[비즈니스포스트] 쿠팡은 받아들일까.

개인정보분쟁조정위원회가 쿠팡 개인정보 유출 피해 보상 관련 분쟁조정 절차를 재개하면서, 피해자 1인당 보상 수준과 쿠팡의 수용 여부에 관심이 모아지고 있다.

쿠팡의 개인정보분쟁조정위 분쟁조정안 수용 여부는 개인정보 유출·침해 사고 재발 방지 노력 의지를 가늠해볼 수 있는 잣대라는 점에서도 주목된다.

앞서 SK텔레콤은 개인정보분쟁조정위의 조정안을 거부해, 재발 방지 노력과 고객 신뢰 회복 의지가 없는 것 아니냐는 비판을 사기도 했다.

무엇보다 SK텔레콤에 이어 쿠팡까지 개인정보분쟁조정위 조정안을 외면할 경우, 개인정보 유출·침해 피해자들이 '해봤자 뭐해'라는 패배감에 빠지며, 집단 분쟁조정 신청 등 손해 보상 요구에 소극적이 될 수 있고, 나아가 개인정보분쟁조정위 분쟁조정 제도 무용론이 제기될 수 있다는 관측이 나온다.

21일 개인정보분쟁조정위에 따르면, 지난 6월26일 접수가 마감된 쿠팡 개인정보 유출 피해 보상 분쟁조정 신청 참여자는 14만5653명(개인 977명, 집단 14만4676명)에 달한다.

단일 개인정보 유출 피해 보상 분쟁조정 신청 건으로는 역대 최대 규모다.

앞서 '사상 최악' 건으로 꼽힌 SK텔레콤 통신망 해킹 및 가입자 개인정보 유출 때는 피해 보상 분쟁조정 신청 참여자가 3998명(개인 731명, 집단 3267명)이었다.

분쟁조정은 개인정보 유출 피해 보상 등을 소송 대신 조정을 통해 해결할 수 있게 하는 제도다. 절차가 복잡하고 시간도 많이 걸리는 소송 대신 조정을 통해 간편하게 피해 보상 문제 등을 해결할 수 있게 하자는 취지로 도입됐다.

개인정보분쟁조정위가 개인정보 침해 피해자들의 신청을 받아 조정을 진행한다. 

개인 분쟁조정이란 개인이 개별적으로 손해배상이나 침해행위 중지 등을 신청하는 것이다. 집단 분쟁조정이란 피해를 당한 정보주체가 50명 이상이고, 사건의 주요 쟁점이 사실상·법률상 공통될 때 다수 피해자를 묶어 일괄 조정하는 절차를 말한다.

앞서 쿠팡 이용자 50명은 지난해 12월11일 개인정보 유출 피해 보상을 요구하는 분쟁조정 신청을 했다. 이후 같은 달 23일 1626명이 추가로 참여했다.

하지만 당시는 개인정보보호위가 쿠팡 개인정보 유출 사고 조사를 벌이고 있는 상태였고, 개인정보분쟁조정위는 이를 들어 조정 절차를 일시 정지했다.

이후 개인정보보호위가 쿠팡 개인정보 유출 사고 조사를 마치고 지난 6월10일 과징금 처분을 의결하는 등 조사·제재 절차를 마무리하자, 개인정보분쟁조정위가 분쟁조정 절차를 재개했다. 개인정보분쟁조정위는 먼저 6월12일부터 26일까지 분쟁조정 추가 신청을 접수했다.

개인정보분쟁조정위는 집단 분쟁조정 신청 건과 개인 분쟁조정 신청 건을 병합해 조정안을 마련하고 있는 것으로 알려졌다.

개인정보분쟁조정위는 법에 따라 분쟁조정 신청 접수 마감일인 6월26일로부터 업무일 기준 60일 안에 조정안을 내놓을 계획이다.

개인정보보호위원회 조사 결과를 보면, 쿠팡 개인정보 유출 피해자는 회원과 비회원을 합쳐 3755만여 명에 달하는 것으로 나타났다.

개인정보보호위는 이를 근거로 쿠팡에 4235억7500만 원(이 건 조사 과정에서 추가로 발견된 이용자 개인정보 침해 2건에 따로 부과된 과징금까지 합치면 총 6249억2900만 원)의 과징금을 부과했다.

앞서 SK텔레콤은 2024년 가입자 2300여만 명의 개인정보를 유출한 것으로 드러났고, 1348억 원의 과징금을 부과받은 바 있다. 개인정보 유출 및 과징금 규모에서 쿠팡이 '역대 최대'로 꼽히던 SK텔레콤을 앞질렀다.

