쇼핑몰 정보유출, 배상 얼마나 받나

유출된 정보가 무엇이냐에 따라 갈린다

온라인 쇼핑몰에서 개인정보가 유출됐을 때 배상 여부와 금액을 가르는 첫 기준은 '어떤 정보가 새어 나갔느냐'다. 이름 하나만 노출된 것과 이름·연락처·배송지가 함께 빠져나간 것은 무게가 다르다.

최근 무신사가 운영하는 29CM에서 고객 정보가 유출된 사례가 이 차이를 잘 보여준다. 29CM는 총 15만9852건이 유출됐다고 밝혔는데, 이 가운데 이름만 노출된 건이 13만8841건, 이름에 더해 휴대전화번호·이메일·배송정보까지 함께 빠진 건이 2만1011건이었다. 결제정보와 아이디·비밀번호 같은 계정정보는 유출 대상에서 빠졌다.

법원은 개인정보 유출을 정신적 손해로 보긴 하지만, 그 정보가 사생활과 밀접하고 2차 범죄에 악용될 수 있을 때 손해를 더 무겁게 본다. 이름만 노출된 경우보다 연락처와 배송지가 함께 새어 나가 스미싱·보이스피싱에 쓰일 수 있는 경우가 배상 인정에서 유리한 쪽이다.

실제로 받을 수 있는 금액은 크지 않다

Castorly Stock

기대와 현실의 간극이 큰 대목이 배상액이다. 개인정보 보호법 제39조의2는 법정손해배상을 규정하는데, 정보주체는 구체적인 손해액을 입증하지 못해도 300만원 이하 범위에서 배상을 청구할 수 있다. 게다가 이 제도에서는 입증책임이 뒤바뀐다. 피해자가 회사의 잘못을 증명하는 게 아니라, 회사가 고의·과실이 없었음을 스스로 입증하지 못하면 책임을 벗지 못한다.

문제는 상한이 300만원이라는 것과 실제 인정액은 그보다 훨씬 낮다는 점이다. 과거 대규모 유출 사고에서 법원이 인정한 위자료는 1인당 10만원, 30만원, 50만원 수준이었다. 유출 자체만 있고 실제 금전 피해 같은 2차 손해가 없으면 인정액이 적다는 것이 판례의 일관된 흐름이다. 반대로 유출된 정보로 실제 피싱 피해를 봤다면 그 손해를 따로 증명해 청구액을 키울 여지가 생긴다.

개인 소송과 집단분쟁조정, 어느 쪽이 실효적인가

배상액이 소액이라면 혼자 소송을 내는 건 실익이 크지 않다. 소송은 인지대와 변호사 비용, 시간이 들기 때문에 몇십만원을 받자고 진행하기엔 부담이 크다.

이럴 때 현실적인 통로가 개인정보 분쟁조정위원회다. 조정은 소송보다 절차가 간단하고 비용 부담이 거의 없으며, 조정이 성립하면 재판상 화해와 같은 효력을 갖는다. 특히 같은 사고로 피해자가 50명 이상이고 피해 유형이 비슷하면 '집단분쟁조정'을 신청할 수 있다. 한 건의 조정 결과가 비슷한 처지의 다수에게 적용되는 구조라, 개인이 각자 다투는 것보다 품이 덜 든다.

정리하면 이렇다. 유출만 있고 추가 피해가 없다면 분쟁조정으로 접근하는 편이 비용 대비 낫다. 유출된 정보로 실제 금전 피해를 봤고 액수가 크다면 그 손해를 입증해 소송을 검토할 수 있다. 어느 쪽이든 유출 사실과 항목, 피해 정황을 기록으로 남겨 두는 게 먼저다.

피해 확인과 신고는 이렇게

내 정보가 유출됐는지, 무엇이 유출됐는지부터 확인해야 대응 방향이 잡힌다.

• 사업자 안내 확인: 29CM처럼 유출 기업은 개인별 유출 항목을 안내하고 일정 기간 확인 페이지를 운영한다. 어떤 항목이 새어 나갔는지 먼저 확인한다.
• 2차 피해 대비: 연락처가 유출됐다면 출처가 불분명한 문자·전화 링크를 누르지 않고, 필요하면 명의도용 방지 서비스를 신청한다.
• 신고·상담: 개인정보 침해는 한국인터넷진흥원 개인정보침해 신고센터(국번 없이 118)로 신고·상담할 수 있다.
• 조정 신청: 배상을 원하면 개인정보 분쟁조정위원회에 조정을 신청한다. 피해자가 다수라면 집단분쟁조정을 함께 검토한다.

유출 통보를 받았다고 곧바로 큰 배상을 기대하긴 어렵다. 다만 항목을 확인하고 2차 피해를 막는 조치, 그리고 필요 시 조정 신청까지가 지금 할 수 있는 현실적인 대응이다.

출처

1. 무신사 운영 29CM, 고객정보 16만건 유출… 결제·계정정보는 제외
2. 정보주체의 대응방안 - 개인정보보호 (찾기쉬운 생활법령정보)
3. 개인정보 보호법 제39조의2(법정손해배상의 청구)