털린 건 '체중' 돌아온 건 '쿠폰'···따릉이 정보 유출 사태 쟁점

서울 공공자전거 따릉이 시스템 해킹으로 약 462만 명에 달하는 회원 정보가 유출되었다. 실제 유출 항목은 회원별로 다르지만 아이디와 휴대전화 번호는 물론 생년월일, 성별, 주소, 심지어 '체중'까지 포함된 것으로 확인됐다. 이에 서울시설공단은 30일 정기권(약 5천 원 상당)을 보상으로 제시했다. 시민들의 공분이 커지는 가운데, 이번 사안이 감정적 논쟁을 넘어 개인정보의 가치와 손해배상의 법리를 따져볼 중요한 시험대가 되고 있다.

이번 사안이 기존 데이터 유출 사건과 또 다른 양상을 보이는 것은 고객 체중의 유출이다. 체중은 개인정보보호법상 ‘민간 정보’에 해당해 일반 개인정보 보다 엄격하게 보호된다. 특히 이 사건의 핵심은 '정보의 결합'에 있는데, 이를테면 이름이나 아이디, 휴대전화 번호, 주소 등과 체중이 결합하여 유출될 경우 단순한 숫자 하나가 아니라 특정 개인의 프로파일링이 가능해지므로 정보의 민감성은 기하급수적으로 커진다.

그렇다면 공단이 제시한 '5천 원 상당 이용권'으로 피해 보상은 끝나는 것일까. 공단이 조례 등에 근거해 지급하는 이용권은 자체적인 '피해구제 조치'일 뿐, 개인정보보호법에 따른 민사상 손해배상과 동일시해서는 안 된다. 즉, 공단의 자체 보상을 받았다고 해서 곧바로 법적인 손해배상청구권이 포기되는 것은 아니다.

또한 피해자들이 구체적인 2차 피해(명의도용, 금융사기 등)가 없더라도 배상을 받을 수 있을까. 구체적인 2차 피해가 확인되지 않았다는 사정은 손해의 발생 및 범위를 판단하는 데 중요한 요소가 될 수 있지만 이를 손해배상의 절대적인 요건으로는 보기 어렵다. 개인정보 유출 자체로 인한 정신적 손해와 2차 피해로 발생한 '재산상·추가적 사생활 손해'는 엄연히 구분되어야 하기 때문이다.

이를 위해 개인정보보호법 제39조의2는 '법정손해배상' 제도를 두고 있다. 이는 구체적인 손해액 입증의 부담을 완화해 300만 원 이하 범위에서 상당한 손해액을 청구할 수 있도록 한 제도다. 다만 유출 사실만으로 300만 원을 자동으로 지급받는 개념이라기 보다 단순 유출 여부, 정보의 성질 상 사생활 침해 가능성, 사업자의 관리상 과실이 얼마나 중대한지를 쪼개어 배상액을 산정한다.

법무법인 대륜 김형진 변호사는 “이 대목에서 이번 따릉이 사건의 가장 중대한 법률적 쟁점이 등장한다. 바로 '사고 인지 후 대응' 문제다. 공공기관이 운영하는 서비스라는 이유만으로 민사상 책임이 면제되는 것은 아니며 개인정보처리자로서 사고 후 대응 책임을 방기한 행위는 향후 손해배상 소송에서 사업자의 중대한 관리상 과실로 무겁게 평가될 수밖에 없다.”며 “다만 공공기관 상대의 소송 일반 사기업 소송 보다 그 절차가 복잡하고 법원의 손해 인정 범위가 제한될 수 있기 때문에, 이런 점을 충분히 고려한 후 판단하여도 늦지 않다.”고 전했다.

[기사전문보기]
털린 건 '체중' 돌아온 건 '쿠폰'···따릉이 정보 유출 사태 쟁점 (바로가기)