변협 "티빙, 개인정보 유출…징벌적 손해배상 등 민생 3법 조속 입법해야"

"구조 바꾸지 않는 한 같은 일 되풀이될 것"

대한변호사협회가 티빙 개인정보 유출 사고와 관련해 디스커버리(증거개시)와 징벌적 손해배상, 집단소송 제도 등 민생 3법의 조속한 입법을 촉구했다.

대한변호사협회

변협은 7일 성명을 통해 "지난 5월 말 발생한 티빙 해킹 사고로 3954만개 계정의 개인정보가 유출된 데 대해 깊은 우려를 표한다"며 이같이 밝혔다.

변협은 사고 경위를 두고 티빙의 책임이 무겁다고 지적했다. 변협은 공격자가 개발자의 개발환경 접속키를 탈취해 내부 시스템에 들어왔고, 접속키 관리와 모니터링이 허술했으며 2024년 모의해킹에서 이미 드러난 취약점도 고쳐지지 않았다고 밝힌 점을 들어 "알고도 방치한 구멍으로 수천만명의 정보가 새어 나간 것이니 단순한 과실이라 할 수 없다"고 했다.

제재 수준도 문제삼았다. 티빙은 법정 신고 시한인 24시간을 지키지 않았지만 이에 대한 제재는 과태료 최대 3000만원에 그친다는 것이다. 변협은 "수천만명의 정보를 다루는 기업에 3000만원은 제재라 할 수 없다"고 했다.

변협은 2011년 SK커뮤니케이션즈와 2014년 카드 3사, 지난해 SK텔레콤과 쿠팡 사례를 거론하며 "대규모 유출이 터질 때마다 피해는 국민이 떠안았고 기업은 소액 배상과 사과문 한 장으로 넘겼다"며 "이 구조를 바꾸지 않는 한 같은 일은 되풀이될 것"이라고 했다.

이에 변협은 개인정보보호위원회와 수사기관이 사고 경위와 실제 피해자 규모, 2024년 확인된 취약점이 방치된 경위와 책임자, 탈퇴 회원 정보의 보유·파기 실태를 규명해야 하고 티빙뿐 아니라 관리·감독 책임이 있는 모회사 CJ그룹이 법적 의무를 다했는지도 함께 조사해야 한다고 강조했다.

CI 유출에 따른 명의도용과 피싱 피해를 장기간 감시하고 신속히 구제하는 절차를 마련해야 한다고도 요구했다. 정부와 국회를 향해서는 대규모 개인정보를 처리하는 기업의 보안 의무를 강화하고 취약점 방치와 신고 지연에 대한 제재 수준을 높일 것을, 이용자가 바꿀 수 없는 CI를 민간 기업이 대량으로 보관하는 현행 체계를 재검토할 것을 주문했다.

제도 개선 요구도 내놨다. 변협은 "유출 사건에서 보안 시스템의 실태와 유출 경위, 과실 여부에 관한 증거는 모두 기업 안에 있고 피해자는 접근할 방법이 없다"며 디스커버리 제도 도입을 촉구했다. 징벌적 손해배상제도에 대해서는 "기존 배상액의 수십 배에 이르는 책임을 물어야 기업이 개인정보 보호를 비용이 아닌 의무로 받아들일 것"이라고 했다. 집단소송제도를 개인정보 침해와 소비자 피해 전반으로 확대해야 한다고도 했다.

법원을 향해서도 "현실에 맞는 손해배상 판결로 기업의 도덕적 해이를 막아야 한다"며 "CI 유출처럼 피해가 장기간 이어지는 사안에서 종전과 같은 낮은 배상액을 되풀이한다면 피해자 구제도, 기업의 보안 개선도 기대하기 어렵다"고 했다.

변협은 "개인정보 자기결정권이 헌법상 기본권임을 다시 확인한다"며 "국회는 디스커버리와 징벌적 손해배상, 집단소송 제도를 담은 민생 3법 입법을 더 이상 미뤄서는 안 된다"고 했다.

최태원 기자 peaceful1@asiae.co.kr