개인정보 유출 피해, 집단소송으로 얼마나 받을 수 있나 — 신알찬 변호사 인터뷰

신 변호사는 개인정보를 탈취하는 목적이 크게 두 가지라고 설명했다. 하나는 유출한 개인정보를 공개하겠다고 협박해 기업에서 돈을 뜯어내는 것이고, 다른 하나는 유출된 정보로 데이터베이스를 만들어 범죄에 쓰려는 사람들에게 파는 것이다.

신 변호사는 이름과 주민번호만으로는 범죄에 쓸 수 있는 것이 많지 않다고 지적했다. 반면 네이버 연동 정보나 직장·소득·직위가 함께 노출되면 피해가 일어날 가능성이 크게 높아진다고 말했다. 법원이 손해를 판단할 때는 개인정보보호위원회 등이 조사한 자료를 근거로 삼는다는 설명도 덧붙었다.

개인정보 유출 집단소송 판결은 대부분 1인당 10만 원 안팎으로 나오고 있다. 신 변호사는 이 금액이 낮게 나오는 이유를 한국의 손해배상 제도에서 찾았다. 한국에는 징벌적 손해배상 제도가 없고, 실제 입은 손해만큼 보상하는 전보배상 원칙을 따른다.

전보배상 원칙에 따르면 손해를 개인이 입증하지 못하면 손해액이 없는 것으로 처리된다. 이에 개인정보보호법은 예외적으로 손해를 입증하지 않아도 300만 원 이하의 배상을 인정하도록 정하고 있다. 다만 실제 판결들은 이름·주민번호처럼 민감도가 낮은 정보 유출에 대해 10만 원대를 인정하는 데 그쳤다.

정보의 민감도에 따라 차등해 청구하는 경우도 있다. 재산이나 이성 취향처럼 내밀한 정보가 유출되면 더 높게 인정될 수 있다고 보고, 30만 원을 청구한 소송도 있다고 신 변호사는 전했다. 신 변호사는 이런 구조 때문에 미국처럼 징벌적 배상이 도입돼야 하지 않느냐는 문제의식을 밝혔다.

신 변호사는 유출 정보가 실제 범죄에 쓰이는 과정을 예로 들었다. 데이터베이스에 해외직구를 많이 한다는 정보가 드러나 있다면, 국제 통관을 빙자한 페덱스 명의 메일로 접근하는 방식이 가능하다고 설명했다.

메일의 통관 링크를 누르고 개인정보를 입력하면 컴퓨터나 휴대전화가 장악될 수 있고, 이를 통해 은행 자금이 빠져나가거나 스미싱 같은 범죄가 일어날 수 있다는 것이다. 신 변호사는 이런 구조 때문에 정보의 종류와 사용 내용에 따라 배상액을 달리 봐야 한다고 주장했다. 10만 원을 일괄적으로 정하면 2만 원짜리 소송만 웬만하면 하려 한다는 것이 이유다.

신 변호사는 일본의 개인정보 유출 사건이 한국보다 훨씬 심각하다고 말했다. 그는 일본에서 많은 사건이 발생했고 이를 다룬 기획 기사도 나왔다고 전했다.

일본에서 유출이 많은 배경으로는 세계적인 해킹 조직의 일원이 일본에서 체포된 데 대한 보복성 공격이 있다는 해석이 언급됐다. 다만 이는 대화 중 나온 설명이며 신 변호사가 직접 확정한 사실은 아니다.

신 변호사는 미국처럼 천문학적인 배상이 인정돼도 기업이 망하지 않는 이유가 보험에 있다고 설명했다. 미국에서는 개인정보 배상책임보험 같은 상품이 일반화되어 있어 배상금을 보험으로 해결하는 경우가 많다는 것이다. 반면 국내에서는 이런 보험 가입 문화가 적다고 지적했다.

신 변호사는 자신이 소송하며 알게 된 한 대기업이 개인정보 배상책임보험을 10억 원짜리로만 가입해 두었다고 전했다. 1인당 10만 원씩 만 명에게 배상하면 10억 원이 된다는 계산이다. 그러나 유출 규모가 천만 건에 이르면 보험으로도 부족하다고 신 변호사는 말했다. 보험은 상가 화재보험처럼 수백억이나 수십억 원의 한도로 드는 경우와 비교되며, 보험을 안 든 것과 비슷하다는 평가도 나왔다.

신 변호사는 은행과 쿠팡을 제외하면 개인정보를 유출한 대부분의 기업이 망할 것이라고 내다봤다. 인당 100만~200만 원씩 몇십만 명, 몇백만 명에게 배상해야 하는 상황이 되면 어떤 기업도 버틸 수 없다는 계산이다.

