'쿠팡 정보 유출' 10만원 아닌 30만원 배상액 선택한 이유

큰사진보기

쿠팡 3370만 명 개인정보 유출 사태로 전 국민이 불안에 떨던 지난해 12월 초, 미국 투자은행 JP모건은 '그럼에도 불구하고 이번 사태가 투자에 미칠 영향은 제한적'이라는 보고서를 내놨다. 쿠팡이 로켓배송 등으로 한국 유통시장 내 독점적인 시장 지위를 누리고 있는 데다 결정적으로 "한국 고객들이 데이터 유출에 덜 민감하다"는 게 그 근거였다. 보고서가 나오자 하락세였던 쿠팡 주가는 보란 듯이 나스닥 시장에서 반등했다.

"우리 국민들을 '물'로 보는 거 아닙니까? 이건 국가의 자존심 문제입니다."

쿠팡 개인정보유출 사고 피해자 공동소송을 진행 중인 최재영 변호사(법무법인 정세)의 일갈이다. 그는 7일 오후 <오마이뉴스> 기자와의 전화인터뷰에서 쿠팡이 퇴사자 서명 키를 제대로 관리하지 않아 이번 사태가 벌어졌다며 '기본조차 안 된 과실'이라고 지적했다. 통상 10만 원 선에서 인정돼 왔던 개인정보 유출 위자료를 30만 원으로 높여 청구한 이유도 바로 여기에 있다. 유출된 개인 정보가 범죄자 손에 들어갈 가능성이 있을 때 소비자가 느끼는 공포감은 "단순 전화번호 유출과는 차원이 다르다"는 것이다.

최 변호사는 쿠팡이 최근 로켓배송 상품 5000원 쿠폰 등 인당 5만 원 상당의 보상안을 내놓은 것과 관련 "법원에서 배상 노력을 인정받기 위한 쿠팡의 고도 전략"이라고 분석했다. 또 "쿠폰을 받을 경우 회사가 제시한 보상안에 합의했다고 법원에서 받아들일 가능성이 있다"면서 소송 참여 의사가 있을 경우 쿠폰을 사용하지 말 것을 제안했다.

JP모건 보고서가 집단소송 제도의 미비 속에 나왔다고 지적한 최 변호사는 "정보 유출 분야는 사고도 자주 발생하는 데다 위자료 자체가 소액이라 집단 소송제가 도입된다면 효과적인 구제 수단이 될 것"이라고 주장했다. 집단소송제는 많은 피해자가 같은 원인으로 비슷한 피해를 당했을 때, 일부가 나머지를 대표해 소송을 제기할 수 있게 한 제도다. 승소하면 모든 피해자들이 배상을 받는다. 현재는 증권 부문에 한해 적용되고 있다. 언론을 통해 집단 소송으로 불리는 이번 소송 역시 엄밀히 말하면 공동소송 형태다.

최 변호사는 "우리 법인을 통해 소를 제기한 인원은 아직 500명 정도다. 다른 법인을 모두 더해도도 피해자 수에 비해 턱없이 적을 것"이라며 "쿠팡 입장에서 (배상액이 나와도) 큰 돈이 아닌 만큼 쿠팡이 계속 큰소리 칠 수 있는 구조가 만들어진다"면서 참여를 독려했다. 다음은 최 변호사와의 일문일답.

통상 10만 원대 배상액, 쿠팡 사건에서 '30만 원' 올린 이유

- 공동소송을 준비하고 있다. 계기는 무엇인가?

"처음 뉴스를 접했을 때는 사건이 될지 고민했다. 법원이 위자료 수준, 인용률에 워낙 인색하기 때문이다. 그런데 여러 기사를 보니 쿠팡 관리 부실이 기존에 나온 다른 정보유출 건들보다 심해보였다. 이 정도라면 충분히 회사에 과실을 물을 수 있겠다는 판단이 들어 시작하게 됐다."

- 그동안 개인정보 유출 관련 배상 액수는 통상 1인당 10만 원 선이었다. 이번에 청구한 배상액은? 또 몇 명 이 소송에 참여하고 있나?

"현재 모집된 원고단은 500명 조금 넘는 수준으로 많지 않다. 200명과 300명 등 두 건으로 나눠 사건을 접수했다. 청구 금액은 공격적으로, 30만 원으로 했다. 다 된다는 보장은 없지만 쿠팡의 과실 대비 10만 원은 작아보였기 때문이다."

- 이번 쿠팡 소송에서 어떤 법리를 적용할 예정인가?

