"보상받기 어려운 개인정보 유출…'디스커버리 제도'로 피해 줄여야"

[이데일리 김형일 기자] “개인·신용정보 유출 피해자가 법정 밖에서도 기업을 충분히 심문할 수 있는 디스커버리 제도 도입이 필요합니다. 재판 과정에서 피해자가 직접 손해를 증명해야 하지만 증거 확보가 현실적으로 쉽지 않기 때문입니다. 디스커버리 제도가 기업의 정보보호 의무를 실질적으로 강화하고 산업 전반의 보안 수준을 끌어올릴 제도적 장치가 될 수 있다고 봅니다.”

[이데일리 김태형 기자] [이데일리 김태형 기자] 홍시우 법무법인 대륙아주 변호사가 23일 서울 강남 대륙아주 사무실에서 이데일리와 인터뷰후 포즈를 취하고 있다.

홍시우 법무법인 대륙아주 변호사는 23일 서울 강남 대륙아주 사무실에서 진행한 이데일리와의 인터뷰에서 “올해 SK텔레콤, 롯데카드 등에서 대규모 개인·신용정보 유출이 잇따르면서 업종을 가리지 않고 피해가 확산하고 있지만 피해자가 기업의 고의·중과실이나 인과관계를 입증하기 어렵고 패소 사례도 적지 않다”고 지적했다. 국내에서 피해액의 최대 5배를 배상하는 징벌적 손해배상 제도가 사실상 작동하지 않는 이유도 여기에 있다는 것이다.

홍 변호사는 개인·신용정보 유출 피해자들이 집단소송이나 손해배상 청구 소송 과정에서 마주하는 현실도 언급했다. 그는 “피해자는 금전적 손해뿐 아니라 정신적 손해도 함께 주장하지만 우리나라 법원은 정신적 손해를 저평가하는 경향이 있다”며 “소송 제기의 실익이 적고 이 때문에 집단소송 참여 동기도 낮아지는 상황이다”고 설명했다.

실제로 개인정보 유출로 물의를 빚은 기업 상당수가 법적·실무적으로 고의나 중대한 과실이 없다고 주장하거나 책임을 인정하지 않고 있다. 홍 변호사는 “기업이 ‘최선의 기술적 보호조치를 취했다’, ‘제3자의 불법행위에 따른 불가항력 사고였다’는 논리를 앞세워 과실이 없음을 주장하고 있다”고 말했다.

2023년 개인정보보호법 개정으로 강화된 분쟁조정제도의 실효성에도 의문을 제기했다. “의무 참여 대상을 공공기관에서 모든 개인정보처리자로 확대하고 분쟁조정위원회의 자료 요청과 사실조사 권한을 신설하는 등 제도가 보완된 측면은 있다”며 “조정안이 권고적 성격에 그쳐 기업이 이를 거부하면 결국 다시 소송으로 이어지기 때문에 실질적 구제 수단으로 기능하기에는 한계가 있다”고 평가했다.

특히 홍 변호사는 기업들의 기술적 보호조치 수준이 여전히 미흡하다고 지적했다. 그는 “최근 유출 사고를 보면 많은 기업이 법적 의무를 형식적으로는 이행하고 있지만 실질적으로 부족한 부분이 적지 않다”며 “사후 대응이 아닌 사전 예방 중심의 보안 체계 구축, 경영진 차원의 보안 거버넌스 강화, 지속적인 모니터링과 내부 통제의 투명한 공개가 필요하다”고 강조했다.

또 “일부 기업은 ‘보안 강화에 드는 선제적 비용보다 사고 후 배상비용이 더 싸다’는 계산적인 인식을 하고 있다”며 “이런 인식은 단기적으로는 비용 절감이 될 수 있지만 장기적으로는 가장 비싼 선택이 될 수 있다는 점을 명심해야 한다”고 경고했다.

이어 그는 “단순히 보안 예산을 늘렸다고 해서 개인정보보호법이나 신용정보보호법이 요구하는 안전조치 의무를 다했다고 볼 수 없다”며 “기업 규모 대비 투자비, 인력 배치, 교육 이행 여부가 중요 요소다”고 덧붙였다.

[이데일리 김태형 기자] 홍시우 법무법인 대륙아주 변호사가 23일 서울 강남 대륙아주 사무실에서 이데일리와 인터뷰 하고 있다.

외부 침입으로 발생한 개인·신용정보 유출 역시 과실로 판단될 수 있다고 해석했다. 홍 변호사는 “개인정보 유출 사고는 단순히 결과만으로 기업의 책임이 인정되는 것은 아니다”며 “기업의 관리상 과실 여부는 ‘개인정보의 안전성 확보에 필요한 기술·관리적 조치 의무’의 이행 여부를 통해 판단한다”고 설명했다. 이어 “법령이 요구하는 수준의 보호조치를 다했는지 다각도로 검토한 뒤 책임 여부를 판단한다”고 했다.

홍 변호사는 금융사의 지속적인 관리·감독과 소비자의 적극적인 권리 행사도 주문했다. 그는 “신용정보법은 데이터 결합과 활용 과정에서의 2차 유출 위험을 줄이기 위한 절차적·기술적 기준을 제시하고 있지만, 과거 사례를 보면 현장에서 이를 철저히 준수하지 않으면 대규모 유출 사고를 막기 어렵다는 사실이 드러났다”며 “금융사는 모든 데이터 처리 참여자가 법이 요구하는 안전성 확보조치를 충실히 이행하도록 관리·감독해야 한다”고 말했다.

끝으로 그는 “신용정보주체인 소비자의 권리는 법률상 일정 부분 보장되고 있지만, 현실적으로 이를 온전히 행사하기는 어렵다”며 “법과 제도 개선도 중요하지만, 소비자 스스로 신용정보 열람·정정·삭제 권한을 적극적으로 행사해야 한다”고 강조했다.

▶디스커버리 제도란

‘증거 개시 제도’로 변론 전 당사자가 소송 관련 정보를 상호 교환·공개해 증거를 확보하는 절차다. 정보 비대칭 해소와 재판 효율성 제고를 목표로 한다.