은폐할수록 유리한 집단소송 소급입법 딜레마

여권 주도의 집단소송법이 속도를 내고 있지만 소급 적용이 현실화되더라도 유출 사실과 피해 규모를 증명할 자료가 없다면 배상책임을 묻기 어렵다. 사고를 공개한 기업보다 증거를 인멸하고 조사를 방해한 기업이 유리해지는 역설이 나타날 수도 있다.

쿠팡은 지난해 말 개인정보 유출 사태가 불거진 이후 유출 규모를 축소했다는 의혹에 시달렸다. 자체조사 결과 전직 직원이 3300만명의 고객 정보에 접근한 사실은 인정하면서도 외부 저장장치에 저장한 계정은 약 3000개에 불과하다는 입장을 밝혔기 때문이다.

개인정보보호위원회는 최종 조사에서 약 3756만명의 개인정보가 유출됐다고 판단했다. 쿠팡이 피해 범위를 충분히 확인하지 않은 상태에서 규모를 축소해 발표하고 조사 과정에서 자료 제출을 지연한 사실도 확인했다.

통신업계에서도 비슷한 논란이 이어졌다. KT는 과거 악성코드 감염 사실을 신고하지 않은 채 침입자의 접속기록을 삭제하고 조사 과정에서 사실과 다른 자료를 제출한 것으로 조사됐다. SK텔레콤도 2022년 2월 악성코드에 감염된 서버를 발견해 조치하고도 정보통신망법에 따른 신고 의무를 이행하지 않은 사실이 지난해 과학기술정보통신부 민관합동조사단 조사에서 확인됐다.

LG유플러스는 침해 정황이 포착된 서버의 운영체제를 재설치하고 일부 장비를 폐기해 수사기관에 통보됐다. 개인정보위 조사는 2025년 9월10일 시작됐는데 서버가 사라지면서 침해 경로와 추가 유출 규모를 확인하지 못했고 위반 사실과 규모를 특정할 물증도 확보하지 못했다. 조사 착수 전 은닉·폐기여서 개인정보보호법상 조사방해 요건에도 해당하지 않아 형법상 공무집행방해로 경찰에 수사의뢰하는 데 그쳤다.

처분 결과는 대조적이다. 과기정통부 민관합동조사단 최종 조사에서 KT는 계약상 주요 의무 위반이 인정돼 해지 고객 위약금 면제 적용이 가능하다는 판단을 받았다. LG유플러스는 서버 폐기로 조사 자체가 불가능해 추가 조치 없이 수사 의뢰로 종결됐다.

자료 삭제와 조사 방해는 행정처분에만 영향을 미치지 않는다. 집단소송에서는 같은 원인으로 피해를 본 사람의 범위와 기업의 과실, 유출과 손해 사이의 인과관계를 증명해야 한다. 접속로그와 서버 이미지, 계정별 접근 내역이 없으면 피해자 집단을 확정하는 단계부터 어려움이 발생한다.

증거의 격차는 집단소송법 시행 전 사건을 다루는 소급소송에서 더 커질 수 있다. 사고 이후 시간이 지나 정상적인 보존기간이 끝난 자료와 조사 회피를 목적으로 삭제한 자료를 구별하기 어렵기 때문이다. 기업은 집단소송을 예상하지 못해 자료를 보관하지 않았다고 주장할 수도 있다.

현재 추진 중인 집단소송제에선 증거확보와 문서 제출 거부에 대한 제재가 들어 있지만 삭제·훼손한 기업을 직접 제재하거나 불리하게 추정하는 규정은 없는 실정이다.

자료를 충실히 보존한 기업은 사고 원인과 피해자 수가 드러나 배상 범위를 산정하기 쉽다. 자료를 삭제한 기업은 피해자가 구체적인 사실을 제시하지 못했다는 이유로 집단의 범위와 인과관계를 다툴 여지가 생긴다. 은폐가 결과적으로 민사책임을 줄이는 수단이 될 수 있는 것이다.

보완책으로는 침해 징후를 인지한 시점부터 접속로그와 서버 이미지, 내부 보고서 등을 보존하도록 하는 방안이 거론된다. 정당한 이유 없이 증거를 폐기하면 피해자의 주장을 사실에 가깝다고 추정하거나 입증책임을 완화하는 방식도 검토 대상이다.

고의적인 은폐 기간에는 소멸시효 진행을 정지하고 배상액 산정에 반영하는 방안도 제시된다. 사고를 신속히 신고하고 원본 자료를 보존한 기업에는 감경 가능성을 부여해 은폐보다 공개가 유리한 구조를 만들자는 취지다.

안정민 한림대 융합과학수사학과 교수는 "증거를 보존한 기업이 증거를 없앤 기업보다 유리하면 안 되니 의무를 부과해야 한다"고 주장했다. 이어 "모든 자료를 보전하지 않았다는 것을 증거 인멸로 보기도 어렵다"면서 "여러 가지 부분을 소급 시행해서 혼란스러운 것인데 논의를 거친 후에 법이 제정돼야 한다"고 강조했다.