297만명 개인정보 유출한 롯데카드, 징벌적 손해배상 커져

[이데일리 김형일 기자] 297만명의 고객 정보가 유출된 롯데카드가 손해배상책임을 자부담으로 해결할 가능성이 커지고 있다. 해킹 공격 피해로 신용카드 결제 내역과 카드 비밀번호, CVC(카드 뒷면 3자리 숫자) 등 민감한 개인신용정보까지 유출돼서다. 롯데카드가 가입한 개인정보배상책임보험은 신용정보 유출을 보장하지 않으며, 보장 범위가 법률비로 극히 제한된다.

서울 종로 소재 롯데카드 본사.(사진=뉴스1)

18일 금융권에 따르면 롯데카드는 롯데손해보험의 ‘개인정보배상책임보험’에 가입한 상태로 보험가입액은 100억원으로 나타났다. 해당 보험은 매출액 10억원 이상, 정보 주체 1만명 이상인 기업이 필수로 가입해야 하는 의무보험이다. 개인정보보호법 제39조 7에는 보험이나 공제에 가입하거나 준비금을 적립하는 필요한 조치를 해야 한다고 명시돼 있다.

문제는 신용정보 유출이 확인되면 롯데카드가 손해배상책임을 스스로 져야 한다. 개인정보배상책임보험은 신용카드 번호와 계좌번호, 비밀번호, 인증번호 등 신용정보 유출은 보험금을 지급하지 않는 면책 사유에 해당한다. 보험금 수령이 가능한 부책 사유는 개인정보의 우연한 유출로 법률상 손해배상이 발생할 때로 국한된다.

실제 지난 4월 2324만명의 고객 정보가 털린 SK텔레콤은 신용정보 아닌 휴대전화 번호, 가입자 식별번호(IMSI), 유심인증키(Ki, OPc) 등 25종이 유출돼 개인정보배상책임보험금으로 일부 보전이 가능하다. 하지만 신용정보가 유출된 롯데카드는 이보다 무거운 처벌이 예상된다. 지난 5월 SK텔레콤을 상대로 공동 손해배상 소송에 나선 고객 1000여명은 1인당 100만원을 청구했다.

징벌적 손해배상 가능성도 존재한다. 롯데카드는 2010년대에도 신용카드 부정사용 방지시스템(FDS) 개발 과정에서 개인정보가 유출된 롯데카드는 3577명에 각각 10만원을 배상했다. 당시 재판부는 일부 유출 건에 대해 수사기관에 의해 압수된 점, 제3자에게 유통되지 않은 점을 고려했지만 이번에는 신용정보까지 유출된 만큼 롯데카드의 부담이 클 수 있다.

홍시우 법무법인 대륙아주 변호사는 “이번 롯데카드 사태는 징벌적 손해배상 가능성이 열려있다”며 “약 10년 전부터 알려진 결제관리 서버의 취약점을 방치하고 해킹 인지를 17일이나 지연한 점을 들어 롯데카드의 행위가 ‘중대한 과실’에 해당할 가능성이 있기 때문이다”고 분석했다.

롯데카드는 개인정보배상책임보험을 통해 보험금을 받더라도 극히 일부 보전을 받을 전망이다. 해당 상품은 법률상 손해배상금과 소송비, 변호사비, 중재·화·조정비를 보장한다. 해킹 집단의 협박으로 지급한 자금이나 자산, 데이터 복구비와 보안 강화 비용 등을 제공하는 사이버보험과는 차이가 존재한다. 사이버보험은 기업이 자율적으로 가입하는 임의보험이다.

보험업계 관계자는 “신용정보법에 따라 신용카드 거래 내역 등은 신용정보로 분류된다”며 “약관상 개인정보 유출은 보장하지만 신용정보 유출은 보험금을 지급하지 않는다”고 말했다. 이어 “특약 가입 여부에 따라 신용정보 유출에 대한 보장이 가능할 수 있다”고 덧붙였다.