"쿠팡이 안전조치의무를 지키지 않은 사실을 적극 부각할 생각이다. 개인정보보호법 제29조 안전조치의무에 따르면, 개인정보처리자는 개인정보 분실과 도난, 유출 등을 막기 위해 의무적으로 기술적, 관리적, 물리적 조치를 해야 한다. 그런데 알아본 바에 따르면 쿠팡은 서명 키 값을 제대로 관리하지 않았다. 서명 키란 개인이 아이디와 패스워드를 입력해 웹사이트에 접속했을 때 생성되는 토큰이다. 이 값이 있으면 아이디와 패스워드가 없어도 입력한 것처럼 조작을 할 수 있다. 보통은 회사가 보유하고 있는데, 이번 사건은 쿠팡에 근무하던 중국인 직원이 퇴사를 하면서 이 키 값을 들고 퇴사했다가 (사건이) 터졌다.

그런데 전문가들 얘기를 들어보면 그것 자체가 말이 안 된다고 한다. 관리 직원이 퇴사를 하면 키 값을 변경해 나간 사람이 쓰지 못하게 하는 게 '기본'이라는 것이다. 그걸 6개월 이상 (쿠팡이) 안 했다라는 건, 심각한 거다. 개인정보보호법상 안전 조치 의무를 안 한 사실이 어느 정도 인정될 걸로 보인다."

큰사진보기

- 쿠팡 과실을 뒷받침할 소송 참가자들 피해 사례는 어떤가?

"피해자들은 불안감을 호소한다. 내 정보가 유출된 데 대한 불쾌감도 호소한다. 현재까지 재산상 피해는 입증되지 않았지만 정신적인 손해가 적지 않다. 집 주소, 현관 비밀번호까지 유출됐다. 범죄자 손에 들어갔다고 가정하면 우리가 느낄 수 있는 공포감은 단순 전화번호 유출과는 차원이 다르다. 그래서 위자료 액수를 통상 평균보다 높게 청구한 것이다."

- 얼마 전 쿠팡이 보상안을 제시했다. 이를 개인이 수락하면, 법적으로 '민형사상 이의제기를 하지 않겠다는 합의'로 간주될 수 있을까?

"그럴 가능성이 있다. 회사가 제시한 보상안에 합의했다고 받아들여질 가능성이 있기 때문이다. 소송에도 불리한 영향을 미칠 수 있다. 구체적으로 살펴보지 않았지만, 보상안 수락 과정에 어떤 문구가 적혀 있을지도 체크해봐야 한다. 예를 들어, '보상 받음으로써 추후 다른 민형사상 이의를 제기하지 않는다'는 조항이 포함돼 있는데도 받아들였다면 법원에서 합의로 판단할 수 있다."

- 쿠팡 배상안을 법원이 '노력했다'고 볼 가능성도 있지 않나?

"쿠팡이 그걸 노리고 배상안을 내놓은 거다. 하지만 우리는 사고 중대성에 비춰 보상안이 턱없이 부족할 뿐더러, 재판에 유리한 결과를 얻기 위한 회사의 고도 전략이라고 주장할 것이다."

- 피해자가 소송에 참여하기 위한 준비 절차가 있을까?

"대부분은 쿠팡에서 온 정보 유출 문자를 갖고 있을 것이다. 정보 유출 사실을 개인에게 인정한 것이다. 그것만 있으면 정신적 손해를 청구하는 데는 문제가 없다. 하지만 만약 보이스피싱 등 정보 유출로 직접적인 재산상 피해를 입었다고 한다면 공동소송이 아니라, 개별 소송으로 더 다퉈볼 필요가 있다."

- 이번 사건의 피해자는 수천만 명이다. 하지만 소송 참여자 수는 상대적으로 적다. 이번 사태를 계기로 한국에서 집단소송제를 확대해야 한다고 보나?

"그렇다. 특히 정보 유출 분야는 사고도 자주 발생하는 데다 위자료 자체가 소액이라 집단 소송이 효과적인 구제 수단이 될 것이다. 얼마 전 JP모건이 정보 유출 사고에도 '쿠팡이 이커머스 시장에서 독보적인 지위를 누리고 있는 데다 한국 고객들이 데이터 유출에 대해 덜 민감해 보인다'며 잠재적 고객 이탈이 제한적일 것이라는 내용의 보고서를 냈다. 요약하자면 정보 유출이 아무 것도 아니고, 쿠팡 주가에는 영향 없다는 내용이다. 우리나라 국민들을 물로 봤다는 생각이 들었다. 국가 자존심의 문제라고 생각한다. 너무 쪽팔린 일 아닌가?

어쩌면 집단소송 제도가 없기 때문에 이런 분석이 나왔다고 본다. 있었다면 피해자 몇 천 만명에게 모두 위자료가 나올 테니 기업에 막대한 손실이 생기기 때문이다. 최근에 다른 법무법인이 소송 참여자를 30만 명 모았다는 이야기를 들었다. 하지만 아무리 모아도 전체 소송 참여자는 피해자 수에 비해 턱없이 적을 것이다. 쿠팡 입장에서는 큰 돈이 아닌 셈이다. 증권시장을 통해 자금 조달하면 그만이기 때문이다. 그렇게 쿠팡이 계속 큰소리 칠 수 있는 구조가 만들어진다."