정보유출 美선 수조원 과징금… ‘징벌적 손배’ 이번엔 힘받나 [쿠팡 개인정보 유출 파장]

李대통령 ‘현실화 지시’에 주목

카카오 3300만건 유출 때 151억 그쳐

올 SKT 사태 때도 고작 1348억 부과

개인정보 유출 페북 6조대 과징금 폭탄

유럽선 안전장치 미비만으로도 1.7조

국내선 10년내 징벌적 손배적용 전무

피해자 과실입증 등 제도적 보완 필요

이재명 대통령이 2일 쿠팡 개인정보 유출 사고와 관련해 관계 부처에 ‘징벌적 손해배상제도’ 현실화를 지시하면서 그간 유명무실했던 개인정보보호법상 징벌적 손배제가 제 기능을 할 수 있을지 주목된다. 징벌적 손배제는 개인이나 기업 등이 실제 피해액보다 훨씬 많은 금액을 배상하게 해 유사한 사고가 되풀이되는 걸 막기 위한 제도다. 국내법은 개인정보 유출 등 사건에서 징벌적 손배제를 적용할 수 있도록 하고 있지만, 사례는 전무하다.

법조계에 따르면 개인정보보호법 제39조는 개인정보처리자의 고의 또는 중대한 과실로 정보가 유출돼 피해가 발생할 경우 법원은 실제 손해액의 최대 5배까지 배상액을 정할 수 있도록 규정하고 있다. 그러나 이 조항이 적용된 예는 찾기 어렵다. 이정렬 개인정보보호위원회 부위원장은 이날 열린 국회 과학기술정보방송통신위원회의 쿠팡 현안질의에서 더불어민주당 노종면 의원이 “지난 10년간 징벌적 손해배상 대상으로 인정된 사례가 있느냐”고 묻자 “지금까지 없다”고 답했다. 2024년 카카오의 3300만건 유출에 151억원의 과징금만 부과됐고, 올해 4월 약 2300만명의 개인정보가 유출되며 전국을 떠들썩하게 했던 SK텔레콤 사태의 과징금도 1347억9000만원에 그쳤다.

◆미국·유럽 개인정보 유출에 수조원 과징금

미국과 유럽 등은 개인정보 보호가 허술한 기업에 많게는 수조원의 과징금을 부과한다.

2019년 페이스북(현 메타)이 미 연방거래위원회(FTC)로부터 부과받은 50억달러(약 6조원)의 과징금이 대표적이다. 당시 메타는 8700만명의 개인정보를 여론조사기관에 동의 없이 유출해 이 같은 천문학적인 과징금을 물게 됐다. 신용정보기관 에퀴팩스는 같은 해 해킹으로 인해 1억4700만명에 달하는 개인정보가 유출됐고, 이에 FTC는 과징금과 개인배상 등을 명령했다. 페이스북과 달리 프로그램의 허점을 노린 해킹 피해로 기업의 고의성이 없다고 인정받았음에도 과징금 액수가 7억달러(약 8300억원)에 달했다.

집단소송 배상액도 높다. 미국 통신업체 T모바일의 경우 2021년 고객 약 7660만명 정보 유출에 대한 집단소송에서 총 3억5000만달러(약 5140억원), 1인당 최대 2만5000달러(약 3570만원)를 물어줘야 했다.

유럽은 개인정보 보호가 허술한 기업에 더 적극적으로 과징금을 부과한다.

실제 사고가 발생하지 않더라도 개인정보 관리에 미흡한 부분이 드러나기만 해도 최대 2000만 유로 또는 전 세계 연간 총매출의 4% 중 더 큰 금액을 과징금으로 부과할 수 있도록 규정한 개인정보보호법(GDPR) 존재 때문이다. 2023년 메타는 유럽 이용자의 개인정보를 미국 서버로 이전하는 과정에서 GDPR이 요구하는 안전장치를 갖추지 못한 것이 문제로 지적돼 12억유로(약 1조7000억원)의 과징금을 부과받았다. 이에 앞서 2021년에는 아마존이 GDPR 위반으로 룩셈부르크로부터 7억4600만유로(약 1조2000억원)의 과징금을 부과받았다.

◆“기업에 ‘증거 제출’ 강제할 수 있어야”

법조계에선 징벌적 손배제 현실화를 위해선 소송 당사자가 사건의 증거를 수집하기 용이하도록 제도적 보완이 필요하다는 지적이 나온다.

기업 관련 사건을 대리한 경험이 있는 한 변호사는 “기업 상대 소송에서 과실 여부를 가려내야 하는 경우, 기업 입장에서 중대한 과실이 아니었음을 주장하기는 쉽지만 개인들이 과실이 있었음을 증명하기는 쉽지 않다”며 “법원의 자료 제출 요구 등에 있어서 기업이 협조적으로 응하도록 할 만한 조항이 필요해 보인다”고 말했다.

부장검사 출신의 한 변호사는 “한국에서는 수사기관이 기업 압수수색 등으로 증거를 모으면 피해자들이 그 증거를 가지고 민사소송을 진행해 왔는데, 최근 형사사법체계가 붕괴 지경에 이르러 이런 과정을 기대하기 어려워졌다”면서 “징벌적 손해배상제를 도입하더라도 이를 현실화하려면 디스커버리 제도 등 소송 당사자가 증거를 수집할 수 있도록 하는 제도적 뒷받침이 필요하다”고 지적했다.