[집단소송, 과잉구제의 덫]①사고 한 번에 中企 존폐 위기, 과거소환 '파묘법'이 온다

개인정보 유출 1인당 10만원 배상 땐
수백만 피해자 기업 부담 수천억대로
침해사고 10건 중 9건 중소·중견기업
시행 전 사고까지 적용하는 '소급'도 논란
피해자뿐 아니라 이해관계자 고려해야

고객 306만명의 개인정보가 유출된 여행업체 모두투어 . 피해자들이 낸 손해배상 소송에서 법원은 1심에 이어 2심에서도 1인당 10만원의 위자료를 인정했다. 한 사람에겐 10만원이지만 306만명 전원에게 같은 금액을 적용하면 배상액은 3060억원으로 불어난다. 모두투어의 지난해 영업이익(74억원)의 41.4배, 자기자본(925억원)의 3.3배에 해당하는 규모다. 현실화할 경우 회사가 정상적인 영업활동만으로 감당하기 어려운 규모다.

기업 규모가 작을수록 재무 부담은 더 커진다. 교육 콘텐츠 업체 클래스유의 개인정보 유출 피해자는 약 160만명이다. 모두투어와 같은 1인당 10만원을 적용하면 잠재 배상액은 1600억원으로, 2024년 영업이익 37억7000만원의 42.5배에 이른다. 자기자본 33억8000만원과 비교하면 47.4배다. 보유 자본을 모두 투입하더라도 배상액의 일부밖에 감당하지 못하는 수준이다.

골프존 도 221만명 규모의 개인정보 유출 사고를 겪었다. 같은 방식으로 추산한 잠재 배상액은 2210억원으로, 지난해 영업이익 681억원의 3.2배, 자기자본 4389억원의 절반 수준이다.

올해 사고가 발생한 티빙은 피해 규모가 1953만명에 달한다. 1인당 10만원을 적용하면 1조9530억원이다. 지난해 698억원의 영업손실을 기록한 티빙의 자기자본은 2068억원으로, 잠재 배상액은 이보다 9.4배 많다. 적자가 이어지는 상황에서 자체적으로 감당하기 어려운 수준으로, 대규모 자금 조달이나 주주의 지원 없이는 사업 존속 자체가 위협받을 수 있다.

이는 모두투어 사건에서 법원이 인정한 1인당 위자료 10만원을 다른 개인정보 유출 사건에도 일률적으로 적용해 재무 부담을 단순 비교한 수치다. 실제 배상 여부와 금액은 개별 사건의 피해 정도와 기업의 과실, 법원의 판단 등에 따라 달라질 수 있다.

잠재 배상액이 실제 기업 부담으로 이어질지는 집단소송제 도입 여부가 주요 변수가 될 전망이다. 현재는 소송에 직접 참여한 피해자만 배상받는 것이 원칙이다. 하지만 국회에서 논의 중인 집단소송제가 도입되면 일부 피해자가 제기한 소송의 판결이 소송에 참여하지 않은 피해자에게도 적용될 수 있다. 이에 따라 수십만~수백만 명의 피해자가 발생한 사건에서는 배상 규모가 급증해 자본력이 취약한 중소·중견기업의 존립 자체를 위협할 수 있다는 우려가 나온다.

침해사고 10건 중 9건 중소·중견기업

12일 국회입법조사처와 업계에 따르면 사이버 침해사고 신고는 2021년 640건에서 2024년 1887건으로 3배 가까이 늘었다. 지난해에는 8월까지 1473건이 접수됐다. 사고 10건 중 9건은 중소·중견기업에서 발생했다. 2024년에는 전체 신고의 90.9%인 1716건, 지난해 8월까지는 90.6%인 1334건이 중소·중견기업에 집중됐다.

개인정보 유출은 기업 규모나 업종을 가리지 않았다. SK 텔레콤· KT · LG유플러스 ·쿠팡·롯데카드 등 대기업뿐 아니라 모두투어·골프존·클래스유·알바몬·리앤리·듀오 등 중소·중견기업에서도 발생했다. 올해는 티빙에서도 대규모 개인정보 유출 사고가 났다.

문제는 사고 위험은 중소·중견기업에 집중돼 있지만 이를 예방하고 대응할 역량에는 기업 규모별 격차가 크다는 점이다. 한국정보보호산업협회의 '2024 정보보호 실태조사'에 따르면 종사자 250명 이상 기업의 정보보호 조직 보유율은 87%였지만, 10~49명 기업은 26.2%에 그쳤다. 정보보호 정책 보유율도 각각 98.7%와 48.9%로 두 배가량 차이가 났다.

기업들이 집단소송제 도입에 민감한 것도 이 때문이다. 2020년 정부가 집단소송법 도입을 추진했을 당시 조사에서 중소기업의 68.6%가 반대했다. 중소기업중앙회는 당시 거액의 합의금을 노린 소송이나 집단소송을 전문적으로 기획하는 로펌이 등장할 가능성 등을 우려했다. 법적 대응력이 상대적으로 취약한 중소기업은 최종적으로 승소하더라도 장기간 법률비용을 부담해야 하고, 피소 사실 자체가 소비자 신뢰에 타격을 줄 수 있다는 것이다.

책임보험이 충분한 안전판 역할을 하지 못할 수 있다는 우려도 나온다. 기업들은 기존 손해배상 체계를 전제로 보험에 가입해 위험에 대비해 왔다. 하지만 법 시행 전 발생한 사고까지 새로운 집단소송 절차의 대상이 될 경우 당초 예상하지 못했던 배상 위험이 생길 수 있다. 업계에서는 보험으로 보전되지 않는 우발채무가 커지면 투자와 자금조달에도 부담으로 작용할 수 있다고 보고 있다.

