 손해배상을 서울동부지법에 청구했다.

이외에도 법무법인 일로에서는 착수금과 소송비용 없이 성공보수 30%로 집단소송을 진행 중이며, 노바법률사무사에서는 착수비 1만 1000원에 성공보수 20% 조건으로 진행 중이다. 법무법인 대륜은 개인정보보호 및 IT 분야에 특화된 전문 변호사들을 중심으로 전담 태스크포스(TF)를 구성하고 본격적인 대응에 나선다는 방침이다.

SK텔레콤, 롯데카드, KT 등에서도 발생한 대규모 개인정보 유출 관련 집단분쟁조정과 단체소송도 진행 중인 상황에 쿠팡 사건도 더해진 셈이다. 하지만 과거 전례를 비춰봤을 때 개인정보가 유출된 이용자들이 받는 배상액은 10만 원 내외로 예상된다. 게다가 소송에 참여한 이용자만 배상액을 받을 수 있다.

2014년 KB국민·NH농협·롯데카드에서 고객 이름, 주민등록번호, 카드번호 등 20종의 개인정보 1억여 건이 유출된 사건 당시 법원은 1명당 최대 10만 원을 배상하라고 판결했다. 피해자들은 1인당 20만∼70만 원씩 총 13억여 원을 요구했으나 재산상 피해가 확인되지 않았고 카드사가 2차 피해 방지를 위해 노력한 점이 참작됐다. 이후 발생한 2016년 인터파크, 2024년 모두투어 개인정보 유출 사례에서도 1인당 10만 원 배상 판결이 내려졌다.

기업 배상액을 받지 못한 사례도 있다. 2014년 KT 가입자 981만 명의 개인정보 1170만 건이 유출된 사건에서 고객들은 1인당 50만 원을 요구하며 소송을 냈으나 대법원은 KT의 손해배상 책임을 인정하지 않았다. 당시 대법원은 KT가 법령상 보호조치를 이행했음에도 정보 유출이 발생해 책임을 물을 수 없다는 2심 판결을 확정했다.

정부서울청사에서 송경희 개인정보보호 위원장이 쿠팡 개인정보 유출 수정 통지, 피해 최소화 방법 안내 강화, 2차 피해 방지를 위한 자체 대응 관련 제25회 개인정보보호위원회 회의를 주재하고 있다. 사진=임준선 기자

법조계에서는 피해자들이 의지할 곳은 현실적으로 단체소송밖에 없다고 말한다. SKT 개인정보 유출 관련 소송을 진행하고 있는 한 변호사는 “현재 대규모 개인정보 유출과 관련해 집단분쟁조정은 기업이 조정 결과에 따라야 하는 의무가 없으며, 단체소송의 경우 피해자들에게 돌아가는 배상액이 매우 낮다”며 “그런데도 피해자들은 단체소송 외에 자신의 권리를 지키고 의지할 곳이 없다”고 지적했다. 그러면서 “미국과 유럽연합(EU)는 사업자에 대한 처벌과 피해자 배상 수준이 강력하다”며 “제도적으로 다소 과하다고 생각할 수 있는 장치가 있어야 기업이 사고를 막기 위해 보안 절차를 강화하거나 전문가를 영입하고, 예방 효과로 이어진다. 우리나라에서도 강력한 통제 장치가 우선돼야 한다”고 말했다.

한 변호사는 “현재 개인정보 유출 사건이 발생하면 사업주의 과실 여부를 따지는데, 보안 체계를 갖추었다는 이유만으로 과실이 인정되지 않는 경우도 있다”며 “징벌적 손해배상이 있지만 실효성이 떨어지고, 개인정보 유출과 관련해서는 관련 법 조항도 오래 돼 기준이 모호하다"며 제도 개선을 요구했다.

김철준 기자 [e-mail]