"정보유출 1인당 10만원 배상해야"
기업 생존 위기… 일각선 "유예장치 필요" 주장도
기업 생존 위기… 일각선 "유예장치 필요" 주장도
2014년 개인 금융정보 1억400만건을 유출한 신용카드 3사가 유출 피해자에게 10만원을 배상해야 한다는 법원의 판결이 나왔다. 카드정보 유출 관련 민사로는 첫 판결이다. 천문학적 금액의 손해배상이 현실로 나타날 가능성도 높아졌다. 하지만 전문가들은 '정보유출은 발생할 수밖에 없는 정보화 사회의 그늘로, 사고 때마다 기업이 망하면 대한민국 경제가 유지될 수 없다'며 제도 보완이 필요하다는 시각을 내놨다.
지난 22일 서울중앙지법 민사합의22부는 KB국민카드와 NH농협카드 이용자 5000여명이 해당 카드사와 신용정보업체 코리아크레딧뷰로(KCB)를 상대로 낸 4건의 손해배상 청구 소송에서 "피고는 원고들에게 1인당 각 10만원을 배상하라"고 선고했다.
카드정보 유출사고는 카드사가 부정거래 및 이상거래를 탐지하기 위한 시스템(FDS)을 개발하는 과정에서 용역직원인 KCB의 박모 차장에게 고객 정보를 도난당하면서 발생했다.
본래 금융감독규정상 시스템 개발 과정에서는 이용자 정보 원본(Raw Data)을 제공하면 안된다. 피치 못하게 필요한 경우가 있다면 반드시 가공 정보를 제공해야 한다. 하지만 당시 카드사는 '시스템 성능을 정확하게 측정하기 위해 원본 데이터가 필요하다'는 박 모 차장의 요구에 암호화조차 되지 않은 원본을 별다른 의심 없이 제공했고, 박 씨는 이를 불법적으로 빼돌렸다. 빼돌린 정보는 불법 대부광고 업자 등에게 팔려나가기도 했다.
카드사들은 KCB 직원이 용역 업무를 수행하는 과정에서 계획적으로 개인정보를 빼돌린 범죄이기 때문에 회사 차원의 책임은 없다고 맞섰다. 하지만 법원은 카드회사가 법률상 원본 데이터를 제공하지 못하도록 한 규정을 어겼고 암호화 의무 등을 게을리 한 점 등을 들어 정보유출에 책임이 있다고 판단했다. KCB도 개인 직원의 일탈이라는 입장이며 회사는 책임이 없다는 점을 내세웠지만, 법원은 이 역시 직원에 대한 관리 감독 의무를 다하지 못했다고 지적했다.
재판부는 "카드회사는 개인정보 법령상 의무를 위반해 고객의 개인정보가 유출된 원인을 제공했으며 KCB도 직원에 대한 감독 의무를 다하지 못했다"며 "피고에게 배상 책임이 인정된다"고 판결했다.
앞서 박모씨는 형사 처벌을 받고 2년6개월의 실형을 언도받아 현재 복역 중이나, 최근 형 집행 기한이 다 돼 출소를 앞두고 있다. 다만 정보유출자 박 씨에 대한 처벌과 관계없이 유출로 인한 피해 소비자들은 집단소송을 통해 카드사와 KCB에 민사상 손해배상을 요구하고 있다.
개인정보보호 법 전문가인 김경환 법무법인 민후 대표변호사는 "행정 당국이 해당 사건에 대해 카드사가 법 의무위반 소지가 있다며 과태료 처분을 내린 것이 이번 민사 판결에 결정적 영향을 미친것으로 보인다"면서 "1심에 불과하고 향후 2심, 3심 결과를 봐야 알 수 있지만 이번 판결은 법원에서 정보유출에 대한 경종을 울리고 해당 기업을 '일벌백계'한다는 차원에서 단호하게 판결한 것"이라고 평가했다.
