한경 로앤비즈의 'Law Street' 칼럼은 기업과 개인에게 실용적인 법률 지식을 제공합니다. 전문 변호사들이 조세, 상속, 노동, 공정거래, M&A, 금융 등 다양한 분야의 법률 이슈를 다루며, 주요 판결 분석도 제공합니다.






올해 4월 SK텔레콤의 대규모 개인 정보 유출 사건으로 나라가 시끄러웠는데, 해를 넘기기도 전에 또다시 쿠팡의 회원 정보 유출 사태가 벌어져 불안감이 높아지고 있다. '내 개인 정보가 나보다 전 세계를 더 많이 여행하는 것 아니냐'는 우스갯 골드몽릴게임 소리까지 나올 정도다. 그간 어떤 사고들이 있었고, 사고가 벌어졌을 때 기업은 어떤 책임을 부담하게 되는지, 유출 사고는 왜 자꾸 되풀이되고 국민들은 답답한 마음이 들 수밖에 없는지 살펴보고자 한다.

 기업 존폐 가르는 보안 리스크
지난 수년간은 개인 정보 보호의 역사상 상당히 급진적인 변화가 일어난 사이다쿨바다이야기게임 시기라 할 수 있다. 2023년 개인정보보호법이 전면적으로 개정되면서 개인 정보 규제 환경에 여러 변화를 가져왔는데, 가장 큰 변화는 기업이 부담하게 되는 과징금 상한액이 '위반 행위 관련 매출액' 기준에서 '전체 매출액'을 기준으로 바뀐 것이다. 이는 유럽연합(EU)의 일반개인정보보호법(GDPR) 등 글로벌 스탠더드에 발맞춘 조치인 동시에 기업들이 개인 야마토게임장 정보 보호를 단순 규제 준수 비용이 아닌, 기업의 존폐를 가를 수 있는 핵심 리스크로 인식하게 만든 결정적 계기가 됐다. 과거에는 수조 원의 매출을 올리는 대기업이라 하더라도 유출된 서비스 부문의 매출 규모가 작으면 과징금이 수천만 원 단위에 그치는 경우가 많았다. 그러나 법 개정 이후 발생한 카카오, 골프존, SK텔레콤 등 사건에선 이런 법적 보호막이 사 우주전함야마토게임 라지고 기업 전체의 재무 건전성을 직접적으로 타격할 수 있는 수준의 제재가 부과되기 시작했다.
올해 있었던 SK텔레콤의 유심(USIM) 및 가입자 정보 유출 사건은 약 2324만명에 달하는 가입자의 개인 정보가 유출된 대형 사건이었다. 유출된 정보에는 성명, 생년월일, 주소뿐 아니라 복제가 불가능해야 할 유심 암호키 등 치명적인 기술 정보 릴게임꽁머니 가 포함돼 있었다. 문제의 원인은 'ICAS'라 불리는 구형 서버였다. SK텔레콤은 이 레거시 시스템을 최신 보안 거버넌스 체계에 통합하지 않고 방치했고, 그 결과 해커의 공격 대상이 됐다. 지난 8월 개인정보보호위원회는 SK텔레콤에 1348억원의 과징금을 부과했다. 국내 기업 역사상 최대 규모의 개인 정보 유출 과징금이다. 개보위는 유출된 정보가 유심 복제 등 2차 피해로 이어질 수 있는 고위험 정보임에도 불구하고, SK텔레콤이 기본적인 암호화 조치조차 수행하지 않고 평문으로 저장한 점을 들어 위반 행위의 중대성을 '매우 중대'로 판단했다.



2023년 11월엔 스크린골프 업계 1위 기업인 골프존이 랜섬웨어 공격을 받아 221만 명의 개인정보가 유출됐다. 해커들은 임직원의 가상사설망(VPN) 계정을 이용해 내부망에 침투했고, 파일 서버에 저장된 주민등록번호 등 민감 정보를 탈취한 뒤 이를 다크웹에 공개했다. 개보위는 골프존에 과징금 75억400만원을 부과했다. 조사 결과 골프존은 주민등록번호를 암호화하지 않은 채 파일 서버에 평문으로 저장하고 있었으며, 외부에서 내부 서버로 접속하는 과정에서 2단계 인증(MFA)과 같은 필수적인 보안 조치를 누락한 것으로 드러났다. 보유 기간이 지난 38만여 명의 개인 정보를 파기하지 않고 보관하다가 유출 피해를 키운 점도 중대한 위반 사항으로 지적됐다.
사례에서 보듯 개인정보보호법 개정 이후 기업들에 유의미한 행정적 제재가 가해져 왔고, 기업들은 개인 정보 보호를 이사회와 최고경영자(CEO) 레벨에서 관리해야 하는 경영 리스크로 파악하기 시작했다.
 민사 보상, 행정 제재 속도 못 따라가
그런데 정작 정보가 유출된 당사자인 국민들에 대한 피해 보상은 크게 개선되지 않고 있다. 통상 개보위의 과징금 부과 등 결정이 이뤄지면 이를 토대로 기업을 상대로 하는 위자료 청구 소송이 이어지기 마련이었는데, 법원은 2016년 인터파크 유출 사고에서 1인당 위자료 10만원을 인정했다. 이후 개인 정보 유출에 대한 위자료의 기준점은 10만원 선으로 자리 잡았다. 민감한 정보가 유출되거나 한 경우 위자료가 달리 산정(2017년 여기어때 유출 사건에서 40만원이 인정됐다)되기도 하지만, 통상은 대체로 10만원 선에서 위자료가 정해져 실제 피해를 본 서비스 이용자들에 대한 피해 보상은 기대에 현저히 못 미친다는 비판이 있다. 



이러한 비판을 의식한 탓인지 개인정보분쟁조정위는 올해 SK텔레콤 사건에서 피해자 1인당 30만원의 위자료를 지급하라는 조정안을 제시했다. SK텔레콤이 이를 거부해 소송으로 이어질 전망이다. 그러나 종전 사례에 비춰 위자료 액수가 크게 높아질 가능성은 크지 않아 보인다. 행정 제재의 현실화 속도를 민사상 위자료가 따라가지 못하고 있는 셈이다. 국내에서 징벌적 손해 배상 제도를 도입하자는 논의가 활발한 이유 중 하나다. 쿠팡 유출 사건의 경우 쿠팡 본사가 미국에 있는 점을 고려해 미국 본토에서 본사를 상대로 직접 손해 배상 소송을 제기하려는 움직임도 나타나고 있다. 
이젠 과징금 중심의 제재에서 한 걸음 나아가 현실적인 위자료 기준과 예측 가능한 보상 구조를 함께 마련할 필요가 있다. SK텔레콤·쿠팡 사건에서 보다 현실적인 위자료 액수가 산정돼 기업들은 정보 보안에 더욱 힘쓰는 계기가 되길 기대해 본다. 기자 admin@gamemong.info