개인정보 유출, 피해자가 돈 받는 두 단계

과태료 720만원은 피해자 몫이 아니다

지난 8월 개인정보보호위원회는 대북 풍선에 탈북민 131명의 개인정보가 담긴 파일을 실어 날린 북한발전연구원에 과태료 720만원을 부과했다. 안전성 확보 조치를 소홀히 했다는 이유다. 파일에는 성명과 주민등록번호, 연락처, 탈북 전 거주지까지 들어 있었다.

여기서 많은 사람이 오해하는 지점이 있다. 이 720만원은 국가가 거두는 행정처분이지, 정보가 샌 탈북민들에게 돌아가는 돈이 아니다. 과태료와 과징금은 위반 기업이나 단체를 제재하기 위한 것이고 국고로 들어간다. 피해자가 입은 손해를 메우려면 완전히 다른 절차를 직접 밟아야 한다. 이번 사건에서 정보가 샌 탈북민들도 과태료와 별개로 분쟁조정이나 손해배상을 직접 청구할 수 있다. 과태료 부과는 그 출발점일 뿐 종착점이 아니다.

피해자가 쓸 수 있는 두 갈래 길

Photo by Jonas Leupe on Unsplash

내 정보가 유출됐을 때 손해를 회복하는 경로는 크게 둘이다.

첫째는 개인정보 분쟁조정이다. 개인정보분쟁조정위원회에 조정을 신청하면 소송보다 빠르고 비용 없이 배상이나 재발 방지를 요구할 수 있다. 같은 사고로 피해자가 많으면 집단분쟁조정도 가능하다. 둘째는 민사 손해배상 청구다. 조정이 결렬되거나 액수가 크면 법원으로 간다.

분쟁조정은 신청 비용이 들지 않고, 양쪽이 조정안을 받아들이면 재판상 화해와 같은 효력이 생겨 법원 판결을 받은 것과 비슷하게 집행할 수 있다. 형사 신고와 병행할 수도 있지만, 가해자가 처벌받는 것과 내가 배상받는 것은 별개라는 점을 기억해야 한다.

현실적으로는 소송까지 가 큰 배상을 받은 사례가 많지 않다. 개인이 혼자 끌고 가기 버거운 사건이라면, 비용과 시간이 덜 드는 분쟁조정을 먼저 두드려 보는 편이 합리적이다.

손해액을 몰라도 받을 수 있다

손해배상이라고 하면 "내 피해를 숫자로 어떻게 증명하나" 하는 벽에 부딪힌다. 개인정보 보호법은 이 부담을 덜어준다.

우선 입증 책임이 뒤집혀 있다. 정보가 유출됐다면 기업이 스스로 고의나 과실이 없었다는 점을 증명해야 하고, 못 하면 책임을 면하기 어렵다. 또 법정손해배상 제도가 있어, 구체적 손해액을 대지 못해도 법원이 300만원 이하 범위에서 배상액을 정할 수 있다. 기업의 고의나 중대한 과실이 인정되면 2023년 개정으로 실제 손해액의 5배까지 물리는 징벌적 손해배상도 가능해졌다.

주민등록번호와 금융정보가 함께 샜다면 2차 피해 위험이 커서 법원이 인정하는 금액도 높아지는 경향이 있다.

결국은 증거 싸움이다

제도가 유리해도 아무 기록이 없으면 액수를 끌어올리기 어렵다. 유출 사실을 알게 된 순간부터 다음을 모아두는 편이 좋다.

• 기업이 보낸 유출 통지 문자나 안내문 (법상 유출 시 항목·시점·경위를 알리게 돼 있다)
• 갑자기 늘어난 스팸 문자와 메일을 날짜별로 캡처
• 대출 권유나 보이스피싱 전화의 발신번호와 시간
• 유출 전후를 비교할 수 있는 자료

"유출 전 하루 2통이던 스팸이 유출 후 30통이 됐다"처럼 전후 변화를 보여주면 피해의 설득력이 올라간다. 명의 도용이나 카드 부정 사용, 대출 피해로 번졌다면 통신사와 금융기관에서 관련 자료를 떼어 두어야 유출과의 연결고리를 입증하기 쉽다.

신고 창구와 움직일 기한

상담과 신고는 한국인터넷진흥원 상담 전화 118이나 개인정보보호위원회(privacy.go.kr)에서 받을 수 있다. 분쟁조정은 개인정보분쟁조정위원회가 창구다.

기한도 중요하다. 민사 손해배상 청구권은 손해와 가해자를 안 날부터 3년, 유출 행위가 있은 날부터 10년이 지나면 소멸한다. 유출 통지를 받았다면 그 시점이 '안 날'의 기준이 될 수 있으니, 피해가 애매해 보여도 증거부터 확보해 두고 시효 안에 움직이는 것이 안전하다.

출처

1. [단독] 尹 취임 전후 날린 대북풍선에 탈북민 131명 개인정보 실렸다 (국민일보)
2. 정보주체의 손해배상 및 행정소송 (찾기 쉬운 생활법령정보)
3. 개인정보 유출사고와 징벌적 손해배상 (법률신문)