중소·중견 기업은 매출 규모에 비해 데이터베이스가 큰 곳도 있어 특히 위험하다고 신 변호사는 설명했다. 대기업 티빙에 대해서도 수익을 잘 내지 못하는 회사라 규모가 크다고 해서 배상할 돈이 충분할지는 알기 어렵다고 말했다.

진행자는 티빙 개인정보 유출 피해자로서 보상을 받았는데 5,000원짜리 팝콘이었다고 말했다. 개인정보의 가치가 팝콘 한 그릇 수준이냐는 체감을 드러낸 것이다.

신 변호사는 유출된 것이 네이버나 카카오 연동 정보라면 반드시 비밀번호를 바꾸고 2단계 인증을 해 두라고 권했다. 연동 정보는 사이트별로 따로 부여되는 것이 아니라 여러 서비스에서 통용되기 때문에, 한 곳이 털리면 다른 곳에서도 악용될 수 있다는 설명이다.

분쟁조정위원회는 SK텔레콤 개인정보 유출 사건에 대해 1인당 30만 원씩 배상하라는 조정안을 냈으나, SK텔레콤이 이를 거부했다. 조정이 성립하지 않으면서 사건은 소송으로 넘어가게 됐다.

신 변호사는 소송에서도 30만 원이 일괄적으로 인정되지는 않을 것으로 내다봤다. 그는 회사의 입장을 전하며, 배상액은 더 적을 수도 더 많을 수도 있지만 모든 유출자에게 동일하게 적용되지는 않고 유출 내용에 따라 차등을 둬야 한다고 설명했다. 일괄 30만 원이라면 예상 피해액을 기준으로 삼는 것이고, 회사로서는 이를 확정 채무로 만들고 싶지 않아 줄일 여지가 있다고 본다는 것이다. 한편 관련 민사소송에서는 9,000여 명이 1인당 50만 원씩 손해배상을 청구했는데, 재판부는 손해를 구체적으로 입증하라고 요구한 것으로 알려졌다. 신 변호사는 이에 대해 그건 좀 이상하다는 입장을 밝혔다.

신 변호사는 재판부가 손해를 구체적으로 입증하라고 한 것은 이상하다고 말했다. 개인정보보호법은 손해액을 입증하지 않아도 된다고 정하고 있어, 손해가 발생하지 않아도 유출만 있으면 배상 대상이 된다는 설명이다. 청구서에 손해가 발생했다고 써 두었다면 그 점을 입증하라는 요구일 수 있다는 추정도 덧붙였다.

그는 개인이 손해를 입증하는 것이 사실상 물리적으로 불가능하다고 주장했다. 피싱 전화를 받더라도 그 정보가 TV에서 샜는지 SK텔레콤에서 샜는지, 쿠팡에서 샜는지 개인은 알 수 없다는 이유다. 이런 식으로 손해 발생을 요구하면 개인정보 침해에 대해 민사상 면책을 주는 것과 같아 부적절하다고 신 변호사는 비판했다.

신 변호사는 손해 발생 여부를 원고에게 입증하라고 하는 것은 사실상 청구를 포기하라는 요구라고 봤다. 한 사건의 원고가 수만 명에 이르는데, 그 수만 명의 손해를 하나하나 개별적으로 입증하는 것은 현실적으로 불가능하다는 것이다.

또 유출된 정보는 범죄용 데이터베이스로 만들어져 해외 등에서 거래되기 때문에, 개인이 그 흐름을 추적해 손해를 입증하기도 어렵다고 설명했다. 정부 기관이 이를 수사해 주는 것도 사실상 없다고 덧붙였다.

일부 변호사들은 초반에 착수금을 받지 않고 성공보수만 받는 방식으로 집단소송을 모집하고 있다. 신 변호사는 이 경우 개인은 소송이 이기면 10만 원을 받고, 변호사 비용을 떼도 1~2만 원이 남는 구조라고 설명했다.

신 변호사는 개인의 인정 배상액이 많아야 30만 원을 넘기기 어렵다고 말했다. 다만 경제적 여유가 있는 사람에게는 작은 금액일 수 있고, 소송 비용이 거의 들지 않는다면 1~3년 뒤라도 받을 수 있으면 참여할 만하다고 보는 사람도 있다고 전했다. 신 변호사는 참여 여부는 개인의 선택이라고 말했다.

신 변호사는 올해 초 피자 체인이 점주들에게 100억 원을 넘게 배상하라는 판결이 대법원에서 확정된 사례를 들었다. 판결 이후 회사는 회생 절차를 밟았고, 배상액의 약 70%가 깎여 30억 원 수준으로 정리될 것으로 봤다.

