개인정보 유출이 반복되는 진짜 이유

한경 로앤비즈의 'Law Street' 칼럼은 기업과 개인에게 실용적인 법률 지식을 제공합니다. 전문 변호사들이 조세, 상속, 노동, 공정거래, M&A, 금융 등 다양한 분야의 법률 이슈를 다루며, 주요 판결 분석도 제공합니다

서울에 사는 30대 직장인 A씨. A씨는 재작년 봄 미용의료 앱으로 눈매 교정 상담을 신청했다. 얼굴 사진을 올리고, 어떤 시술을 왜 받고 싶은지, 어느 병원의 어느 의사에게 받고 싶은지까지 적었다. 그해 가을에는 설레는 마음으로 유명 결혼정보회사에도 가입했다.

그런데 그날 적은 가입신청서는 A씨 평생에 가장 길었다. 이름과 생년월일을 시작으로 신장과 체중, 혈액형과 같은 신체 정보를 적고, 종교와 혼인 경력, 형제 중 몇째인지 같은 가정사까지 기재했다. 뒤이어 최종 학력과 직장, 연봉과 재산, 부모의 재력까지 소위 스펙이라 불리는 정보도 모두 적었다. 보통의 연애였다면 한참 뒤에나 공유되었을 정보들이지만 A씨는 좋은 배우자감을 소개받으려면 어쩔 수 없다는 생각에 첫날 매칭 매니저에게 모두 제공했다.

그런데 A씨의 그 많은 정보는 지금 다 어디에 있는 것일까. 최근 언론 보도에 의하면 미용의료 플랫폼 강남언니(운영사 힐링페이퍼)에서는 이용자 22만 명의 상담 내역과 상담용 사진이 유출되었다고 한다. 결혼정보회사 듀오에서도 지난해 1월 정회원 42만7,464명의 프로필이 해킹당했다. 회원들은 그로부터 1년 3개월이나 지난 올해 4월에야 그 사실을 통지받았다. 그러나 지난해 SK텔레콤과 롯데카드, 쿠팡에서도 유출 사고가 연이어 터진 뒤여서 이런 뉴스는 이제 새삼스럽지도 않다.

소비자들은 유출 통지를 받아도 탈퇴는커녕 '개인정보는 공공재'라는 자조 섞인 농담을 하며 비밀번호조차 바꾸지 않는다. 유출은 되풀이되는데 분노는 사라진 것이다. 그런데 유출이 되풀이되는 원인도 소비자가 분노하지 않는 이유도 사실은 하나다. 그 정보로 돈을 버는 쪽과 유출로 손해를 보는 쪽이 다르기 때문이다.

내밀한 정보일수록 비싸

강남언니와 듀오는 업종이 다르지만 파는 것은 같다. 강남언니는 시술을 하지 않는다. 어떤 시술을 고민하는 사람이 있다는 사실을 병원에 알려 주고 광고비를 받는다. 듀오도 결혼을 시켜 주지 않는다. 회원의 프로필을 다른 회원에게 제공하고 가입비를 받는다. 조건이 좋은 회원일수록 비싸게 소개되고, 상담 내용이 구체적일수록 더 많은 광고비를 받는다. 값나가는 정보는 그 사람의 사정을 많이 담은 정보이고 그래서 내밀하다. 내밀할수록 비싸니 회사는 정보를 하나라도 더 모으려 한다. 듀오는 법적 근거도 없이 주민등록번호까지 받았다. 두 회사 대표가 10월 6일 같은 국정감사장에 서는 것은 우연이 아니다.

이는 두 회사만의 사정이 아니다. 메타는 페이스북 이용자에게 돈을 받지 않지만 2025년에 2001억 달러의 매출을 발생시켰다. 이를 하루 평균 이용자 수 35억 8천만 명으로 나누면 메타가 이용자 한 사람의 정보로 1년에 벌어들인 돈은 평균 56달러에 이른다. 이용자는 메타의 서비스 이용 요금을 자신의 개인정보로 치르고 있는 것이다.

유출은 손해가 아니다 — 과징금 1.8%, 위자료 10만 원

그렇게 모은 정보가 유출되면 회사는 무엇을 잃는가. 과징금은 매출액을 기준으로 정해지는데 지난해 3370만 명의 정보가 유출된 국내 최대 온라인 쇼핑몰의 과징금은 매출의 1.8%였다. 소비자에게 주는 배상은 그보다 훨씬 작다. 2014년 카드 3사에서 개인정보 1억 400만 건이 유출된 사건에서 대법원이 확정한 위자료는 1인당 10만 원이었다. 회사가 스스로 모은 고객 정보는 특허권과 달리 자산으로 계상되지 않아 유출이 나도 재무제표의 어느 숫자도 눈에 띄게 줄지 않는다.

