[판결 인사이드] 정보유출 방치 카드사·신용평가사, 피해자에게 10만원씩

중앙일보

입력

2014년 1월 발생한 1억건 이상의 신용카드 고객 정보 유출 사건을 기억하시나요.

피해자에 박근혜 대통령도 포함됐을만큼 우리나라 경제활동인구 대부분의 개인정보가 본인들 허락없이 빠져나간 일입니다. 이에 분노한 소비자가 하나 둘 모여 집단소송을 진행했고 그 참여 수만도 20여만 명에 달하는 것으로 잠정 집계됐습니다. 소송 진행 건수(2014년 1∼6월)는 KB국민카드 90건, 롯데카드 69건, 농협카드 62건에 달합니다.

2년 가까이 지난 22일 법원에서 피해자에게 배상하라는 첫 판결이 나왔습니다. 서울중앙지법 민사22부(재판장 박형준)는 “카드사들와 신용평가업체 코리아크레딧뷰로(KCB)는 피해자 1인당 10만원씩 배상하라”고 판결했습니다. 이 소송은 KB국민카드와 농협카드 사용자 5206명이 모여 진행했습니다. 첫 판결이니만큼 앞으로 진행될 다른 집단소송에도 영향을 미칠 것으로 보입니다.

사건은 이랬습니다.

KCB에서 카드 도난·분실 및 위·변조 탐지 시스템(FDS) 개발 용역 프로젝트를 총괄 담당하던 박모씨가 2012~2013년 KB국민카드 등 카드 3사에서 파견 근무를 하면서 고객의 개인정보를 USB(이동식 저장장치)에 담아 대부중개업체 관계자에게 전달했습니다. 이 때 KB국민카드 고객 5200만명, NH농협카드 2500만명, 롯데카드 2600만명 등 1억건이 넘는 개인정보가 새 나갔습니다. 이름·휴대전화번호·직장명·주소·신용정보 등이 포함된 정보였습니다. 이렇게 뿌려진 정보 중 일부는 대출중개업체 등의 영업에 사용된 것으로 알려졌습니다. 박씨는 ‘신용정보이용 및 보호에 관한 법률’ 위반 등의 혐의로 재판을 받아 2014년 6월 징역 3년을 선고받았습니다.

카드사들은 이번 집단소송 재판에서 정보업체 직원 개인의 불법행위일 뿐 카드사들은 고객정보 유출 방지를 위한 조치를 다했다고 주장했습니다. 하지만 재판부는 이를 받아들이지 않았습니다. 박씨가 카드사 사무실에서 작업을 진행하며 인가되지 않은 USB를 쓰도록 방치했다는 것입니다.

옛 개인정보보호법(2015년 7월 개정 전) 29조는 ‘(안전조치의무) 개인정보처리자는 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다’고 규정했습니다.

재판부는 “KB국민카드는 자사 업무용 컴퓨터에 USB 메모리 쓰기 기능을 제한하는 보안프로그램을 설치하지 않았거나 관리·감독을 소홀히 해 개인정보보호법을 위반한 것으로 볼 수 있다”고 판단했습니다.

또 같은 법 26조 1항과 4항 역시 여겼다고 봤습니다.

26조 1항은 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 ▶위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항▶개인정보의 기술적·관리적 보호조치에 관한 사항▶그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항을 문서화할 것을 요구합니다. 같은 조 4항은 ‘위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다’고 책임지웠습니다.

재판부는 소속 직원인 박씨에 대한 감독을 제대로 하지 않은 KCB도 카드사와 함께 피해자들에게 배상해야 한다고 판단했습니다.

재판부는 “유출된 카드사 고객 개인정보는 유포 과정에서 이미 3자에게 열람됐거나, 앞으로 열람될 가능성이 매우 크다. 이 사건으로 피해자들이 정신적 손해를 입었다는 것이 인정된다”고 결론내렸습니다.

하지만 피해자들이 청구한 금액 20만원의 절반인 10만원을 배상하라고 했습니다. “재산상 피해가 직접 확인되지는 않은 점, 카드사 측이 개인 정보 유출 여부를 확인하고 2차 피해 방지를 위해 노력한 점 등을 모두 고려해 배상액을 정했다”는 설명입니다.

이유정 기자 uuu@joongang.co.kr