[법조칼럼] 최우식 사람&사람 법률사무소 대표 변호사
언론보도에 의하면 검찰이 유출된 신용카드사의 고객정보 일부를 대출중개업에 활용한 혐의로 최근 4명을 구속 기소한 데 이어 추가로 10여 명에 대해서도 같은 혐의로 수사하는 것으로 확인됐다. 이처럼 카드사 고객정보가 추가로 유출된 정황이 확인됨에 따라 시중에 유통된 정보 유출 건수는 지난 14일 검찰이 발표한 8천200여만 건보다 더 많아질 것으로 보인다.
이번 카드사 집단소송의 쟁점은 크게 두 가지다. 하나는 카드사의 '과실'이고 또 하나는 피해자의 '손해'이다. 먼저 '과실'에 대해서 보면 과거 옥션해킹사건에서는 회사가 이용약관 및 각종 기술적·관리적 정보보호조치의 이행했으며, 해커가 초급 수준을 넘어 적어도 상당한 수준의 해킹 기술을 보유하고 있는 점 등으로 보아 회사의 과실이 부정되었으나, 이번 카드사 개인정보유출사건은 카드사에 파견 나온 KCB 직원이 USB에 담아서 개인정보를 유출하였는데, 그 과정에서 카드사들은 파견 직원에게 과도한 개인정보에 대한 접근권한을 수여한 점이 들어났다. 또 관련 규정에 따른 개인정보 암호화 작업을 하지 않았으며, 개인정보가 유출된 후 2차 피해 가능성을 배제한 채 단순히 재발급 및 정지 등 업무만 한 만큼 각 카드사의 과실을 법적으로 물을 수 있을 것으로 보인다.
다음으로 '손해'의 입증문제인데, 이전 GS칼텍스 주유카드 정보유출 사건에서 법원은 고객정보가 제3자에 유통되지 않았다는 이유로 원고 패소 판결을 내렸다. 정보를 빼낸 직원이 외부로 팔아넘기기 전에 덜미가 잡힌 탓이다. 그러나 이번 카드사 정보유출 건은 광고대행업체 대표 조모씨를 통해 대출중개업체 4명에게 제공돼 2차 유통 정황이 명확한 만큼 GS칼텍스 정보유출 사건의 경우와 달리 그 손해가 입증될 가능성이 높다.
지난 1월 카드 3사에서 유출됐던 1억여 건의 개인정보중 8천여만 건이 시중으로 유출된 것으로 확인되면서 소비자들이 심각한 정신적 피해를 호소하고 있음에도 카드사들이 '금전적 피해'를 전제로 한 정신적 피해만 배상하겠다는 태도를 고수하고 있다.
그러나 최근 개인정보가 유출된 피해자들은 정보유출 사고 후 직접적인 금전 피해보다 각종 판촉 관련 스팸·음란사이트 홍보, 대출권유 메시지 증가 등에 따른 일반적인 정신적 피해를 호소하고 있고, 개인정보가 다른 곳에서 무작위로 사용되고 있다는 것을 생각하면 무섭다는 사람도 많다. 그러므로 정신적 손해부분만으로도 충분히 배상을 해야 함에도 카드사들이 외면하고 있는 것이 문제다.
외국 사례를 찾아보니, 사상 최대의 개인정보 유출 사례로 알려져 있는 미국의 TJX (T.J. Maxx) 의 경우 1억건 정도의 개인정보(신용카드, 사회보장번호(SSN) 등)가 유출된 것으로 알려져 있고, 작년 연말 언론에도 많이 보도된 미국의 소매점 타겟(Target) 역시 4천만건에서 1억건 가까이 유출되었다고 한다. TJX는 카드사들로부터도 카드 재발급 등으로 인한 비용 발생분에 대해서도 배상을 해야 했고 개인정보 유출에 대한 책임으로 벌금을 내야 했는데, 타겟이 현재 배상해야 하는 금액은 약 3조 8천억원으로 추산되고 있고 실제 배상과 소송이 진행중인 TJX 의 경우 약 2조 가까운 비용을 지출하고 있는 것으로 알려져 있다.
그런데 우리나라 카드 3사가 고작 내놓았다는 안이 고개 숙여 사과하는 것과 한 달에 300원 하는 승인문자 서비스를 1년간 무료로 제공한다거나 2차 피해가 확인되면 그 때가서 보상을 하겠다는 것이 전부이다.
충북지방변호사회에서는 이번 카드사 개인정보유출 공익소송을 준비하고 있는데 벌써 소송인단이 1천명이 넘어섰다. 우리 지역의 집단소송중 제일 큰 사건으로 기록될 듯하다. 전국적으로는 벌써 소송인단이 15만명에 이르는 것으로 추산된다. 소송가액으로 치면 약 750억원이 된다.
미국사례에 비하면 미미하지만, 이번 소송이 집단소송제나 징벌적 손해배상 도입의 계기가 되기를 바란다. 그러기 위해서는 더욱 많은 사람들의 참여가 필요하다.
중부매일
jb@jbnews.com