정보의 값이 드러나는 것은 회사를 팔 때뿐인데 2017년 버라이즌은 야후를 인수하면서 협상 중 드러난 유출 사고를 이유로 3억 5천만 달러나 깎는 일이 있었다. 그런 경우가 아니라면 장부에 없는 자산을 잃어도 장부는 줄지 않으니 회사는 그 보호에 소홀할 수밖에 없다. AI로 해킹 비용이 낮아지는 지금은 더욱 그렇다. 모아서 버는 돈은 크고 잃어서 치르는 돈은 작으니 유출이 되풀이될 수밖에 없다.

손해는 소비자가 진다 — 떠날 수 없거나 떠나도 소용없거나

유출된 정보로 생기는 피싱과 명의도용 피해는 소비자의 몫이다. 얼굴 사진과 시술 상담 내역이 유출된 사람에게는 누가 그 사진을 보고 있는지 모른다는, 돈으로 따질 수 없는 피해가 남는다.

이런 피해는 몇 달 뒤 사기 문자 한 통으로 시작되고 그때는 어느 회사의 유출 탓인지 아무도 모른다. 소비자가 회사를 벌할 길은 떠나는 것뿐인데 그것도 쉽지 않다.

지난해 11월 유출 사고를 낸 어느 쇼핑몰에서는 석 달 동안 월간 이용자 127만 명이 떠났다가 반년 만에 모두 돌아와 올해 6월 이용자 수 3509만 명은 유출 전보다 오히려 많았다. 새벽 배송 없이 살 수 없는 소비자에게 떠나는 것은 벌이 아니라 불편일 뿐이다.

듀오에서는 떠난 지 5년이 지난 회원 정보 29만 8566건까지 파기되지 않은 채 함께 유출되었다. 쇼핑몰의 소비자는 떠날 수도 없고, 결혼정보회사의 회원은 떠났어도 소용이 없다. 어느 쪽이든 분노한다고 바뀌는 것이 없으니 소비자는 분노하기마저 그만둔다.

법은 소비자가 치른 대가를 모른다 — 유출이 손해가 되게 하는 길

소비자가 벌하지 못한다면 이제 법이 대신 벌해야 하고 유출이 회사의 자산 손실로 이어지지 않는다면 과징금과 손해배상으로 자산에 타격을 주는 수밖에 없다. 우선 과징금은 지난 9월 시행된 개정 개인정보보호법으로 이미 무거워져 고의나 중과실로 1,000만 명 이상이 유출되거나 3년 안에 되풀이되면 전체 매출의 10%까지 과징금을 물릴 수 있게 되었다. 1.8%가 10%가 되면 방어에 돈을 쓸 이유가 비로소 생긴다.

다만 그 과징금은 국고가 아니라 피해를 본 소비자의 구제에 쓰여야 하고 그런 법안이 올해 6월 발의되어 있다. 나아가 손해배상액도 현실화해야 한다. 법정손해배상의 상한은 300만 원이고 고의·중과실이면 다섯 배까지 물릴 수 있지만 법원이 실제로 인정한 금액은 10만 원이었다.

여기에 더해 필요한 것은 발상의 전환, 곧 법이 개인정보를 값어치 있는 서비스의 대가로 인정하는 것이다. 거래계에서는 이미 정보로 결제가 이루어지는데 전자상거래법과 소비자기본법이 돌려주는 것은 낸 돈뿐이어서 A씨가 계약해제나 철회 시 결혼정보회사에 낸 가입비는 돌려받을 수 있어도 함께 낸 프로필은 돌려받을 길이 없다. 유럽은 2019년 지침으로 개인정보를 대가로 인정한 첫 법을 만들었다. 개인정보에 값을 매기는 것은 인격권을 무시하는 것이 아니라 더 잘 지키기 위한 수단이다.

값이 매겨져야 계약을 해제하거나 철회할 때 돌려줄 것이 생기고, 돌려줄 것이 있어야 회사가 지킨다. 우리도 전자상거래법과 소비자기본법 등에 개인정보를 대가로 제공하는 계약을 적용 대상으로 명시하고 보안을 서비스의 내용에 포함하면 유출은 계약 위반이 되어 A씨는 계약을 해제하고 가입비의 반환과 함께 프로필 정보의 반환 내지 파기를 청구할 수 있게 된다. 그때 비로소 유출은 42만 명이 치른 대가를 돌려줄 일, 곧 회사의 손해가 된다.

A씨의 그 많은 정보가 지금 어디에 있는지는 아무도 모른다. 분명한 것은 A씨가 가장 내밀한 것으로 값을 치렀다는 것이고 법이 그 정보를 대가로 인정하는 날 정보로 돈을 버는 쪽과 유출로 손해를 보는 쪽은 비로소 같은 쪽이 된다.