'개인정보 유출' 쿠팡, 징벌적 손해배상 정조준⋯집단소송도 불붙었다 [이커머스 보안 쇼크]

李대통령, 국무회의서 ‘징벌적 손배 현실화’ 주문
징벌적 손해배상 도입 10년⋯인정 사례 거의 無
‘피해자 집단 소송’ 본격화⋯로펌서 원고 모집 중

▲쿠팡 이용자 3370만여 명의 이름과 전화번호, 주소 등의 개인정보가 유출된 가운데 1일 서울의 한 쿠팡 물류센터에서 관계자들이 배송준비를 하고 있다. 신태현 기자 holjjak@

이재명 대통령이 쿠팡 개인정보 유출 사태에 ‘징벌적 손해배상’ 적용 가능성을 직접 언급하면서 적용 여부가 핵심 쟁점으로 부상했다. 기업의 관리 실패를 넘어 이번 사건이 제도 적용의 첫 시험대가 될 수 있다는 시각도 제기된다. 유출 규모가 3370만 건에 달해 사실상 ‘전 국민 사태’로 확산한 가운데 처벌 강화 요구와 함께 집단소송·탈팡(쿠팡 탈퇴) 움직임도 동시다발적으로 확산되는 모양새다.

2일 대통령이 쿠팡을 콕 집어 과징금 강화와 징벌적 손해배상제 현실화를 주문한 것은 기업의 개인정보 관리 실패에 대해 이전 수준의 제재로는 재발을 막을 수 없다는 판단이 작용한 것으로 풀이된다. 이날 배경훈 부총리 겸 과학기술정보통신부 장관도 “국민에게 직접 피해를 주고 금융 불안까지 야기한 사안”이라며 징벌적 손해배상 필요성을 공개적으로 강조한 것도 같은 맥락이다.

징벌적 손해배상은 기업의 행위가 악의적이거나 반사회적일 때, 실제 손해액보다 훨씬 많은 배상액을 부과하는 제도다. 단순 손해액 보상만으로는 예방 효과가 충분하지 않아 고액 배상을 통해 유사 사태의 재발을 억제한다는 취지다.

우리나라는 2014년 카드 3사 개인정보 유출 사고를 계기로 개인정보 보호법을 개정해 징벌적 손해배상 제도를 도입했다. 개인정보 처리자의 고의 또는 중과실로 인해 손해가 발생한 경우 손해액의 최대 5배까지 배상 책임이 인정될 수 있다.

국내에서 개인정보 유출 건으로 징벌적 손해배상이 인정된 사례는 거의 없다. 법원이 징벌적 손해배상의 요건인 ‘고의 또는 중대한 과실’을 엄격하게 판단해 온 데다, 피해 규모는 크더라도 개별 피해의 구체적 손해를 입증하기 어렵다는 이유로 배상액이 제한되는 경우가 많았다.

법무법인 선승의 안영림 변호사는 “대통령이 언급한 만큼 선례를 남기기 위해 적극적으로 징벌적 손해배상을 검토할 가능성이 있다”며 “정보 관리를 위해 필요한 조치를 하지 않았다면 시범적으로라도 제도를 적용할 필요성이 있어 보인다”고 말했다.

이어 “수사기관의 용의자 특정, 유출 경위 조사 등을 거쳐 피해 규모가 확정돼야 징벌적 손해배상 논의가 본격화될 것”며 “검토까지는 시간이 걸릴 것으로 보인다”고 덧붙였다.

▲박대준 쿠팡 대표가 30일 서울 종로구 정부서울청사에서 열린 쿠팡 관련 긴급 관계부처 장관회의에 참석 후 고개숙여 사과하고 있다. 조현호 기자 hyunho@

이번 사태와 관련한 집단 소송도 본격화하고 있다. 법무법인 청의 곽준호 대표변호사는 전날 서울중앙지법에 쿠팡 이용자 14명을 대리해 첫 손해배상 청구 소송을 냈다. 청구한 1인당 위자료는 20만 원이다.

피해자들은 유출 경위와 기업 책임 범위를 두고 구체적인 법적 대응에 적극적으로 나서고 있다. 현재 법무법인 지향, 대륜, 호인 등 여러 로펌이 원고 모집에 착수했다. 부산에서는 법무법인 진심의 류제성 변호사가 1인당 30만 원 상당의 손해배상 청구 소송 참여자를 모집하고 있다.

피해자 커뮤니티도 빠르게 확산 중이다. 네이버에는 관련 카페가 잇따라 개설되며 이날 오후 2시 기준 가입자가 총 45만 명을 넘어섰다. 가장 규모가 큰 ‘쿠팡 집단소송 카페’와 ‘쿠팡 해킹 피해자 집단소송 카페’는 가입자가 각 13만 명, 10만 명을 넘어섰다.

서초동 한 변호사는 “쿠팡 사건은 규모가 워낙 커서 하나의 법인이 맡기엔 무리”라며 “여러 법무법인이 모여 연합으로 대응할지 논의 중이고, 이처럼 여러 로펌이 한 사건에 함께 대응하는 사례는 드물다”고 말했다.

그간 개인정보 유출 집단소송에서는 기업 책임이 제한적으로 인정되거나 아예 받아들여지지 않은 경우도 적지 않았다.

2008년 중국 해커의 침입으로 1863만 명의 개인정보가 유출된 옥션 사건에서 법원은 “당시 기준으로 필요한 보호조치를 취했다”며 회사 책임을 부정했다. 다만 “법적 책임은 없으나 유출 회원들에 대한 적절한 조치를 취하는 것이 바람직하다”고 언급했다.

2016년 인터파크 내부 전산망 해킹 사건에서는 기업의 보호조치 의무 위반이 인정됐지만, 법원은 피해자 1인당 위자료를 10만 원으로 제한했다. 추가 피해가 없었고 기업의 고객정보 수집·보관이 불가피하다는 점을 고려한 판단이었다.

또 다른 변호사는 “쿠팡 사건은 퇴사한 직원이 개인정보를 유출한 것으로 지목되고 있고 기업의 개인정보 보호 조치가 미흡해 발생한 것이 명확하다”며 “법원에서 배상 책임을 인정할 가능성이 높아 보인다”고 말했다.