다만 일각에서는 정보유출 사고에 대해 '마녀사냥' 식 기업 때리기가 계속되면 결국 국가경제와 소비자 보호에 도움이 되지 않을 수 있다는 시각을 제기하고 있다. 그동안 이러한 논리는 '정보유출 기업 봐주기', '솜방망이 처벌'의 핑계였지만, 그렇다고 기업을 '망하도록' 두는 것은 옳지 않다는 것이다.
만약 이번에 피해자 1인당 10만원 배상 판결이 확정된다면, 유출 규모 10분의 1인 1000만명만 배상해줘도 1조원이 비용이 필요하다. 카드업계 전체 1년 치 순이익이 2조원 정도라는 점을 고려하면 카드사들의 생사 여부를 좌우할 정도인 배상금액이다.
정보보호 법률가 구태언 테크앤로 대표 변호사는 "정보유출 기업을 봐주자는 것이 아니라 소모적인 처단 대신 기업이 고객 개인정보보호를 위해 '상당한' 노력을 기울일 수 있도록 법이 강제하고 그 이익을 소비자와 나눌 수 있도록 해야 한다"고 주장했다.
대신 일종의 '집행유예' 제도를 정보보호 처분에도 도입할 필요가 있다고 제안했다. 구 변호사는 "정보유출을 게을리하는 기업에 대해 더 이상의 솜방망이 처벌은 안되지만, 기업이 고객 정보를 불법으로 판매하는 등 악의적인 정보 유출이 아니라면 국가 경제에 미치는 영향을 고려해 정보보호발전기금 등을 추징하고 자사 정보보호 재투자 명령 등을 내려 실질적으로 고객에 대한 보호가 이뤄질 수 있도록 하는 것이 오히려 가치 있을 수 있다"고 말했다. 정보유출에 대한 법원의 엄중한 판결을 받되, 정보보호 투자금 등을 내는 등의 조건으로 처벌을 유예해 사회와 기업이 숨통을 틔울 수 있게 해야 한다는 것이다.
또 "데이터 사고는 정보화 시대에 불가항력으로 일어날 수밖에 없는 상황"이라며 "반복되는 정보유출에 대한 국민의 피로와 분노는 누구보다 잘 알지만, 조금 냉철하게 판단해 사회와 소비자가 함께 이익을 나눌 수 있는 구조로 전환할 필요가 있다"고 강조했다.
강은성기자 esther@dt.co.kr
지난 22일 서울중앙지법 민사합의22부는 KB국민카드와 NH농협카드 이용자 5000여명이 해당 카드사와 신용정보업체 코리아크레딧뷰로(KCB)를 상대로 낸 4건의 손해배상 청구 소송에서 "피고는 원고들에게 1인당 각 10만원을 배상하라"고 선고했다.
카드정보 유출사고는 카드사가 부정거래 및 이상거래를 탐지하기 위한 시스템(FDS)을 개발하는 과정에서 용역직원인 KCB의 박모 차장에게 고객 정보를 도난당하면서 발생했다.
본래 금융감독규정상 시스템 개발 과정에서는 이용자 정보 원본(Raw Data)을 제공하면 안된다. 피치 못하게 필요한 경우가 있다면 반드시 가공 정보를 제공해야 한다. 하지만 당시 카드사는 '시스템 성능을 정확하게 측정하기 위해 원본 데이터가 필요하다'는 박 모 차장의 요구에 암호화조차 되지 않은 원본을 별다른 의심 없이 제공했고, 박 씨는 이를 불법적으로 빼돌렸다. 빼돌린 정보는 불법 대부광고 업자 등에게 팔려나가기도 했다.
카드사들은 KCB 직원이 용역 업무를 수행하는 과정에서 계획적으로 개인정보를 빼돌린 범죄이기 때문에 회사 차원의 책임은 없다고 맞섰다. 하지만 법원은 카드회사가 법률상 원본 데이터를 제공하지 못하도록 한 규정을 어겼고 암호화 의무 등을 게을리 한 점 등을 들어 정보유출에 책임이 있다고 판단했다. KCB도 개인 직원의 일탈이라는 입장이며 회사는 책임이 없다는 점을 내세웠지만, 법원은 이 역시 직원에 대한 관리 감독 의무를 다하지 못했다고 지적했다.
