쿠팡·티빙 대규모 정보유출에 변협 "집단소송제 등 민생3법 입법 촉구"

[이데일리 남궁민관 기자] 대한변호사협회가 최근 잇따라 발생하고 있는 기업들의 개인정보 유출 사태와 관련 강한 우려를 표하면서 철저한 진상조사, 책임있는 후속 대책 마련과 함께 국회에 ‘민생3법’ 입법을 촉구하고 나섰다. 디스커버리, 징벌적 손해배상, 집단소송 제도 등 조속한 입법을 통해 개인정보 보호 체계를 근본적으로 바꾸는 계기를 마련해야 한단 입장이다.

최주희(가운데) 티빙 대표이사 및 임원들이 3일 서울 중구의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다.(사진=연합뉴스)

대한변호사협회(변협)는 7일 ‘티빙 개인정보 유출 사태와 관련 징벌적 손해배상 등 민생 3법을 조속히 입법하라’는 성명서를 내고 이같이 주장했다.

변협은 먼저 “지난 5월 말 발생한 티빙 해킹 사고로 3954만개 계정의 개인정보가 유출된 데 대해 깊은 우려를 표한다”며 “과학기술정보통신부 민관합동조사단 발표에 따르면 현재 이용 중인 계정 2206만개는 물론 휴면 계정 850만개, 이미 탈퇴한 계정 887만개에서도 이름·생년월일·휴대전화번호·이메일 등 70종의 정보가 빠져나갔다”고 강조했다.

이어 “더 큰 문제는 주민등록번호와 1대1로 대응해 인터넷상 본인확인에 쓰이는 연계정보(CI)가 1904만개 계정에서 유출된 점”이라며 “카드나 유심은 재발급으로 유출 정보를 무효화할 수 있지만, CI는 그럴 수 없고 이용자가 바꿀 수도 없다”고 지적했다. “다른 경로로 새어 나간 정보와 결합되면 흩어진 개인정보를 한 사람 것으로 꿰어 맞추는 연결고리가 되므로 피해자는 앞으로 오랫동안 맞춤형 보이스피싱과 명의도용에 시달릴 수밖에 없다”는 게 변협 설명이다.

변협은 티빙을 정조준하며 “조사단은 접속키 관리와 모니터링이 허술했고 2024년 모의해킹에서 이미 드러난 취약점도 고치지 않았다고 밝혔다”며 “알고도 방치한 구멍으로 수천만명의 정보가 새어 나간 것이니 단순한 과실이라 할 수 없다. 여기에 티빙은 법정 신고 시한인 24시간마저 넘겼는데 이에 대한 제재는 과태료 최대 3000만원이 전부”라고 지적했다.

변협은 “2011년 SK커뮤니케이션즈, 2014년 카드 3사, 지난해 SK텔레콤과 쿠팡, 그리고 티빙까지 대규모 유출이 터질 때마다 피해는 국민이 떠안았고 기업은 소액 배상과 사과문 한 장으로 넘겼다”며 “이 구조를 바꾸지 않는 한 같은 일은 되풀이될 것”이라고 경고했다.

이에 변협은 “개인정보보호위원회와 수사기관은 사고 경위와 실제 피해자 규모, 2024년에 확인된 취약점이 방치된 경위와 책임자, 탈퇴 회원 정보의 보유·파기 실태를 철저히 규명해야 한다”며 “티빙은 물론 관리·감독 책임이 있는 모회사 CJ그룹이 법적 의무를 다했는지도 함께 조사돼야 한다”고 말했다.

이어 “티빙은 포인트 지급 같은 미봉책이 아니라 피해자를 실질적으로 보호할 대책을 즉시 내놓아야 한다”며 “정부와 국회는 대규모 개인정보를 처리하는 기업의 보안 의무를 강화하고 확인된 취약점의 방치와 신고 지연에 대한 제재 수준을 실효성 있게 높여야 한다”고 말했다. 이용자가 바꿀 수 없는 CI를 민간 기업이 대량으로 보관하는 현행 체계 역시 이번 기회에 근본적으로 재검토할 필요가 있다는 입장이다.

특히 변협은 “국회는 디스커버리(증거개시), 징벌적 손해배상, 집단소송 제도를 담은 민생 3법 입법을 더 이상 미루어서는 안 된다”고 강조했다.

변협은 “가해 기업의 책임을 밝히기 위한 디스커버리제도 도입이 절실하다”며 “유출 사건에서 보안 시스템의 실태, 유출 경위, 과실 여부에 관한 증거는 모두 기업 안에 있고 피해자는 접근할 방법이 없어 당사자 사이에 증거를 서로 개시하도록 해야 피해자가 대등한 지위에서 권리를 주장할 수 있다”고 설명했다.

이어 “기존 배상액의 수십 배에 이르는 책임을 물어야 기업이 개인정보 보호를 비용이 아닌 의무로 받아들일 것”이라며 징벌적 손해배상제도의 전면 도입을 촉구했다. 수천만명에 이르는 피해자 구제를 위해선 “집단소송제도를 개인정보 침해와 소비자 피해 전반으로 확대해야 한다”고도 했다.

끝으로 변협은 “법원은 현실에 맞는 손해배상 판결로 기업의 도덕적 해이를 막아야 한다”며 “변협은 개인정보 자기결정권이 헌법상 기본권임을 다시 확인하며 쿠팡 사태 1년도 지나지 않아 벌어진 이번 사태가 개인정보 보호 체계를 근본적으로 바꾸는 계기가 돼야 한다”고 강조했다.