인스티즈앱 국내 최대 이커머스 업체 쿠팡의 개인정보 유출 사태가 대규모 집단소송으로 번지고 있다. 유출 규모가 3370만건에 이르는 데다 참여 움직임이 빠르게 확산하면서, 피해 보상 규모가 역대급으로 커질 수 있다는 우려가 제기된다. 정부와 국회도 제도 개선 검토에 나섰다.
5일 기준 네이버에는 가입자 5000명 이상인 집단소송 카페만 11곳이 개설돼 있다. 카카오톡 오픈채팅에서도 1000명 넘게 모인 방이 3곳 확인된다. 일부 중복 참여자가 있겠지만, 이들 카페·오픈채팅방 참여자 수는 단순 합산해 약 50만명에 이른다. 개인정보 유출 관련 집단소송 규모가 이처럼 단기간에 폭발적으로 늘어난 사례는 드물다. 업계에서는 “2014년 카드3사나 최근 SK텔레콤 유출 사건보다 파장이 더 클 수 있다”는 분석도 나온다.
징벌적 배상 적용 시 최대 16조원대 산출
쿠팡이 부담해야 할 금전적 리스크도 적지 않다. 기본적으로 1인당 10만원의 민사 판결이 나올 것이라는 예상이 나온다. 대표적으로 거론되는 지난 2016년 인터파크 해킹 사건에서, 당시 피해자들이 제기한 민사소송에서 법원은 1인당 10만원의 손해배상을 인정했다. 이를 기준으로 단순 대입할 경우 쿠팡의 피해자 3370만명 기준 배상액은 약 3조3700억원 규모가 된다.
여기에 개인정보보호법이 허용하는 최대 5배의 징벌적 손해배상이 적용될 가능성까지 감안하면, 이른바 ‘법정 최대치’는 16조8500억원까지 산출된다. 단순 계산치이긴 하지만, 이번 사건이 징벌적 배상의 실제 적용 여부를 결정할 분기점이 될 수 있다는 점에서 법조계도 촉각을 곤두세우고 있다.
과징금 부담도 별도다. 개인정보보호법은 직전 3 평균 매출의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있다. 쿠팡의 최근 3년 평균 매출은 약 31조8497억원이며, 이를 기준으로 산출되는 최대 과징금은 9500억원 규모다. 다만 유출과 직접 관련 없는 매출은 제외될 수 있어 실제 부과액은 이보다 낮아질 가능성도 있다.
징벌적 배상제 실효성 논란…정부도 개선 검토
징벌적 손해배상제는 2014년 카드3사 유출 사태를 계기로 도입됐지만, 지난 10년 동안 실제 적용된 사례는 없다. 기업이 “고의 또는 중대한 과실이 없음을 입증하면 적용되지 않는다”는 단서 조항이 방어 논리로 작용해 사실상 무력화됐다는 비판이 이어져 왔다.
하지만 이번 사안을 계기로 제도의 실효성을 다시 점검해야 한다는 목소리가 커지고 있다. 이재명 대통령은 2일 국무회의에서 “해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상 현실화를 검토하라”고 주문했으며, 송경희 개인정보위원장은 “징벌적 배상의 실효성 제고 방안을 마련하겠다”고 밝혔다.
법조계에서도 이번 사건을 징벌적 배상 적용 여부를 판단하는 주요 테스트 케이스로 보고 있다. 쿠팡 관련 소송을 준비 중인 로피드법률사무소 하희봉 대표변호사는 “쿠팡이 보안상 허점을 알고도 방치해서 추가 피해를 야기했다면 징벌적 손해배상도 적용될 수 있지 않을까 싶다”며 “쿠팡은 이번 일에 대해 불가항력이란 주장을 펼치겠지만, 보안 업무를 하던 사람이 보안 키를 가지고 퇴사하고 이를 계속 사용할 수 있었는데, 이는 쿠팡이 충분히 막을 수 있는 일이라고 본다”고 짚었다.
보상 의지는 밝혔지만…“금전 피해 없어도 피해자” 지적
현재 쿠팡은 피해자 보상 의사는 밝히면서도 구체적 기준은 제시하지 않다. 지난 3일 국회 정무위원회 현안질의에서 박대준 쿠팡 대표는 “피해자 보상을 적극 검토하겠다”고 했지만, 보상 범위와 시점에 대해서는 “피해 규모가 아직 확정되지 않았다”며 말을 아꼈다. 이에 국회에서는 “금전 피해 여부와 관계없이 유출된 모든 사람이 피해자”라는 지적이 나왔다.
앞서 쿠팡은 지난달 29일 퇴직 직원에 의해 3370만건의 개인정보가 외부로 유출됐다고 밝혔다. 이름·이메일·전화번호·주소·일부 주문 정보 등이 포함됐으며, 공격은 지난 6월 24일부터 11월 8일까지 약 5개월간 지속된 것으로 조사됐다. 쿠팡이 유출 사실을 인지한 시점은 11월 18일로 파악된다. 용의자는 쿠팡 인증 시스템을 담당했던 중국 국적 전직 개발자로, 재직 중 확보한 인증 토큰·키를 퇴사 후에도 보유·악용해 해외 서버에서 비인가 접속을 이어온 것으로 알려졌다. 일부 고객에게는 “개인정보를 알고 있다”는 협박성 이메일까지 발송된 뒤에서야 쿠팡이 이상 징후를 확인한 것으로 전해진다.
https://www.ntoday.co.kr/news/articleView.html?idxno=122459
