반복되는 대규모 해킹…‘징벌적 과징금’ 대신 ‘징벌적 손배제’ 필요?[해킹 공화국]

▲최장혁 개인정보보호위원회 부위원장이 11일 오전 서울 종로구 정부서울청사에서 개인정보 안전관리체계 강화방안 브리핑을 하고 있다. (뉴시스)

정부가 대규모 해킹 사태에 대한 대응책으로 ‘징벌적 과징금’ 도입을 검토하고 있다. 기업 부담을 높여 늦장 대응·사고 은폐 등을 막겠다는 취지다. 하지만 엄정한 제재가 오히려 기업이 피해 규모를 축소하려는 유인이 된다는 지적이 나온다. 행정적 제재가 아니라 미국처럼 민사적 방식으로 풀어야 한다는 제안도 있다.

KT는 지난 15일 서버 침해 사실을 인지했지만 법정 신고 기한인 24시간을 한참 넘긴 18일에 한국인터넷진흥원(KISA)에 신고했다. 지난 1일 경찰이 무단 소액결제 피해를 안내했음에도 8일에 과학기술정보통신부와 KISA에 침해 사실을 신고했다.

롯데카드도 해킹 사고를 인지한 지 6일 뒤에 신고했다. 실제 유출된 데이터 규모는 맨 처음 발표한 1.7GB의 100배 이상인 200GB였으며 고객 정보도 유출된 것으로 알려졌다.

과기정통부와 한국정보보호산업협회가 지난 4월 발표한 ‘2024 정보보호 실태조사’에 따르면 정보 침해사고를 경험한 기업 중 신고한 비율은 19.6%에 불과하다. ‘피해 규모가 경미하다’(73.7%)는 이유에 더해 ‘신고에 따른 업무가 복잡’(54.3%)하고 ‘피해 사실이 알려지는 것이 두려워서’(17.6%) 신고하지 않는 경우도 많았다. 침해사고를 겪고도 ‘별다른 활동을 수행하지 않았다’고 답한 비율은 67.7%였다.

반면 미국에서 법률적 책임을 묻는 주체는 정부가 아닌 개별 피해자·시민단체다. 징벌적 손해배상제와 집단소송이 활성화돼 있어 문제가 생겼을 때 기업의 존립을 위협할 정도의 소송을 당할 수 있다.

특히 ‘클래스액션’이라고 불리는 집단소송을 통해 일부 피해자가 기업 등을 상대로 손해배상을 청구해 승소하면 소송에 참여하지 않은 피해자도 같은 배상을 받을 수 있다. 이 같은 방식은 기업에 엄청난 부담이 될 수 있기에 보안 역량 강화가 ‘비용’이 아닌 ‘투자’가 된다.

지난 2021년 미국 3대 이동통신사 중 하나인 T모바일에서 전·현 고객 및 잠재적 고객 7660만 명 이상의 이름, 생년월일, 사회보장번호, 운전면허증 번호 등이 포함된 신용조회 데이터가 대거 유출됐다. 이 중 고객 85만 명은 계정 비밀번호(PIN)까지 노출됐다.

소비자들은 법원에 T모바일을 상대로 소송을 제기했으며 T모바일은 소비자에게 3억5000만 달러(약 4590억 원)을 배상하기로 합의했다. T모바일 고객들은 1인당 최대 2만5000달러(약 3200만 원)의 보상을 받게 된 것이다. 이와 별개로 T모바일은 1억5000만 달러(약 2000억 원)를 자사 사이버 보안 분야에 투입했다.

이성엽 고려대 기술법정책센터장은 “징벌적 손해배상제와 집단소송을 도입했을 때 잘못하면 기업들이 문 닫을 수 있어서 보안에 신경을 많이 쓸 것”이라며 “징벌적 과징금보다는 민사적인 해결 방식이 효과적이라는 논의도 있다”고 말했다.

김도승 개인정보보호법학회장(전북대 로스쿨 교수)은 “우리나라에선 보안이 단기적인 비용 절감 논리에 밀리는 경우가 많은데 미국에선 막대한 손해배상 가능성이 존재하기에 기업들이 보안을 버릴 수 없다”며 “해킹 사건의 피해자 구제와 재발 방지 효과를 동시에 고려하는 제도적 장치를 고민해야 한다”고 강조했다.