또 쿠팡이 유출한 개인정보에는 이용자 본인의 이름·전화번호·이메일 주소와 공동주택 현관 비밀번호 등은 물론 가족·친구 관계에 있는 제3자의 이름·전화번호·주소 등도 포함된 것으로 드러났다. 2차 피해 발생 위험성이 더 클 수 있다는 뜻이다.

이에 개인정보분쟁조정위의 쿠팡 개인정보 유출 피해 보상 조정 금액이 어느 수준일지에 관심이 모아지고 있다. 법률대리 업계(법무법인) 관계자들의 말을 종합하면, SK텔레콤 때보다는 높을 것이란 전망이 많다. 앞서 SK텔레콤 개인정보 유출 사고 때는 신청자 1인당 30만 원씩 보상하라고 조정했다.

더 큰 관심사는 쿠팡의 분쟁조정안 수용 여부다.

법 절차대로라면, 쿠팡 개인정보 유출 피해 보상 건에 대한 개인정보분쟁조정위 조정안은 8월 중에는 나올 것으로 보인다.

하지만 조정안은 권고 사항일뿐이다. 소송 결과처럼 법적 강제력이 없다. 신청인과 피신청인 가운데 어느 한쪽이라도 받아들이지 않겠다고 하면 그것으로 끝이다.

쿠팡 개인정보 유출 피해 보상 분쟁조정 신청 건 역시 개인정보분쟁조정위가 조정안을 내놔도 쿠팡이 수용을 거부하면 아무런 실효성이 없다.

앞서 SK텔레콤은 집단 분쟁조정 제도의 이런 허점을 노려, 개인정보분쟁조정위·소비자분쟁조정위·정보통신분쟁조정위의 조정안을 줄줄이 외면했다.

페이스북 서비스를 운영하는 메타 역시 분쟁조정 신청자 181명에게 각각 30만 원씩 지급하라는 개인정보분쟁조정위 조정을 거부했다. 메타는 개인정보 무단 제공으로 이용자들에게 피해를 준 것으로 드러났다.

법원행정처도 전자소송시스템 개인정보 유출 건과 관련해, 개인정보 유출 정도에 따라 분쟁조정 신청자들에게 각각 5만~15만 원씩 지급하라는 조정안을 수용하지 않았다.

쿠팡이 조정안을 수용하지 않으면, 분쟁조정 신청자들은 민사소송 등을 통해 다시 피해 구제를 다퉈야 한다. 하지만 쉽지 않다. 절차가 복잡하고 시간도 많이 걸린다. 지쳐서 나자빠지기 십상이다. 원고는 많은데, 피해 보상 금액은 소액이라, 법률대리 업계도 소극적이다.

정부가 분쟁조정 제도를 도입한 것도, 피해자들이 보상을 받는 과정에서 겪게 될 불편과 부담을 최소화하자는 취지였다. 하지만 기업(자본) 측의 '작업'으로 분쟁조정의 법적 지위를 권고에 둬, 실효를 거두지 못하고 있다.
  앞서 SK텔레콤과 메타 등이 개인정보분쟁조정위 조정안을 거부한 것도 이 점을 악용한 것으로 볼 수 있다. 이런 행태는 법률대리 업계의 법률 조언(컨설팅) 형식을 빌어 확산되고 있다. 쿠팡의 법률 대리를 맡고 있는 대형 법무법인 역시 선례를 들어 조정안 수용 거부 조언을 할 가능성이 높다.

다만, 정보인권 보호 운동 측면에서 보면, 금전적 피해 보상을 받아내는 것과 별개로 의미는 있다. 분쟁조정 과정에서 피해 규모와 기업 책임 여부·정도가 공식적으로 검토·판단되고, 그 결과는 이후 민사소송이 진행될 경우 중요한 참고 자료로 활용된다.

개인정보 유출·침해 기업·기관의 재발 방지 노력을 촉구하는 효과도 있다. 기업의 개인정보 유출 사고 재발 방지 노력은 개인정보보호위의 개인정보 유출 기업·기관 제재 과징금과 개인정보분쟁조정위 피해 보상 조정안에 달렸다고 해도 틀리지 않다. 제재와 보상 조정이 '솜방망이' 수준에 그치는 순간 재발 방지 기대는 물거품이 된다. 

