인터넷 쇼핑몰 인터파크에서 1030만명이 넘는 고객의 개인정보가 유출된 것으로 드러나자 피해자들이 인터넷 카페를 개설하는 등 집단소송에 나설 움직임을 보이고 있다. 집단소송은 변호사들도 많이 관심을 갖고 있는 분야로 실제로 피해자들의 손해배상 소송이 제기될 지 주목된다.

옥션, 넥슨, 네이트 등 개인정보 유출 사건 많아

인터파크 이전에도 개인정보 유출사건은 많았다. 2008년 옥션 1000만명, 2011년 넥슨 1320만명과 네이트 3500만명, 2014년 KT 1170만명 등의 사건이 있었다. 특히 2014년 1월 KB국민카드 사건으로 5300만명의 개인 정보가 유출되기도 했다. 이 중 기술적으로 인터파크와 유사한 사례는 KT와 네이트, 넥슨 등이 해킹당한 사건을 꼽을 수 있다.

개인정보 유출에 따른 소송이지만 그 결과도 각 소송마다 달랐다. KT 고객센터 해킹사건의 경우 법원은 "KT가 피해자들의 개인정보 유출을 막기 위한 주의의무를 다하지 못했다"는 판결을 내려 피해자들은 10만원씩의 배상금을 받을 수 있었다. 반면 옥션의 경우 사건발생 후 7년간 법적 공방을 벌인 끝에 법원은 "옥션이 기술적으로 할 수 있는 개인정보 보호 조치의 의무를 다했다"고 봐 피해자들은 배상을 받지 못했다.

인터파크 개인정보 유출 피해자 실제 승소 가능할까…가능성 높아

인터파크 회원들 가운데 일부 개인정보 유출 피해자들은 '인터파크 해킹 피해자 공식카페' 등을 개설하고 집단소송을 본격화할 태세다.

임효진 변호사는 "방송통신위원회가 고시한 '개인정보의 기술적·관리적 보호조치 기준'에 따르면 개인정보처리시스템에서 개인정보에 접근 가능한 개인정보취급자의 컴퓨터 등은 물리적 또는 논리적으로 망분리를 해야 한다"면서 "인터파크에서 직원이 외부 사이트에 개인 메일을 확인한 것으로 인해 회사의 개인정보가 담긴 DB서버까지 해킹됐다는 것은 망분리가 제대로 되지 않았다는 것을 의미한다"고 지적했다.

임 변호사는 "DB 관리자가 PC 제어권을 탈취당하더라도 대규모 고객정보를 빼가기 위해서는 평소와 다른 DB 접속이 발생하는데 인터파크는 해킹범으로부터 협박을 받기 전까지는 해킹을 당했다는 사실을 알지 못했다"며 "이는 이상행위에 대한 탐지를 제대로 하지 못한 것으로 인터파크가 개인정보 보호에 관한 관리·감독 의무를 소홀한 것으로 볼 수 있다"고 덧붙였다.

인터파크 측에서 해킹 사실을 파악한 뒤에도 15일 가량 은폐시도 등을 꾀한 것으로 알려졌다. 이에 대해 임 변호사는 "관련 법률에서 인터파크 등 정보통신서비스 제공자등은 개인정보 노출 등을 안 때에는 '즉시' 이용자에게 알리고 한국인터넷진흥원 등에게 신고하도록 규정하고 있는데 인터파크는 유출사실을 알고도 즉시 이를 알리지 않았다는 점에서 문제의 소지가 크다"고 말했다. 즉 이렇게 문제점이 많으므로 개인정보 유출 피해자들의 승소 가능성이 높다고 봤다.

정현우 변호사(법률사무소 현율)은 "현행 개인정보보호법은 개인정보처리자에게 안전성 확보에 필요한 일련의 조치를 취할 의무를 부과하고 이를 위반해 개인정보를 유출당한 경우 2년 이하의 징역 또는 2000만원 이하의 벌금을 받도록 하고 있고 그 법인에 대해서도 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 않은 경우 양벌규정을 통해 동일한 수준의 처벌이 이루어질 수 있다"고 설명했다.

집단 소송 관련 제도적 개선 필요

추후 관련 제도적 개선에 대해 정 변호사는 "국내에는 아직 미국과 같이 옵트아웃(명시적으로 소송에 참여하지 않겠다고 밝힌 사람 말고는 모두가 판결에 효력을 받는 제도) 형태의 집단소송이 도입되지 않았기 때문에 현행 제도하에서는 피해자들의 단체소송만이 가능한 상황"이라면서 "징벌적 손해배상제도 역시 도입되어 있지 않아 이번 사례와 같은 대규모의 피해자가 발생하는 사건에서 해당 업체의 자발적 피해보상이나 일부 피해자들의 적극적 단체소송과 같은 형태가 아니고서는 실제 손해배상을 받기가 어렵다"고 지적하며 이런 점에 대해 제도적 개선이 필요하다고 봤다.

한편, 개인정보가 유출되는 사건이 지속적으로 발생하자 관련 법률은 기업의 책임성을 한층 강화하는 방향으로 개정됐다. 개인정보 유출 피해자가 피해규모를 직접 입증하지 않아도 배상판결을 받을 수 있게 해 피해자들이 배상 판결을 받기 쉬워졌다. 또 사업자들이 보호조치 미흡으로 개인정보를 유출시켰다면 실제 손해액의 최대 3배까지 배상하도록 했다. 이 개정법으로 인해 소송의 결과가 달라질 수 있는지도 지켜봐야 할 것이다.