[비즈톡톡] 쿠팡 사태가 부른 징벌적 배상 논의… 해킹 당한 통신사로 번지나

챗GPT=달리

쿠팡에서 대규모 개인정보 유출 사고가 발생하면서 ‘징벌적 손해배상’을 둘러싼 논의가 다시 불 붙고 있습니다. 최근 해킹 사고로 정부 조사를 받고 있는 KT, LG유플러스까지 논의가 확산될 수 있다는 관측도 나옵니다.

지난 2일 배경훈 부총리 겸 과학기술정보통신부 장관은 잇따른 해킹 사고와 관련해 “국민에게 직접 피해를 주고 금융 불안을 초래하는 사건은 징벌적 손해배상을 통해 반복되지 않도록 해야 한다”고 밝혔습니다. 업계에서는 이 발언이 쿠팡뿐만 아니라 통신사 해킹 사건에도 적용될 수 있는 ‘시그널’이라는 해석을 내놓고 있습니다.

현행 개인정보보호법은 개인정보처리자가 고의 또는 중대한 과실로 개인정보를 유출해 피해가 발생한 경우 손해액의 최대 5배까지 배상하도록 하는 징벌적 손해배상 제도를 두고 있습니다. 다만 2015년 제도 도입 이후 실제로 법원이 징벌적 배상을 인정한 사례는 단 한 건도 없습니다. 법 조항에 ‘개인정보처리자가 고의 또는 중과실이 없음을 증명한 경우에는 적용하지 않는다’는 단서가 달려 있어, 기업이 일정 수준의 관리·보호 조치를 입증하면 책임 범위가 크게 줄어드는 구조이기 때문입니다. 4000만명의 개인정보가 중국 알리페이에 이전됐다는 의혹을 받았던 카카오페이 역시 과징금 59억원 부과에 그친 바 있습니다.

KT 해킹 사고를 두고는 이 같은 단서 조항의 ‘방패막이’를 넘어 징벌적 배상 요건이 충족될 수 있다는 지적이 나오고 있습니다. KT는 동일한 밴더 인증키를 약 19만대의 펨토셀(초소형 기지국)에 공통으로 사용하고, 장비 분실 여부조차 제대로 관리하지 않은 것으로 드러나 논란을 자초했습니다. 여기에 해킹 관련 서버를 고의로 폐기한 것 아니냐는 의혹까지 제기되면서 “단순 과실을 넘어 중대한 관리 소홀에 해당한다”는 평가가 적지 않습니다. 법조계 일각에서는 “이 정도면 고의 또는 중과실이 인정될 가능성을 배제하기 어렵다”는 반응도 나오고 있습니다.

LG유플러스 역시 향후 조사 결과에 따라 징벌적 배상 책임 논의의 도마에 오를 수 있다는 관측이 나옵니다. 현재로서는 해킹 경위와 사고 후 대응 과정에 대한 정부 조사가 진행 중이지만, 이후 조사에서 고의에 가까운 보안 부실이나 증거 인멸·은폐 정황 등이 드러날 경우 파장은 KT 못지않게 커질 것이라는 전망이 나옵니다.

통신사는 금융·공공 서비스와 직접 연결된 기반 인프라를 담당하는 만큼, 쿠팡 사태 못지않게 사회적 비난 여론이 거세질 가능성이 큽니다. 징벌적 손해배상뿐만 아니라 과징금의 ‘징벌성’을 한층 강화해야 한다는 주장도 힘을 얻는 분위기입니다.

앞서 SK텔레콤은 해킹 사고와 관련해 매출의 1% 수준인 1347억원의 과징금을 부과받았습니다. 그러나 연이은 대형 사고에도 비슷한 규모의 제재만 반복될 경우 예방 효과가 크지 않을 것이라는 지적이 제기됩니다. 반면 KT와 LG유플러스는 아직 과징금 처분이 내려지지 않은 상태로, 통신 3사 중 남은 두 곳에 대해서는 법이 허용하는 최대치까지 검토해야 한다는 목소리가 업계 안팎에서 빠르게 확산되고 있습니다.

일각에서는 과징금 상향과 징벌적 손해배상이 동시에 거론되는 만큼, 향후 통신·플랫폼 기업들의 보안 투자와 리스크 관리 방식이 근본적으로 바뀔 수밖에 없을 것이라는 전망도 나옵니다. 과징금이 개인정보 유출 사고 발생 시 지급해야 할 단순 비용이 아니라 회사 존립을 위협할 수준으로 커질 수 있다는 인식이 확산될 경우, 지금까지 미뤄왔던 노후 시스템 교체와 인력 확충 등이 앞당겨질 수 있다는 겁니다. 다만 업계에서는 과도한 징벌로 기업 활동이 위축될 것이라는 우려도 나옵니다.

IT업계 관계자는 “동일한 해킹 수법으로 피해를 입었더라도, 정보보호 투자를 성실히 해온 기업과 그렇지 않은 기업을 어떻게 구분할지에 대한 세밀한 기준을 마련해야 한다”며 “명확한 기준 없이 과도한 징벌만 있으면 부작용이 클 것”이라고 했습니다.

심민관 기자(bluedragon@chosunbiz.com)

<저작권자 ⓒ ChosunBiz.com, 무단전재 및 재배포 금지>