/그래픽=신재민 편집위원


"OO아, 내가 너 사랑하면 안 되냐?"

20대 여성 A씨는 얼마 전 국제 발신으로 표시된 문자메시지를 받고 깜짝 놀랐다. 스팸 문자야 늘 받는 것이지만, 이 문자엔 자신의 이름이 정확하게 적혀 있었다. A씨는 "어디선가 빠져나간 내 개인정보를 이용해 스팸 문자를 보냈을 텐데, 요즘은 하루가 멀다 하고 개인정보 유출 사고가 터지니 어디서 빠져나간 건지 어떻게 알 수 있겠느냐"며 "개개인은 도대체 어디서 얼마만큼 내 정보가 빠져나갔는지 알 수 없으니 답답하다"고 말했다.

지난해 개인정보 유출 신고는 447건, 유출 규모는 1억건에 달했다. 어마어마한 양의 개인정보가 보이스피싱이나 부정 결제 요구 등 각종 범죄에 악용될 수 있지만, 개인은 내 정보가 처음 어디에서 유출됐는지 찾아낼 방법이 없다. '2차 피해'를 입증할 수 없으니 '1차 유출 기업이나 기관'으로부터 보상받을 길도 없다.

개인정보 유출 피해 소송을 대리하는 변호사들도 개인정보 유출과 피해의 인과관계를 입증하는 것이 가장 큰 법률적 장벽이라고 말한다. 민주사회를 위한 변호사모임(민변)은 개인정보 유출 피해자들로부터 본인도 모르는 사이 해외에서 카드 결제가 이뤄졌다는 제보를 받았다. 이들은 개인정보가 빠져나간 곳으로 A 기업을 지목했다. 관련 손해배상 소송을 준비하던 민변은 결국 인과관계 입증이 쉽지 않다고 보고 소송을 포기했다.

최새얀 민변 디지털정보위원회 변호사는 "A 기업에서 유출된 정보로 2차 피해를 입었다는 심증은 있지만, 이를 증명할 방법이 없었다. 범죄자가 어떤 경로로 피해자 정보를 얻었는지 피해자가 입증한다는 건 매우 어려운 일"이라고 말했다.

유출 정보와 후속 피해의 연결고리가 인정돼 손해배상으로 이어진 사례는 극히 드물다.

숙박 플랫폼 '여기어때'에서는 2017년 2~3월 해킹으로 숙박 예약 정보 323만여 건과 고객 개인정보 7만여 건이 유출되는 사고가 있었다. 당시 일부 이용자들은 숙박 예약 정보를 악용한 음란성 협박 문자를 받았다. 법원은 사고 5년여 만인 2022년 9월 원고 일부 승소 판결을 내렸다. 재판부는 피해 정도에 따라 1인당 5만~40만원의 위자료를 지급하도록 했다.

이 사건을 대리한 윤제선 변호사(법무법인 창천)는 "당시 유출된 정보가 매우 민감한 개인정보였고, 유출된 정보로 협박까지 당했다는 점이 위자료 액수를 산정하는 데 반영됐다"고 말했다. 윤 변호사는 "협박에 사용된 정보가 매우 구체적이었고, 이 정보의 출처를 특정하기가 상대적으로 용이했기 때문에 소송에서 이긴 '특수 케이스'"라며 "최근에는 법원이 유출 사실만으로 손해가 발생했다고 볼 수 없다는 판단을 내리기도 한다"고 전했다.

개인정보보호위원회(개보위) 관계자는 "보이스피싱 범죄가 발생했을 때 어디서 어떤 정보를 갖고 범행을 저질렀는지 그 출처를 파악하기는 매우 어렵다. 기업에는 개인정보 유출을 막을 사전 예방 조치를 충분히 했는지 여부로 책임을 물을 수밖에 없다"고 말했다. 이 관계자는 또 "손해배상 소송에서 피해자의 입증 책임을 최소화하는 방법을 모색하고 있다"고 덧붙였다. 개보위는 유출된 정보를 찾아주고 본인이 직접 비밀번호를 바꿀 수 있는 '털린 내 정보 찾기' 서비스도 제공하고 있다.

개인정보 유출 이후 '2차 범죄'가 점점 다양해지는 만큼 '2차 피해' 배상 책임을 엄격히 물어야 한다는 지적도 나온다. 최근엔 개인정보 유출 피해가 워낙 광범위하게 일어나다 보니 피해 보상을 해준다는 스미싱 범죄가 잇따르고 있다. 피해 보상을 위해 필요한 절차라며 악성 앱 설치를 유도하고, 이를 통해 또 다른 정보를 탈취하거나 돈을 빼가는 식이다.

김득의 금융정의연대 대표는 "2차 피해는 유출 직후가 아니라 1년, 혹은 몇 년 뒤에 발생할 수도 있다"며 "(기업이) 보안 투자 비용보다 피해보상 비용이 적게 든다고 판단하지 않도록 하는 게 중요하다. 기업의 배상 책임을 강화해야 배상에 대한 부담 때문에라도 피해 예방에 더 많이 투자하고 노력을 기울일 것"이라고 말했다.