이 사례처럼 배상액이 회생 과정에서 크게 줄어들면, 1억 원을 이긴 원고가 실제로는 3,000만 원만 받는 경우도 생긴다고 신 변호사는 설명했다. 이 과정에서 실질적으로 이익을 얻는 쪽은 변호사라는 점도 그는 짚었다.

신 변호사는 개인정보가 유출된 모든 기업을 한꺼번에 소송하지 않고, 기업의 상황을 보고 모집 대상을 고른다고 말했다. 회사가 망하면 의뢰인들이 배상을 못 받을 수 있기 때문에 배상 능력을 특히 살핀다는 것이다.

재무제표가 적자이고 개인정보 보험에도 들지 않은 회사는 배상 능력이 없다고 보고 모집하지 않는다고 했다. 반대로 보험에 들어 있다면 보험금으로 배상할 수 있어 회사가 무너지지 않을 것이므로 보험 가입 여부를 가능하면 확인한다고 말했다.

신 변호사는 쿠팡 개인정보 유출이 3,750만 명대 규모로 알려져 있다고 말했다. 유출 종류에 따라 다르다는 설명도 있었다. 정부가 부과한 과징금만 6,200억 원대라고 그는 짚었다.

신 변호사는 과징금 결정 과정에서 생성된 정부 내부 문서들이 민사 손해배상 소송에 유리한 자료가 될 수 있다고 설명했다. 과징금 기준이 되는 유출 경위, 대응 과정, 소비자 고지의 적정성, 평소 보안 조치 등을 조사하므로 그 기준이 민사 배상의 기준으로도 거의 그대로 쓰일 수 있다는 것이다.

쿠팡 유출 정보에는 공동현관 비밀번호가 포함된 경우가 있었다고 신 변호사는 말했다. 택배 거래가 많아 공동현관 번호가 여러 곳에 입력돼 있기 때문에 노출될 가능성이 높다는 것이다.

다른 유출 정보를 종합하면 해당 거주자가 낮에 집에 없는 것을 추정할 수 있고, 그러면 현관 앞에 박스가 쌓여 있을 것이라는 판단도 가능하다고 설명했다. 이를 악용해 박스를 훔치거나 마약을 배송하는 경로로 쓸 수 있다는 예시도 나왔다. 다만 이런 피해가 유출 때문에 생겼다는 것을 입증하기는 어렵다고 신 변호사는 덧붙였다.

신 변호사는 모스 피싱, 비상장 주식, FX 마진 거래 권유 같은 사기가 많이 벌어지고 있다고 짚었다. 이런 범죄의 상당수가 개인정보 데이터베이스를 바탕으로 이뤄진다는 것이다. 범죄자들은 범행을 준비할 때 먼저 데이터베이스를 구입하고, 취향과 투자 경험, 관심도를 가진 사람을 맞춤형 알고리즘처럼 골라낸다고 설명했다.

대출 빙자 사기는 대출을 신청했던 사람들의 정보로 데이터베이스를 만들면 효율을 높일 수 있다는 예를 들었다. 보이스피싱에서도 이름과 주소, 직급, 거래 은행을 알고 있으면 상대방이 믿을 가능성이 크게 높아진다는 것이 신 변호사의 설명이다.

신 변호사는 개인정보 유출 집단소송에도 소멸시효가 있다고 밝혔다. 기준은 유출 사실을 안 날로부터 3년이며, 현재 진행 중인 사건 대부분은 아직 시효가 지나지 않았다고 설명했다. SK텔레콤 사건도 시효 안에 있을 것으로 봤다.

개인이 할 수 있는 보안 조치로 신 변호사는 2단계 인증이나 OTP 사용, 비밀번호 변경을 권했다. 특히 출처가 불분명한 메일의 첨부파일이나 URL을 함부로 누르지 말라고 강조했다. 북한 해커 등이 이력서 파일로 위장한 악성 프로그램을 심는 방식을 흔히 쓴다는 설명도 덧붙였다.

신 변호사는 유출된 개인정보가 범죄 대상을 선별하는 데 쓰인다고 정리했다. 우체국을 이용한 사람이나 검찰청에서 연락을 받을 만한 일이 있는 사람처럼, 실제로 해당될 만한 사람을 골라 사칭 문자를 보내는 방식이다.

청첩장 사기처럼 스미싱을 이용한 범죄도 많다고 함께 언급됐다. 진행자는 데이터베이스가 된 개인정보는 결국 우리가 스스로 지켜야 한다고 마무리했다.