[기자수첩]개인정보유출, 기업 면죄부 어디까지?

SK커뮤니케이션즈(이하 SK컴즈)의 개인정보 유출 사고에 대한 이용자들의 민사소송이 원고패소로 23일 판결났다. 심정적으로는 더 강력한 처벌조치와 손해배상이 이뤄져야 할 것으로 보이나 법적인 근거를 놓고 봤을 때 이 회사에게 면죄부가 주어졌다.

유출된 이용자 개인정보는 불법적인 마케팅에 활용되거나 금융 서비스 이용에 도용될 수 있다. SK컴즈 외에도 NH농협, KT 등 이용자 정보 유출은 2차, 3차로 거래돼 피해를 키운다는 점에서 이를 제대로 관리 못한 기업에 책임을 물어야 하는 것이 마땅하다. 

지난 2008년 발생한 옥션 해킹 사고 피해자 14만 명의 집단소송도 1심에서 패소한 바 있다. 당시 옥션 소송을 변호했던 행복마루 구태언 변호사는 "손해배상은 법을 위반했는지 여부를 판단하는 것인데 SK컴즈가 개인정보보호를 위해 정보통신망법상 규정된 보호조치를 다했다면 법적으로 위배되는 것이 없다"고 밝혔다.

개인정보보호를 위해 방화벽을 구축하고, 개인정보가 담긴 데이터베이스(DB)를 암호화하는 등의 기본적인 준수사항을 이행했다면 손해배상 소송에 승소하기 힘들다는 것이다.

정보통신망법 28조가 규정하고 있는 개인정보취급사업자의 기술적 관리보호조치에는 ▲개인정보 관리책임자를 지정하고 ▲관련 DB에 접근할 수 있는 관리계획을 세우며 ▲암호화기술 적용 ▲접속기록의 위변조 방지 조치 등의 항목을 지정하고 있다.

즉 SK컴즈는 이러한 조치를 취해왔기 때문에 '법적으로' 승소할 수 있었다. 개인정보가 유출돼 불쾌하고 불안에 떨어야 했던 피해자들은 기본적인 보안 조치를 취해왔다는 기업에게 사과 한마디 외에는 달리 보상 받을 것이 없다. 앞으로도 이용자 개인정보를 다루는 대기업에서 개인정보가 지속적으로 유출된다 해도 법 규정에만 어긋나지 않으면 같은 판결이 나올 수 밖에 없다.

이에 대해 보안업계에서는 개인정보를 다루는 회사들의 보안성이 여전히 취약하다며 강력한 조치를 통해 선행사례를 만들지 않으면 같은 사례가 반복될 수밖에 없다고 지적했다. 법원의 판단이 지나치게 미온적이라는 것이다.

개인정보 유출 피해자들을 비롯한 인터넷 이용자들이 기업에 대한 책임을 엄격하게 묻지 않으면 인터넷을 어떻게 안심하고 쓰느냐고 불만을 쏟아질 만 하다. '누군가 분명 잘못을 했고 이로 인해 누군가는 피해를 입었지만, 아무도 책임질 필요가 없다'는 면죄부가 남발된다면 총체적인 정보보안 불감증을 키우게 될 것이다.