위자료 10만원이 수천억 원 되는 이유

현재 국내 집단소송제는 증권 분야에 한정돼 있다. 정부와 여당은 이를 손해배상청구 전반으로 확대하는 방안을 추진하고 있다. 지난 3월 박균택 더불어민주당 의원이 대표 발의한 집단소송법안은 법무부와 협의를 거쳐 마련돼 사실상 정부안으로 꼽힌다. 현재 국회에는 이 법안을 포함해 집단소송제 관련 법안 14건이 발의돼 있다. 이 가운데 '제외신고형(Opt-out·옵트아웃)' 방식과 '소급 적용'을 둘러싸고 법조계와 산업계에서 우려가 제기되면서 국회 법제사법위원회 법안심사소위원회에 계류 중이다.

업계가 주목하는 쟁점은 옵트아웃이다. 현행 일반 공동소송에서는 피해자가 직접 소송에 참여해야 판결의 효력을 받는 것이 원칙이다. 피해자가 100만명이어도 실제 소송에 참여한 사람이 1만명이라면 판결은 원칙적으로 이들에게 적용된다. 옵트아웃 방식은 반대다. 피해자가 "나는 이 소송에서 빠지겠다"고 제외 신고를 하지 않는 한 직접 소송에 참여하지 않았더라도 판결의 효력을 받는다. 박 의원 안 역시 확정판결의 효력이 제외 신고를 하지 않은 구성원에게 미치도록 규정하고 있다.

기업 입장에서는 배상 대상의 단위 자체가 달라질 수 있다. 1인당 10만원의 위자료가 인정된다고 가정하면 피해자 1만명은 10억원이지만, 100만명이면 1000억원이다. 개인정보 유출 피해자가 수백만 명에 이르는 사건에서 옵트아웃 방식이 기업의 잠재 배상 규모를 크게 키울 수 있다는 지적이 나오는 이유다.

피해자의 자기 결정권을 둘러싼 논란도 있다. 소송이 진행되고 있다는 사실을 충분히 알지 못한 피해자에게도 판결의 효력이 미칠 수 있어서다. 법원행정처도 일부 피해자가 소송 사실을 충분히 인지하지 못한 채 소송에 포함되거나 권리를 행사하지 못해 재판청구권이 침해될 가능성을 들어 신중한 검토가 필요하다는 의견을 냈다.

과거 사건도 대상, 산업계 '파묘법'

가장 큰 쟁점은 소급 적용 여부다. 법 시행 이후 발생한 사건뿐 아니라 시행 전에 발생한 일부 사건에도 새 집단소송 절차를 적용할 수 있도록 하는 내용이다. 일각에서 집단소송법을 '파묘법'이라고 부르는 것도 이 때문이다. 기업이 당시 법과 제도를 기준으로 대응을 마쳤거나 진행 중인 과거 사건이 새로운 집단소송 대상으로 다시 떠오를 수 있다는 의미다.

논란이 커지자 국회 법제사법위원회는 박 의원안을 중심으로 법 시행 전 3년 이내 발생한 사건까지 적용하는 방안을 논의하고 있다. 여당은 소멸시효가 남아 결과가 확정되지 않은 '부진정소급'에 해당해 적용할 수 있다는 입장이다. 이 경우 최근 개인정보 유출 등으로 손해배상 가능성이 남아 있는 사건도 새 집단소송 절차의 대상이 될 수 있다.

하지만 헌법은 소급입법에 따른 재산권 박탈을 금지하고 있다. 과거 사건에 새 제도를 적용하면 기업이 당시 예상하지 못했던 배상 책임을 떠안을 수 있다는 점에서 소급 적용 여부를 더욱 신중하게 검토해야 한다는 지적이 나온다.

업계가 우려하는 것은 경영의 예측 가능성이다. 기업은 사고 당시 적용되는 손해배상제도와 보험 보장범위 등을 토대로 위험에 대비한다. 이후 만들어진 집단소송 절차가 과거 사건에 적용돼 배상 대상이 늘어나면 기업 입장에서는 당시 예상하기 어려웠던 재무 부담을 떠안을 수 있다는 주장이다. 산업계에서는 민사상 소멸시효가 남아 있다는 이유만으로 새 소송 절차를 적용하는 것은 별개의 문제라며 법적 불안정성이 커질 수 있다고 반박한다.

기존 입법례와도 차이가 있다. 2005년 시행된 증권관련 집단소송법은 법 시행 이후 최초로 이뤄진 행위로 인한 손해배상청구부터 적용했다. 하도급법의 징벌적 손해배상은 시행 이후 처음 발생한 위반행위, 제조물책임법은 시행 후 최초 공급한 제조물부터 대상으로 삼았다. 신용정보법의 법정손해배상과 개인정보보호법의 징벌·법정손해배상 역시 시행 이후 발생한 정보 유출 등에 적용됐다.

이처럼 기존 입법례와 달리 과거 사건까지 적용하는 방안이 추진되고 있지만 이에 따른 기업의 재무 부담은 충분히 검토되지 않았다. 박 의원실 관계자는 "의원실이나 당 차원에서 (중소·중견기업에 미칠) 영향평가까지 진행하지는 않았다"고 말했다.

권용수 건국대 법학전문대학원 교수는 "중소·중견기업 가운데 적극적으로 투자하고 도전하는 기업들은 위험이 훨씬 크다"며 "집단소송이 소급 적용될 경우 경영에 위험을 줄 수 있다"고 지적했다. 그는 피해 구제와 사회 구성원의 이익 보호라는 제도의 취지에는 공감하면서도 "기업의 주주·근로자·채권자·지역사회와 같은 다른 이해관계자에게 미칠 영향도 함께 따져봐야 한다"고 말했다.

임혜선 기자 lhsro@asiae.co.kr