[서울=뉴스핌] 조민교 기자 = 쿠팡의 대규모 개인정보 유출 사태가 확산되면서 정부 제재와 피해자 배상 문제에 대한 관심이 커지고 있다. 특히 이번 사건이 국내에서 처음으로 징벌적 손해배상 제도가 실제 적용되는 사례가 될 가능성이 제기되며 법적 쟁점이 확대되는 분위기다.

4일 업계에 따르면 과징금 규모가 가장 큰 주목을 받고 있다. 현행 개인정보보호법에 따르면 개인정보처리자의 고의 또는 중대한 과실로 개인정보가 유출돼 피해가 발생할 경우 기업 매출액의 최대 3%까지 과징금을 부과할 수 있다. 쿠팡의 연매출은 약 40조 원으로 추산되는 만큼 이론상 최대 1조 원대 과징금 제재가 가능하다.

이미 다른 기업 사례도 존재한다. 지난 10월 SK텔레콤은 2,300만 명 개인정보 유출 사건으로 1348억 원 과징금 처분을 받았으며 올해 3월 우리카드는 개인정보 무단 활용 문제로 134억 원의 과징금이 부과됐다. 쿠팡의 정보 유출 규모는 이들 사례보다 훨씬 크다는 점에서 더욱 엄격한 제재가 내려질 것이라는 관측이 나온다. 다만 개인정보보호위원회의 조사 과정에서 쿠팡이 충분한 보안 관리와 예방 조치를 했다는 점을 입증할 경우 과징금 규모는 조정될 여지도 있다.

과태료 부과 가능성도 남아 있다. 개인정보보호법은 개인정보 유출 사실을 인지한 뒤 72시간 이내 관계기관에 신고하도록 규정하고 있으며, 이를 위반할 경우 과태료가 부과된다. 쿠팡은 지난달 18일 유출 사실을 처음 인지했고, 20일 신고했다.

다만 침해 인지까지의 지연은 책임 논란을 키우고 있다. 공격이 이뤄진 것으로 추정되는 시점이 지난 6월 24일이라는 내부 보고가 존재하지만, 쿠팡은 약 5개월 동안 관련 사실을 전혀 파악하지 못했다는 점에서 보안 체계 부실 비판이 제기된다. 그럼에도 법적으로는 '인지 후 72시간 내 신고' 요건을 충족해 통지 지연에 따른 과태료 부과는 피할 수 있다는 관측이 나온다.

행정 제재와는 별개로 피해자 배상 문제는 본격화되는 양상이다. 현재 인터넷 커뮤니티와 일부 법무법인을 중심으로 집단 소송 참여를 유도하는 움직임이 활발히 이뤄지고 있으며 분쟁조정 신청과 민사 소송을 통한 개별 배상 절차도 병행될 전망이다. 위자료가 1인당 수만~수십만 원 수준으로 산정될 경우, 피해 규모에 따라 배상 총액이 수십억 원 이상으로 커질 수 있다.

쿠팡이 자율 보상 패키지를 마련할 가능성도 거론된다. 박대준 쿠팡 대표는 최근 국회 현안질의에서 "피해자 배상 방안을 적극 검토하겠다"며 "합리적 방향으로 책임을 지겠다"고 밝혔다. 다만 피해 범위가 아직 조사 중이라는 이유로 구체적인 보상 시점과 방식은 밝히지 않았다.

가장 큰 쟁점은 징벌적 손해배상 제도의 적용 여부다. 지난 2일 국회 정무위원회 현안 질의에서는 "쿠팡이 개인정보보호법상 징벌적 손해배상 대상이 될 수 있다"는 가능성이 제기됐다. 개인정보보호법은 개인정보처리자의 고의 또는 중대한 과실로 개인정보가 도난·유출돼 피해가 발생하면 손해액의 최대 5배까지 배상할 수 있도록 규정하고 있다.

해당 제도는 2014년 카드3사 대규모 유출 사건을 계기로 2015년 도입됐으나 지금까지 한 차례도 실제 적용된 사례가 없다. 법 조항에 "개인정보처리자가 고의 또는 중과실이 없음을 증명하면 적용하지 않는다"고 명시돼 있어 기업 측에서 손쉽게 책임을 회피할 수 있다는 지적이 이어져 왔다.

그러나 이번 사건은 사안이 지나치게 크고 반복적이라는 지적이 일고 있어 제도 적용 가능성이 그 어느 때보다 높다는 평가가 나온다. 이재명 대통령까지 나서 "과징금 강화와 징벌적 손해배상 실효성 확보 등 실질적이고 강력한 대책을 마련하라"고 관계 부처에 지시했다. 최근 판례 기준으로 정신적 손해액을 1인당 10만 원으로 산정하고 피해자를 3,370만 명으로 가정하면 기본 손해액만 약 3조 3,700억 원에 달한다. 여기에 징벌 배상 최대 5배가 적용될 경우 쿠팡은 최대 16조 8,500억 원 규모의 손해배상 부담을 질 수 있다. 국내 기업 규제 역사상 전례가 없는 규모다. 

업계에서는 쿠팡이 과징금 처분에 불복해 행정소송을 제기할 가능성 역시 배제할 수 없다고 보고 있다. 쿠팡은 앞서 공정거래위원회의 알고리즘 조작 관련 1628억 원 과징금 처분에 대해 소송을 제기한 바 있다.

이번 사태는 대한민국 개인정보 보호 정책의 분수령이 될 것으로 보인다. 과징금과 배상 수준에 따라 전 산업의 보안 투자 기준과 리스크 관리 수준이 재편될 수 있다는 분석이 나온다.

한 업계 관계자는 "매출의 최대 3%까지 과징금을 부과할 수 있는 만큼 이론상 1조 원대 제재도 가능하다"며 "일반적인 사례라면 실제 과징금은 1조 원에는 미치지 못할 것으로 예상했겠지만 이번 사안은 대통령까지 강경 대응을 주문한 만큼 최고 수준의 처분이 현실화될 가능성도 있다"고 말했다.

mkyo@newspim.com