정보유출 집단소송, 생존 위기 내몰린 중소기업

보안 인력과 재무 여력이 부족한 중소기업은 여권이 추진 중인 옵트아웃(제외신고형) 방식의 집단소송제가 시행될 경우 개인정보 유출 사고 한 번으로도 존립에 위협받을 가능성이 커졌다. 해킹에 취약할 뿐 아니라 사고 수습 역량도 상대적으로 떨어지는 상황에서 막대한 배상 책임을 지기도 버겁기 때문이다. 기업이 상장사일 경우 소액주주도 피해에서 자유롭지 않다.

최근 교육 플랫폼 '패스트캠퍼스'와 '제로베이스' 등을 운영하는 데이원컴퍼니는 깃허브 마스터 계정 키값이 탈취되면서 고객 이름과 이메일, 전화번호, 암호화된 비밀번호 등이 외부에 노출됐다. 추가 조사에서는 주소와 직무·직급, 카드번호 일부, 환불계좌 정보까지 유출 가능성이 확인됐다.

지난 3월에는 에듀테크 기업 아이스크림미디어에서도 교사 등 이용자 약 20만명의 개인정보가 유출됐다. 사용자 이름과 휴대전화번호, 이메일뿐 아니라 학교명과 주소 등 근무지 정보도 포함됐다. 국내 온라인동영상서비스(OTT) 티빙 역시 지난 5월 온라인 주민등록번호로 불리는 CI값과 중복가입확인정보(DI)가 유출됐다.

국회입법조사처에 따르면 중소기업의 사이버 침해사고 신고는 2021년 518건에서 2024년 1575건으로 약 3배 늘었다. 2025년 8월까지 접수된 신고도 1473건에 달했다. 사고 10건 중 9건은 중소·중견기업에서 발생했다. 2024년 전체 신고의 90.9%, 2025년 8월까지 신고의 90.6%가 중소·중견기업이었다.

대기업에 비해 중소기업의 보안 관련 인프라와 대응 역량은 현저히 뒤처진다. 과학기술정보통신부와 한국인터넷진흥원의 '2024 정보보호 실태조사' 결과, 종사자 250명 이상 기업의 정보보호 조직 보유율은 87%였지만 10~49명 기업은 26.2%에 그쳤다. 정보보호 정책 보유율도 각각 98.7%, 48.9%로 두 배 가까운 격차를 나타냈다.

기업 규모가 크지 않아도 플랫폼 사업자는 수백만명의 개인정보를 보유할 수 있다는 점에서 집단소송 위험이 대기업에 비해 작지 않다. 2020년 개인정보 유출 사고를 낸 스타일쉐어에서는 640만여건의 회원 정보가 외부에서 열람됐다. 당시 스타일쉐어는 중소벤처기업부가 선정한 차세대 유니콘 기업이었지만 회원 수는 약 640만명에 달했다.

집단소송제가 도입되면 피해 규모에 비례해 기업 부담도 급격히 커질 수밖에 없다. 제외 의사를 밝히지 않은 전체 피해자를 대상으로 배상 책임이 인정될 수 있는 구조이기 때문이다.

과거 모두투어는 개인정보 유출 피해자들이 제기한 손해배상 소송에서 피해자 1인당 10만원을 지급하라는 판결을 받았는데 이를 모두투어 회원 306만명 전체에 적용하면 배상액은 3060억원으로 불어난다. 이는 지난해 영업이익(74억원)의 41배, 자기자본(925억원)의 3배를 웃도는 규모다. 티빙도 가입자 약 1953만명에게 같은 기준을 적용하면 잠재 배상액이 1조9530억원에 달한다. 지난해 자기자본(2068억원)의 약 10배 수준이다.

3년 소급 적용까지 현실화될 경우 기존 법과 제도에 맞춰 대응했던 기업들도 새로운 집단소송 위험에 직면하게 된다. 기존 손해배상 체계를 전제로 가입한 책임보험의 실효성도 떨어질 가능성이 있다. 이 같은 부담은 결국 소액주주에게도 전가된다. 대규모 배상과 소송 비용으로 순이익과 배당이 줄고 보안 투자와 연구개발이 위축될 수 있어서다. 상장 중소기업은 주가 하락과 자금조달 비용 상승까지 겹칠 가능성이 크다. 안전조치 의사결정에 관여하지 않은 소액주주가 기업가치 하락을 통해 손실을 떠안는 구조라는 지적이 나오는 이유다.

이에 책임 강화와 함께 중소기업 지원도 병행돼야 한다는 목소리가 나온다. 개인정보보호위원회가 올해 중소사업자 60곳을 대상으로 안전조치 점검과 취약점 진단 시범사업을 시작했지만 전체 중소기업 규모를 고려하면 지원 범위는 제한적이다.

중소기업 관계자는 "중소·중견기업은 대규모 집단소송에 따른 과도한 배상 부담이 경영을 넘어 기업 존립 자체를 위협할 수 있다"며 "국내 산업 구조를 고려한 제도 설계와 함께 보안 투자 지원, 후속 대응 체계 마련이 병행돼야 한다"고 말했다.