해마다 그 해 실적에 따라 연말 임원인사에서 자리 보전과 승진 여부가 결정되는 기업 경영진 쪽에서는 당장 '싸게 들고' '더 많이 버는' 쪽을 선택할 수밖에 없다. 제재와 피해 보상이 엄격해야, 기업 경영진을 움직여 억지로라도 재발 방지 노력에 나서게 할 수 있다는 얘기다.

이재명 대통령이 개인정보보호위 업무보고를 받으면서 '지침을 어겨 개인정보 유출 피해를 자주 일으키는 기업은 징벌적 과징금과 보상으로 패가망신하게 해야 한다'고 강조한 것도 같은 맥락이다.

이에 정부는 개인정보 유출·침해 건에 대해서도 징벌적 과징금 제도를 도입해, 반복적이거나 고의적일 때는 과징금을 매출액의 10%(일반적으로는 3%)까지 부과할 수 있게 했다.

SK텔레콤과 LG유플러스 같은 통신사들과 쿠팡·티빙 같은 플랫폼·금융사 등 최근 가입자·이용자 개인정보 대량 유출 사태를 일으킨 기업에서 같은 사고가 또 발생하면 징벌적 과징금 제재 대상에 들 가능성이 높다.

실효를 거두려면 가입자·이용자들의 '행동'도 필요하다. 개인정보 유출 통지를 받으면, 피해 보상 분쟁조정 신청에 적극 참여하고, 가해자가 피해 보상 조정안을 거부하면 소송을 해서라도 보상을 받아내야 한다고 목소리를 높일 필요가 있다.

개인정보 유출 기업이 개인정보분쟁조정위 피해 보상 조정안을 걷어찼다고 너무 실망하지 않아도 된다. 해당 기업에는 '보안을 소홀히하다 개인정보 유출 피해를 일으키고도 보상을 외면했다'는 꼬리표가 달린다. 이후 고객 만족 내지 고객 신뢰 회복 등을 외쳐봤자, 이 꼬리표 때문에 설득력을 얻지 못하게 된다.         

6.3 전국동시지방선거 이후 '주권 감수성'이란 말이 자주 쓰인다. 선거관리위원회의 선거 관리 부실에 따른 투표 용지 부족으로 투표를 하지 못하는 등 주권 행사 기회를 빼앗긴 점을 크게 받아들이는 태도를 말한다.

선거 결과와 상관없이 시민이 주권을 행사하지 못한 점을 주목하는 것이다. 이재명 대통령이 지방선거 부실 관리 실태를 가볍게 넘긴 점에 대해 반성·사과하며 이 말을 썼다.

같은 맥락에서 개인정보 유출 피해자들은 일상에서 '정보인권 감수성'을 의식하고 행동으로 실천할 필요가 있다. 기업의 개인정보 수집·활용에 동의한 것은, 유출·남용되지 않도록 잘 관리하겠다는 약속을 전제로 한다.

유출 건수가 많지 않다고, 2차 피해가 일어나지 않았다고, 그냥 귀찮다고, 개인정보 유출 피해 보상 분쟁조정 신청이나 민사소송에 참여하지 않는 것은 정보인권 감수성이 떨어지는 것으로 간주될 수 있다.

내가 일상에서 정보인권 감수성을 갖고 행동하지 않으면, 기업들은 가입자·이용자 개인정보를 유출시켜도 별일 없다고 생각하며 재발 방지 노력을 게을리하게 된다. 실제 2000년대 들어 통신 3사에서 발생한 가입자 개인정보 유출 건만도 양손 손가락으로 다 꼽을 수 없을 정도로 잦았다.

통신·금융·플랫폼 업체들에서 지난해 이후 줄줄이 터지고 있는 해킹 및 개인정보 유출 건들 역시 모두 보안 소홀 탓으로 드러났다.

개인정보 유출 신고 건수는 2024년 307건에서 지난해 447건으로 늘었고, 올해 들어서는 상반기에만 432건 접수됐다. KT, 티빙, 예스24, GS리테일, 넷마블, 따릉이 등도 포함됐다.

거듭 강조하지만, 개인정보 유출 재발을 막으려면 규제기관의 과징금 제재가 엄격해지는 것 못지않게 피해자들의 피해 보상 요구 목소리도 커져야 한다. 어떠한 경우라도 패배감에 빠지거나 귀찮아하면 안 된다.

그렇지 않으면 남은 여생은 물론 자녀 세대들이, 기업들이 보안 투자를 소홀히 해 툭하면 가입자·이용자 수천만 명의 개인정보를 유출하고도 피해 보상조차 제대로 하지 않는, 그런 세상에서 살게 된다. 김재섭 선임기자