대규모 개인정보 유출 '여기어때' 줄소송 전망…'징벌 배상' 첫 사례될까

340만 건의 개인정보 유출 사고를 일으킨 온라인 숙박업체 '여기어때'가 줄소송을 당할 처지에 놓였다. 개인정보 보호 법제가 강화되고, 유출된 정보도 민감한 내용이 많아 업체 측이 적지 않은 배상금을 물어주게 될 가능성이 크다.

미래창조과학부와 방송통신위원회, 민간전문가 등으로 구성된 민·관 합동조사단은 26일 '여기어때' 개인정보 유출 침해 사고 조사결과를 발표했다. 총 99만 584명, 중복건수를 합하면 340여만 건의 개인정보가 유출된 것으로 확인됐다.

비슷한 전례에 비춰봤을 때 변호사들이 피해자들을 모집해 대규모 소송에 나설 가능성이 크다. 특히 이번 사건에서는 서비스 이용고객을 대상으로 협박성 음란문자가 발송되는 등 피해가 구체적이다. 업체 측이 개인정보가 유출되지 않도록 취해야 할 조치를 소홀히 한 사실을 어떻게 입증할 것인지가 관건이다.

경찰에서는 이번 정보유출이 해킹으로 인한 것으로 보고 수사 중이다. 해커는 ‘여기어때’ 마케팅센터 웹페이지를 'SQL인젝션' 수법으로 털어간 것으로 전해졌다. 웹페이지 질문사항을 조작해 정상적이지 않은 정보를 수집하고 데이터를 가져갔다는 얘기다. 방송통신위원회는 ‘여기어때’ 측의 웹페이지가 이 수법을 탐지·차단하지 못한 구조로 운영된 것으로 보고 과징금 부과 등을 검토 중이다.

이번 사안은 특히 징벌적 손해배상과 법정손해배상제가 적용되는 첫 사례가 될 수 있어 주목받고 있다. 징벌적 손해배상은 개인정보를 고의나 중대한 과실로 유출시킨 사업자에게 실제 손해액의 최대 3배까지 배상하도록 할 수 있는 제도다. 지난해 7월부터 시행됐다. 법정손해배상제는 피해자가 손해액을 입증하지 못해도 최대 300만 원까지 배상하도록 할 수 있는 제도로 2014년 11월 도입됐다.

그동안 개인정보 유출 사건은 업체 측이 실제 배상책임을 지는 경우가 드물었다. 보안책임을 다했는지를 소송을 낸 쪽이 입증해야 하는데, 실무자들이 어떤 체계를 갖추고 일했는지에 관한 정보를 확보할 수 없어 지는 일이 많았다. 개인정보 유출 소송의 시작으로 꼽히는 ‘옥션 소송’의 경우 14만6000여명이 소송에 나서면서 관심을 모았지만, 7년 만에 최종 패소가 확정됐다. 중국인 해커가 옥션 서버 데이터베이스에 접속해 고객 1081만 명의 개인정보를 빼갔지만, 업체 측 과실을 입증하지 못했다.

최근 피해자들이 승소한 사례는 롯데카드 정보유출 사건에서다. 고객 3577명이 소송을 내 일부 승소하면서 롯데카드가 3억5700만 원의 배상금을 물게 됐다. 하지만 1인당 위자료는 10만 원에 불과했다. 구체적 손해를 입증하지 못하고 정신적 피해를 보상받는 데 그쳤기 때문이다. 단순히 개인정보가 유출돼 정신적 손해를 입었다는 사실 외에 밖으로 나간 정보가 범죄에 이용되거나 영리 목적으로 활용되는 등의 정황을 입증한다면 배상액이 커질 수 있다.