[단독] ‘1.8만건 정보유출’ 신협, 배상은 총 100만원⋯ 28억 과징금 유지

피해자 약 1만6000명⋯피해구제 신청은 10명 미만
신협 “사고 이후 중앙회·조합 내부통제 전반 강화”

▲(사진=AI 생성)

신협중앙회의 개인신용정보 유출 사고와 관련해 피해구제를 신청한 고객 10명 미만에게 총 100만원의 배상금이 지급된 것으로 확인됐다. 전체 유출 피해자는 약 1만6000명에 달했지만 실제 배상은 개인정보분쟁조정 절차를 통해 구제를 신청한 고객을 대상으로 이뤄졌다. 신협중앙회는 이 사고로 금융당국이 부과한 28억7200만원의 과징금에 불복해 소송을 냈지만 1심에서 받아들여지지 않았다.

1일 금융권에 따르면 2019년 발생한 신협중앙회 개인신용정보 유출 사고로 약 1만6000명의 정보 1만8465건이 외부로 전달됐다. 이후 피해구제를 신청해 배상받은 고객은 10명 미만으로, 전체 지급액은 100만원이었다.

배상은 피해구제를 신청한 고객을 대상으로 개인정보분쟁조정위원회의 권고 기준에 따라 이뤄졌다. 신협중앙회 관계자는 “일반적으로 피해 정도 등에 따라 10만~30만원 수준에서 배상액이 권고된다”며 “당시 피해구제 신청 자체가 많지 않았다”고 설명했다.

사고는 신협중앙회에서 조합 검사·감독 업무를 맡던 직원이 퇴직을 앞두고 상임감사로 옮길 예정이던 단위신협의 감사 업무에 활용하기 위해 검사서와 민원조사서 등을 보내면서 발생했다. 해당 직원은 개인신용정보가 담긴 자료를 단위신협 직원에게 그룹웨어 이메일로 60차례 전송했다. 자료에는 조합원 이름과 여·수신 계좌번호, 여신 취급액과 잔액 등이 포함됐다.

금융위원회는 2024년 12월 이 사고와 관련해 신협중앙회에 총 28억7200만원의 과징금을 부과했다. 직원의 업무 목적 외 정보 누설에 2억4800만원, 중앙회의 신용정보전산시스템 보안·내부통제 미흡에 26억2400만원을 각각 매겼다. 과징금 산정 과정에서는 피해 고객에게 지급된 배상액도 공제됐다.

법원은 신협중앙회가 정보 유출을 막기 위한 내부통제 의무를 충분히 이행하지 않았다고 판단했다. 개인신용정보가 업무용 PC에 암호화되지 않은 채 저장됐고, 조합에 이메일을 보낼 때 관리책임자의 사전 승인을 받도록 하는 절차도 마련돼 있지 않았다는 것이다. 정기적인 개인정보 처리 실태 점검 등 내부통제 체계 역시 충분하지 않았다고 봤다.

사고 인지와 보고가 늦어진 점도 판단에 반영됐다. 중앙회는 2019년 1월 발생한 정보 유출 사실을 약 1년 7개월 뒤인 2020년 8월 인지했고, 금융당국에는 다시 약 8개월이 지난 2021년 4월 보고했다. 이후 사과문을 게시하기까지도 약 2개월이 더 걸렸다. 재판부는 이 같은 사후 대응 등을 종합해 위법성의 정도가 가볍지 않다고 판단했다.

신협중앙회는 해당 직원의 행위가 예측하기 어려운 개인적 일탈이어서 중앙회의 보안 미흡과 실제 정보 유출 사이에 직접적인 인과관계가 없고, 과징금 규모도 과도하다고 주장하고 있다. 직원의 정보 누설에 부과된 2억4800만원과 관련해서는 비영리기관인 중앙회가 회원조합에서 받는 회비를 과징금 산정의 기초가 되는 ‘매출액’으로 보는 것도 타당하지 않다는 입장이다. 중앙회는 이 같은 쟁점에 대해 항소심에서 다시 판단받을 예정이다.

사고 이후 중앙회와 조합 간 개인정보 전송 절차는 강화됐다. 현재 중앙회가 조합에 이메일을 보낼 때는 개인정보 포함 여부와 관계없이 책임자 승인을 받아야 하며, 개인정보가 포함된 첨부파일은 전송 사유 입력과 별도 승인 절차를 거쳐야 한다. 신협중앙회 관계자는 “중앙회뿐 아니라 조합에도 기존보다 강화된 내부통제 기준을 적용하고 있다”고 말했다.