재판부는 "카드회사는 개인정보 법령상 의무를 위반해 고객의 개인정보가 유출된 원인을 제공했으며 KCB도 직원에 대한 감독 의무를 다하지 못했다"며 "피고에게 배상 책임이 인정된다"고 판결했다.
앞서 박모씨는 형사 처벌을 받고 2년6개월의 실형을 언도받아 현재 복역 중이나, 최근 형 집행 기한이 다 돼 출소를 앞두고 있다. 다만 정보유출자 박 씨에 대한 처벌과 관계없이 유출로 인한 피해 소비자들은 집단소송을 통해 카드사와 KCB에 민사상 손해배상을 요구하고 있다.
개인정보보호 법 전문가인 김경환 법무법인 민후 대표변호사는 "행정 당국이 해당 사건에 대해 카드사가 법 의무위반 소지가 있다며 과태료 처분을 내린 것이 이번 민사 판결에 결정적 영향을 미친것으로 보인다"면서 "1심에 불과하고 향후 2심, 3심 결과를 봐야 알 수 있지만 이번 판결은 법원에서 정보유출에 대한 경종을 울리고 해당 기업을 '일벌백계'한다는 차원에서 단호하게 판결한 것"이라고 평가했다.
다만 일각에서는 정보유출 사고에 대해 '마녀사냥' 식 기업 때리기가 계속되면 결국 국가경제와 소비자 보호에 도움이 되지 않을 수 있다는 시각을 제기하고 있다. 그동안 이러한 논리는 '정보유출 기업 봐주기', '솜방망이 처벌'의 핑계였지만, 그렇다고 기업을 '망하도록' 두는 것은 옳지 않다는 것이다.
만약 이번에 피해자 1인당 10만원 배상 판결이 확정된다면, 유출 규모 10분의 1인 1000만명만 배상해줘도 1조원이 비용이 필요하다. 카드업계 전체 1년 치 순이익이 2조원 정도라는 점을 고려하면 카드사들의 생사 여부를 좌우할 정도인 배상금액이다.
정보보호 법률가 구태언 테크앤로 대표 변호사는 "정보유출 기업을 봐주자는 것이 아니라 소모적인 처단 대신 기업이 고객 개인정보보호를 위해 '상당한' 노력을 기울일 수 있도록 법이 강제하고 그 이익을 소비자와 나눌 수 있도록 해야 한다"고 주장했다.
대신 일종의 '집행유예' 제도를 정보보호 처분에도 도입할 필요가 있다고 제안했다. 구 변호사는 "정보유출을 게을리하는 기업에 대해 더 이상의 솜방망이 처벌은 안되지만, 기업이 고객 정보를 불법으로 판매하는 등 악의적인 정보 유출이 아니라면 국가 경제에 미치는 영향을 고려해 정보보호발전기금 등을 추징하고 자사 정보보호 재투자 명령 등을 내려 실질적으로 고객에 대한 보호가 이뤄질 수 있도록 하는 것이 오히려 가치 있을 수 있다"고 말했다. 정보유출에 대한 법원의 엄중한 판결을 받되, 정보보호 투자금 등을 내는 등의 조건으로 처벌을 유예해 사회와 기업이 숨통을 틔울 수 있게 해야 한다는 것이다.
또 "데이터 사고는 정보화 시대에 불가항력으로 일어날 수밖에 없는 상황"이라며 "반복되는 정보유출에 대한 국민의 피로와 분노는 누구보다 잘 알지만, 조금 냉철하게 판단해 사회와 소비자가 함께 이익을 나눌 수 있는 구조로 전환할 필요가 있다"고 강조했다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
