또 1000만 명 정보유출…그때 그 사고 피해보상은?

지난 5월 인터넷 쇼핑몰 인터파크에서 1,030만 명의 고객정보가 유출된 것으로 드러났다. 우리나라 국민 5명 중 1명은 피해를 봤다.

하지만 이 같은 대규모 개인정보 유출사건은 이번이 처음이 아니다. 지난 2014년 1월에는 KB국민카드, 농협카드, 롯데카드 등 3개 신용카드사에서 무려 1억 400만 명의 개인정보 유출사건이 발생했다. 우리나라 인구의 2배. 우리나라 국민 1명당 2건의 개인정보 유출 피해가 발생했다고 볼 수 있다.

지난 2008년 1월 옥션에서는 해킹으로 1,080만 명의 개인정보가 유출됐고, 2012년에는 KT의 고객 870여만 명의 개인정보가 빠져나갔다. 이밖에 GS칼텍스, 싸이월드 등도 대규모 개인정보 유출 사고를 일으켰다.

대한민국 국민이라면 이미 누구나 한 번쯤은 당해봤을 개인정보 유출 피해에 대해 피해배상은 어떻게 이뤄지고 있을까.

위에 열거된 정보유출 사고 당사자 중 가만히 있는 피해자에게 피해보상을 해준 곳은 없다. 피해자가 피해배상을 원한다면 개인정보분쟁조정위원회에서 분쟁 조정 과정을 거쳐 배상을 받거나 민사 소송을 제기해야 한다.

지난해 대법원, "옥션, 해킹사고에 배상책임 없다"

지난 2008년 해킹으로 인터넷 쇼핑몰 '옥션' 회원 1,080만 명의 이름, 주민등록번호, 주소, 계좌번호 등 개인정보가 유출됐다. 이에 피해자들은 옥션이 주민등록번호를 암호화하지 않았고, 방화벽을 설치하지 않았기 때문에 배상 책임이 있다며 손해배상 소송을 제기했다.

이와 관련해 지난해 2월 대법원은 '옥션'의 회원정보 유출 사고 피해자들이 "1인당 200만 원씩을 지급하라"며 옥션 운영자인 이베이코리아 등을 상대로 낸 총 소송에서 원고 패소로 판결한 원심을 확정했다. 1심과 2심 재판부가 모두 옥션 측의 손을 들어줬는데, 대법원도 마찬가지였던 것이다.

"사고 당시 옥션의 보안 조치, 해킹 방지 기술의 발전 상황, 해킹 수법 등을 고려할 때 옥션 운영자의 과실이 있다고 보기 어렵다"는 이유에서다. 정보유출 사고에도 회사 측이 법상 정해져 있던 의무를 다 했다는 이유로 별도의 손해배상 책임을 인정하지 않은 것이다.

처음 옥션에 손해배상 청구소송을 제기한 피해자는 14만여 명에 달했고, 1심과 2심의 패소 판결을 인정하지 못해 대법원까지 소를 제기한 피해자도 3만3000여 명에 달했다.

카드사 정보유출은 1심서 "10만원 배상하라"... 원고·피고 모두 항소

비교적 최근인 카드3사 개인정보 유출사고의 경우 올들어 1심 판결이 쏟아지고 있는데, KT 정보유출 소송 때와 마찬가지로 원고 일부승소 판결이 나오고 있다. 지난 1월 서울지방법원은 농협카드와 국민카드에 각각 제기된 손해배상 청구 소송에 대해 "피고가 법령상 보안조치의무를 소홀히 하여 고객 개인정보가 유출된 원인을 제공했다. 손해배상 책임이 인정된다"며 10만원의 위자료 배상을 명령했다.

당초 피해자들은 유출 정보에 따라 20만~70만 원의 손해배상을 요구했는데, 피해액으로 10만 원만을 인정한 것이다. 이에 피해자들은 '10만 원이 너무 적다'는 이유로, 카드사들은 '10만 원이 너무 많다'는 이유로 각각 항소를 했고, 항소심이 진행 중이다.

롯데카드는 2010년과 2013년 두 건의 정보유출 사고가 있었는데, 재판부는 이 두 건을 다르게 판단했다. 지난 7월19일 서울지방법원 민사10부가 2010년 4월 개인정보가 유출된 피해자에 대해서는 10만원의 위자료 배상을 명령하고, 2013년 12월 개인정보가 유출된 피해자는 피해자의 피해를 인정할 수 없다며 원고 패소 판결을 한 것이다.

2010년 4월 유출된 개인정보는 제3자의 손에 넘어간 기록이 있기 때문에 피해가 인정되지만, 2013년 12월 유출 정보는 정보유출 직후 범인이 검거돼 유출된 정보가 제3자에게 넘어가기 전에 모두 압수됐기 때문에 정신적 손해를 인정할 수 없다는 것이 법원의 판단이었다.

롯데카드 정보유출 배상 판결 역시 10만 원이 원고 측과 피고 측이 만족할 수 없는 금액이라는 이유로 항소심으로 진행될 것으로 보인다.

카드사 정보유출 사건의 경우 피해자가 워낙 많았던 만큼 비슷한 소송이 다양한 법무법인을 통해 동시에 진행되고 있다. 지난 21일 판결 선고를 내린 서울중앙지법 민사31부도 위에 언급된 재판부들과 동일하게 판단했다.

국민카드, 농협카드, 롯데카드 일부(2010년 4월) 피해자에게는 10만 원의 손해배상을 인정하고, 2013년12월에 롯데카드에서 개인정보가 유출된 피해자에 대해서는 손해를 인정하지 않은 것이다. 이 소송의 경우 피해자들은 각 60만 원의 손해배상을 요구했는데, 법원은 10만 원 만을 인정했다.

한편, 개인정보 유출 사건의 손해배상 청구 시효는 3년이다. 사건이 발생한 것을 안 시점부터 3년이 지나면 소멸시효가 끝난다. 1억 건 이상의 개인정보가 유출된 카드사 정보유출 사건의 경우 2017년 1월, 그러니까 내년 1월이면 소멸시효가 완성된다. 소송에 참여했다면 소멸시효가 중단되지만 그때까지 소송에 참여하지 않은 피해자는 배상을 받을 수 없다.