개인정보 털려도 보상은 ‘복불복’…과징금은 국고로, 피해자는 각자도생

해킹과 개인정보 유출 사고가 반복되고 있지만 피해자에게 제공되는 통지와 보상은 기관·기업마다 제각각이다. 정부가 부과한 과징금과 과태료는 전액 국고에 귀속돼 피해자의 실질적인 회복으로 이어지지 않는다. 반복되는 대규모 유출 사고에 대응하려면 기업의 자율적 조치에 의존하지 않는 통일된 피해 구제 기준이 필요하다는 지적이 나온다.

3일 한국인터넷진흥원에 따르면 지난해 사이버 침해사고 신고 건수는 2383건으로 전년 1887건보다 26.3% 증가했다. 2023년 1277건과 비교하면 2년 만에 86.6% 늘었다.

개인정보 유출은 공공기관과 민간기업을 가리지 않았다. 올해 국립외교원과 서울시 공공자전거 ‘따릉이’를 비롯해 온라인동영상서비스(OTT) 티빙, 결혼정보회사 듀오, 롯데카드, 우리은행 등에서 개인정보 유출 사실이 잇따라 확인됐다.

문제는 유출 이후 피해자가 받는 통지와 구제 조치에 일관된 기준이 없다는 점이다.

서울 마포구에 거주하는 직장인 이다운(31)씨는 따릉이와 티빙, SK텔레콤 등에서 개인정보가 유출됐지만 일부 사고는 해당 기관의 직접 통지가 아닌 언론 보도를 통해 먼저 알게 됐다고 말했다.

이씨는 “아이디와 이름, 생년월일은 물론 몸무게까지 유출됐는데 앱 안에서 공지를 직접 찾아 들어가야 사고 내용을 확인할 수 있었다”며 “다른 플랫폼에서는 ‘수상한 전화나 문자, 이메일을 주의하라’는 수준의 안내만 받았다”고 말했다.

이어 “내 정보가 어디로 흘러갔는지 알 수 없는 상황인데도 개인정보를 관리해야 할 기관과 기업의 설명은 소극적이었다”며 “피해자가 무엇을 확인하고 어떻게 대응해야 하는지 알기 어려웠다”고 했다.

국회와 정부가 청문회, 행정처분을 통해 책임을 묻고 있지만 이 같은 조치가 피해자의 직접적인 배상으로 이어지지는 않는다.

금융위원회는 고객 약 297만명의 정보가 유출된 롯데카드에 1개월 반의 업무정지 처분과 신용정보법 위반에 따른 과징금 50억원을 부과하기로 의결했다. 해킹에 따른 정보 유출을 이유로 금융회사에 업무정지 처분을 내린 것은 이번이 처음이다.

개인정보보호위원회도 개인정보 유출과 무단 소액결제 피해가 발생한 KT에 과징금 539억7900만원을 부과했다. 한국소비자원 소비자분쟁조정위원회는 쿠팡 개인정보 유출 피해자에게 1인당 10만원을 배상하도록 결정했다.

그러나 현행법상 기업이 낸 과징금과 과태료는 국고로 귀속된다. 명의도용과 보이스피싱, 스미싱 등 2차 피해 위험에 노출된 정보 유출 피해자의 법률 지원이나 피해 회복에 직접 사용되는 구조는 아니다.

기업과 기관이 내놓는 자체 보상도 논란이 되고 있다. 현금 배상 대신 자사 포인트나 서비스 이용권을 지급하는 방식이 대표적이다.

서울시설공단은 따릉이 개인정보 유출 피해자에게 30일 정기권을 지급했다. 쿠팡은 피해자에게 자사 구매이용권을 제공했다. 피해 회복보다 해당 서비스를 다시 이용하도록 유도하는 마케팅에 가깝다는 비판이 제기된 이유다.

개인정보 유출 피해는 개별 피해액을 입증하기 어렵고, 피해자 한 사람이 별도의 소송을 제기해 얻을 수 있는 실익도 크지 않다. 유출 당시 당장 금전적 손해가 발생하지 않더라도 이후 명의도용이나 피싱 범죄로 이어질 가능성이 있어 피해 범위와 기간을 특정하기도 어렵다.

22대 국회에서는 개인정보 유출 피해자를 지원하고 2차 피해를 막기 위한 법안들이 발의됐다.

이훈기 더불어민주당 의원이 대표발의한 개인정보보호법 개정안은 기업으로부터 징수한 과징금과 과태료 등을 재원으로 ‘개인정보 피해자 보호기금’을 조성하는 내용을 담고 있다. 기금을 피해자 법률 지원과 상담, 2차 피해 예방, 피해 구제 지원 등에 사용하도록 했다.

강명구 국민의힘 의원이 대표발의한 개인정보보호법 개정안은 유출된 개인정보의 불법 유통과 거래를 금지하고 처벌 근거를 마련하는 내용이다. 이미 유출된 개인정보가 보이스피싱이나 명의도용 등에 악용되는 것을 막겠다는 취지다.

그러나 두 법안 모두 국회에 계류돼 있다. 개인정보보호법 개정안과 집단소송법안 등 개인정보 유출 및 피해 구제와 관련해 22대 국회에 발의된 법안 80여건도 아직 국회 문턱을 넘지 못했다.

피해자 일부가 제기한 소송의 판결 효력을 같은 피해를 본 사람들에게도 적용하는 집단소송제 도입 논의도 이어지고 있다. 현재는 개인정보 유출 피해자들이 개별적으로 손해배상 소송을 제기해야 해 소액·다수 피해를 실질적으로 구제하기 어렵다는 지적이 제기돼 왔다.

전문가들은 일시적인 행정 제재와 복잡한 개별 소송만으로는 대규모 개인정보 유출 피해를 구제하기 어렵다고 지적한다.

박소영 국회입법조사처 입법조사관은 “소액·다수 피해를 구제하려면 판결 효력이 전체 피해자에게 미치는 집단소송제가 적합하다”며 “과징금을 재원으로 피해 배상에 활용하는 공중피해보상조치나 기업의 자발적 피해 구제를 유도하는 동의의결제 등 국내 실정에 맞는 구제 방안을 신속히 마련해야 한다”고 말했다.

김건주 기자 gun@kukinews.com