/그래픽=신재민 편집위원


"제 개인정보는 이제 공공재네요." 가입 사실조차 잊고 있던 온라인 사이트에서 개인정보 유출 통보를 받은 A씨의 한탄이다.

개인정보보호위원회에 따르면, 개인정보 유출 신고는 지난해 447건이다. 올해 상반기에는 432건이었다. 유출 규모는 2024년 1377만건에서 지난해 1억건을 넘어섰다.

금융권에서는 지난 9월30일부터 이달 3일까지 한 달여 만에 37개사에서 40건의 침해사고가 잇따랐다. 유출된 고객·임직원 정보는 약 47만3000건. 금융위원회는 계좌 비밀번호 등 민감정보 유출과 개별 이용자의 직접 피해는 아직 확인되지 않았다고 밝혔지만, 국민 불안은 커지고 있다. 법조계에서는 개인정보 유출 피해자가 실질적인 배상을 받기 어려운 구조부터 개선해야 한다는 지적이 나온다.

기업이 거부하면 끝?

개인정보 유출 피해를 입었다면 가장 먼저 할 수 있는 일은 개인정보분쟁조정위원회에 분쟁조정을 신청하는 일이다. 만약 피해자가 50명 이상이고, 피해 정도가 유사하다면 집단분쟁조정을 신청할 수 있다. 배상 규모에 대해 기업이 받아들여 조정이 성립되면 재판상 화해와 같은 효력을 갖는다. 문제는 기업이 조정안을 거부하면 그때부터 '소송 지옥'에 빠져들어 간다는 점이다.

대규모 개인정보 유출 사고가 발생한 SKT와 쿠팡 등의 사례가 모두 엇비슷하다. 지난해 SKT 유심 정보 유출 사고의 피해자는 2300만명이 넘었다. 개인 731명과 집단 3267명 등 3998명이 분쟁조정위를 통해 조정을 신청했다. 위원회는 지난해 11월 1인당 30만원 배상 조정안을 의결했지만 SKT는 이미 선제적 보상이 이뤄졌다며 거부했다.

한국소비자원 소비자분쟁조정위원회의 별도 조정안도 SKT의 거부로 무산됐다. 당시 위원회는 지난해 12월 신청인 58명에게 통신요금 5만원 할인과 5만 포인트를 제공하도록 했지만, SKT는 올해 1월 자발적 보상이 이뤄졌다며 역시 수용하지 않은 것이다.

조정 신청이 무산되자 피해자 상당수가 배상을 포기했다. SKT 사건의 집단분쟁조정과 민사소송을 대리하는 최호웅 변호사(법무법인 덕수)에 따르면, 집단분쟁조정 신청자 3267명 가운데 손해배상 소송 참여자는 14.8%인 485명에 그쳤다. 올해 2월 제기한 소송은 9개월이 지나도록 첫 변론기일도 열리지 않고 있다.

피해 구제 1년째 제자리

쿠팡의 개인정보 유출 사고 규모는 SKT보다 컸다. 약 3755만명의 개인정보가 새나갔고, 지난 6월까지 분쟁 조정 신청자만 14만5653명에 달했다. 분쟁조정위는 신청자 자격 확인 등에 시간이 걸린다며 아직까지 조정안조차 내놓지 못하고 있다. 쿠팡 개인정보 유출 사고는 지난해 11월 확인돼 1년이 다 됐다.

쿠팡은 지난 9월 소비자분쟁조정위가 별도로 피해자 50명에게 제시한 1인당 10만원 배상 조정안도 거부했다. 이미 5만원 상당의 구매이용권을 제공한 점 등을 이유로 들었다.

개인정보분쟁조정위나 소비자분쟁조정위 등을 통한 피해 배상이 쉽지 않은 만큼 피해자는 곧바로 민사소송을 제기할 수도 있다. 법정손해배상 제도를 이용하면 구체적인 손해액을 입증하지 않고도 300만원 이하의 배상을 청구할 수도 있다. 이때 기업은 고의나 과실이 없음을 입증하지 못하면 배상 책임을 져야 한다.

하지만 쿠팡 상대 소송을 대리하는 이은우 변호사(법무법인 지향)는 "(재판 종류와 관계없이) 기업이 행정처분이나 수사 결과를 기다리자며 재판을 늦춰달라고 요구하면 소송은 지연될 수밖에 없다"고 말했다.

소송이 지연될수록 피해자 부담도 커진다. OTT를 통해 개인정보가 유출된 30대 여성 B씨는 "반복되는 사고로 피해 규모를 가늠하기 힘든데, 언제 소송이 끝날지 모르니 소송에 참여하는 것도 부담"이라고 말했다.

"정부 조사 속도 높여야"

법조계에선 옵트아웃(Opt-out) 방식의 집단소송과 증거 확보 절차 보완이 필요하다고 지적한다. 현행 공동소송의 판결 효력은 원칙적으로 소송 당사자에게만 미친다. 옵트아웃 방식은 대표자가 소송을 진행하고, 제외 의사를 밝히지 않은 피해자 집단에 판결 효력이 미친다. 이은우 변호사는 "기업이 소송을 지연시키면 결국 마지막까지 남은 극히 일부 인원에게만 배상이 돌아간다"고 말했다.

정부 조사의 장기화도 개인 배상의 걸림돌이다. 개인정보보호위가 박홍배 더불어민주당 의원실에 제출한 자료에 따르면 지난 9월 말 기준 조사에 착수한 지 1년이 넘었지만 아직까지 결론을 내지 못한 사건이 175건에 이른다. 이들 사고를 통해 유출된 개인정보 규모는 1433만5000건에 이른다. 이 많은 사건의 책임 소재가 아직까지 정확하게 판가름나지 않은 것이다.

최경진 한국정보법학회장(가천대 법학과 교수)은 "개인정보 유출 사고가 끊이지 않는 만큼 (개보위의) 조사 체계를 정비해 신속하게 결론을 내고 유출 사고의 책임 범위를 빨리 결정해야 유사 사고를 막을 수 있다"고 말했다.