개인 정보 유출이 심심치 않게 유출되는 한국이라는 점을 감안해도 사상 최대 규모였던 3500 만명 (거의 인터넷을 하는 성인 인구 대부분) 의 개인 정보가 유출된 SK 커뮤니케이션즈에 대한 해킹 피해자의 소송에서 결국 원고 (즉 해킹 피해자) 가 모두 패소했습니다.
서울 중앙지법 민사합의 32 부 (서창원 부장판사) 는 2012 년 11월 23 일 해킹 피해자 2847 명이 SK 커뮤니케이션즈 및 이스트 소프트등과 국가를 상대로 낸 5건의 손해 배상 청구 소송에서 모두 원고 패소 판결을 내렸다고 합니다.
재판부는 SK 커뮤니케이션즈가 국내 기업용 유료 프로그램이 아닌 공개용 무료 프로그램을 사용한 행위와 피해자들의 손해 발생 사이에는 인과 관계가 없다고 판결했으며 또 회사가 개인정보 유출을 방지하기 위한 보호조치 의무를 이행하지 않아 사고가 발생한 것으로 보기도 어렵다고 판단했습니다. 이스트 소프트 역시 해킹 방지 관련 주의의무를 위반했다거나 혹은 국가가 그 감독 기관의 의미를 다하지 못했다는 원고 측 주장 역시 모두 기각되었습니다.
과거의 판례를 고려하면 이와 같은 손해 배상 청구 소송이 기각된 것은 그다지 놀랍지는 않습니다. 그럼에도 수천명이나 되는 사람들이 법무 법인이 이끄는 소송에 참가한 것은 지난 4월 대구 지법에서 한 개인이 SK 커뮤니케이션즈를 상대로한 소송에서 위자료 100 만원을 받아내는데 성공한 판례도 있었기 때문으로 풀이됩니다. 이 판례에서 구체적으로 어떻게 일부 원고 승소 판결이 나왔는지는 알 수 없지만 법원이 상당한 파장을 줄 수 있는 집단 소송 승소 판결을 내리기는 그다지 쉽지 않았을 것이라고 생각할 수 있습니다. (이번 소송은 1 인당 50 만원씩 배상하라는 것이 원고측 주장이었음)
아무튼 이 판결은 이전 옥션 판결과 더불어 기업이 고객들의 개인 정보를 관리하던 중 이의 전부나 일부를 해킹당해도 아무런 배상 책임이 없다는 선례로 남을 가능성이 높아졌습니다. 이는 물론 현재 진행 중인 다른 소송 - 예를 들어 870 만명 개인 정보가 유출된 KT 나 1320 만명의 개인 정보가 유출된 넥슨 등 - 에도 영향을 미칠 것으로 생각됩니다. 해당 기업들 입장에서는 매우 다행한 일이겠죠.
(앞으로 기업에서는 대규모 해킹 사태로 개인정보가 유출되어 소비자들이 피싱이나 스팸 문자, 혹은 다른 계정 해킹으로 인한 2 차 피해를 보더라도 사과문 하나로 쉽게 해결이 가능할 것으로 생각됩니다)
물론 이 소송을 주도한 법무 법인 대륙 아주는 항소해서 대법원까지 가겠다는 의지를 보이고는 있으나 결과가 나중에 뒤집어 질 가능성은 미지수입니다. 사실 현재 상태로 보면 가능성이 낮다고 보는게 맞겠죠.
앞으로도 계속 이런식의 판결이면 기업 입장에서는 수십억, 혹은 수백억을 들어 보안을 강화하는 것은 사실 돈 낭비라고 할 수 있습니다. 사과문을 담은 팝업 창 하나로 해결할 문제를 그렇게 대비한다는 것은 이윤 추구를 목적으로 하는 기업 입장에서는 전혀 득이 되지 않는 다고 해야겠죠.
더구나 국내에선 여러가지 희안한 법률 때문에 과도한 개인 정보 수집이 만연한 상태입니다. 그리고 이미 그것들은 다 공공재화 된 상태입니다. 전혀 서비스에 필요하지 않은 주민등록 번호나 기타 정보를 수집해 이미 다 털린 상태에서 지금 주민 등록 수집 금지를 하는 건 사실 뒷북이라고 할 수 있습니다. (다만 타인이 내 주민등록 번호로 나를 사칭하는 것을 방지 하기 위해선 지금이라도 사용 금지 시키는 것이 맞습니다)
지난 2 년간 6325 만명의 개인 정보가 이미 유출 ( http://blog.naver.com/jjy0501/100168563459 참조) 상황이고 - 물론 중복 유출 건수를 포함 - 이로 인해 수많은 고객들의 개인 정보가 유출되어 스팸 메일이나 피싱, 기타 텔레마케팅 권유등에 시달리고 있는데 정작 피해자는 넘치고 가해자는 없는 것이 지금의 현실입니다.
(예를 들어 KT 유출 사고의 범인은 텔레마케팅 업체와 결탁한 케이스로 이 정보를 이용해 약정 만료일이나 요금제 변경이 필요한 고객을 골라 전화를 걸어 가입자를 유치해왔음. 일하던 도중 갑자기 '지금쓰던 휴대폰 싸게 최신 기종으로 바꿔드립니다' 하는 스팸 전화를 받아 짜증났던 기억이나 업무에 방해를 받은 기억이 있으신 분들도 꽤 되실 것입니다. 참조 http://blog.naver.com/jjy0501/100163496317 )
사실 개인당 50 - 100 만원 하는 식의 피해 보상은 기업측에서 수백만 - 수천만명의 개인정보를 털렸을 때는 거의 승소가능성이 낮아 보입니다. 차라리 법원에서 앞으로도 그렇게 판결할 것이라면 이제는 당국에서 법을 보완해서 뭔가 패널티를 주어야 합니다. 예를 들어 개인 정보 유출건당 1만원 정도 벌금을 매긴다면 개인 정보를 대량으로 가지고 있는 기업들도 보안에 더 주의할 것이며 더 나아가 필요없는 개인 정보를 폐기할 가능성이 높습니다.
다만 그렇게 될지는 모르겠지만 말이죠. 아무튼 이런식으로 광범위한 고객들이 스팸 문자와 피싱 전화에 시달리고 피해자는 사방에 넘치는 데 가해자는 아무도 없는 상황이 답답해서 한번 적어 봅니다.
참고
댓글
댓글 쓰기