[ 소비라이프 / 김소연 기자] 또, 개인정보유출 사고가 터졌다. 정부가 쿠팡 정보유출사태이후 아무런 조치도 취하지 않고 있는 동안 대형 사고가 도 발생한 것이다. 국민들은 분노를 넘어 정부의 무능에 어안이 벙벙할 뿐이다.

이에 한국소비자단체연합(회장 조태임)이 성명서를 발표했다. 한소연은 오늘 정부의 티빙 개인정보 침해사고 조사 결과 발표와 티빙의 공식 사과 및 보상대책 발표와 관련하여, 이번 사건을 단순한 해킹 사고가 아닌 기업의 정보보호 관리체계 전반이 제대로 작동하지 않아 발생한 중대한 소비자 권리 침해 사건으로 규정한다.

 

과학기술정보통신부 민관합동조사단의 조사 결과에 따르면 이번 사고로 활성·휴면·탈퇴 계정을 포함해 총 3,954만 개 계정의 정보가 유출​된 것으로 확인됐다. 유출된 정보는 계정별로 차이가 있으나 아이디, 이름, 생년월일, 휴대전화번호, 이메일, CI 등 최대 20개 항목, 70개 유형에 이르는 것으로 나타났다.

특히 이번 조사에서는 개발·운영환경 접속키의 평문 노출, 개발자들의 과도한 접근권한, 이미 모의해킹 과정에서 확인된 취약점에 대한 미조치, 이상징후 탐지 및 대응체계 미흡, 사고 상황의 내부 공유와 신고 지연 등 정보보호 관리체계 전반의 구조적인 문제가 드러났다.

이는 단순히 외부 해커의 공격을 막지 못한 문제가 아니라, 개인정보를 대규모로 보유·관리하는 기업으로서 갖추어야 할 예방·탐지·대응·사후관리 시스템이 총체적으로 제대로 작동하지 않았다는 점에서 소비자에게 더욱 무거운 책임을 져야 하는 사안이다.

■ 3,954만 계정 유출, 소비자의 불안과 위험까지 보상해야

티빙은 오늘 사고에 대한 공식 사과와 함께 피해 고객을 대상으로 최대 300만원을 보상하는 해킹·피싱 안심보험과 티빙 포인트, 콘텐츠 관련 보상 등을 포함한 대책을 발표했다. 또한 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하고 보안 전문인력을 현재의 약 3배 수준으로 확대하겠다고 밝혔다.

한국소비자단체연합은 티빙의 사과와 재발방지 대책을 환영한다.

그러나 포인트나 이용권 등의 일률적인 보상만으로 수천만 건의 개인정보가 유출된 소비자의 불안과 잠재적 피해를 충분히 구제했다고 볼 수 없다.

개인정보 유출 피해는 즉시 금전적인 손실로 나타나는 경우만 있는 것이 아니다. 유출된 개인정보가 피싱, 스미싱, 명의도용, 계정탈취 등 2차 피해로 이어질 가능성이 장기간 존재하며, 소비자는 자신의 개인정보가 언제 어디에서 어떻게 악용될지 알 수 없는 불안 속에서 생활해야 한다.

따라서 기업의 보상은 단순한 서비스 이용 혜택 제공을 넘어 실제 피해자에 대한 실질적이고 신속한 손해배상과 2차 피해 예방을 중심으로 설계되어야 한다.

■ “소비자가 기업의 보안관리 부실을 입증해야 하는 현실 바꿔야”

이번 티빙 사건은 우리나라의 개인정보 보호 및 소비자 피해구제 제도의 한계를 다시 한번 보여주고 있다.

기업은 개인정보를 대규모로 수집·보관하면서 그 정보를 이용해 사업을 영위하고 있지만, 개인정보가 유출됐을 때 소비자가 기업 내부의 보안관리 부실과 과실을 직접 입증하기는 현실적으로 매우 어렵다.

이번 사건에서도 개발키 관리, 접근권한 통제, 취약점 개선, 이상징후 모니터링, 사고 신고 등 기업 내부의 정보보호 체계에 관한 핵심 정보는 기업과 관계기관이 보유하고 있다.

그럼에도 소비자가 개별적으로 피해를 입증하고 각자 손해배상을 청구해야 한다면, 수천만 건에 달하는 대규모 개인정보 유출사고에서 실질적인 소비자 구제는 사실상 어려울 수밖에 없다.

한국소비자단체연합은 이번 사건을 계기로 대규모 개인정보 유출사고에 대한 기업의 책임을 강화하고 소비자의 집단적 권리구제를 가능하게 하는 제도적 장치를 조속히 마련해야 한다고 촉구한다.

■ 한국소비자단체연합의 요구

한국소비자단체연합은 티빙과 정부에 다음과 같이 요구한다.

첫째, 티빙은 개인정보 유출 피해자에 대한 실질적인 피해구제 방안을 마련하라.

일률적인 포인트나 이용권 제공에 그치지 말고, 개인정보 유출로 인한 직접적인 경제적 피해와 2차 피해에 대해 신속하고 실질적인 손해배상이 이루어질 수 있도록 피해구제 절차를 마련해야 한다.

둘째, 티빙은 개인정보 유출의 전 과정과 보안관리 부실에 대해 소비자에게 투명하게 공개하라.

어떤 개인정보가 누구에게, 어떤 경로로 유출되었는지뿐만 아니라 취약점이 언제 발견됐으며 왜 개선되지 않았는지, 이상징후가 언제 발견됐고 왜 사고 대응과 신고가 지연됐는지 소비자가 납득할 수 있도록 공개해야 한다.

셋째, 정부는 티빙의 개인정보 보호법 및 정보통신망법 등 관련 법령 위반 여부를 철저히 조사하고 엄정하게 조치하라.

개인정보 대량 유출사고에 대해 기업이 부담하는 비용보다 사고 예방을 위한 보안투자 비용이 적다면 유사한 사고는 반복될 수밖에 없다. 법 위반에 상응하는 실효성 있는 제재와 재발방지 조치가 필요하다.

넷째, 개인정보 대량 유출사고에 대한 집단적 피해구제 제도를 강화하라.

수백만·수천만 명의 소비자가 동시에 피해를 입는 개인정보 침해사고에서 개별 소비자가 각각 소송을 제기하는 방식은 실효성이 떨어진다. 집단소송제 도입과 함께 소비자가 기업의 내부 보안관리 사실을 합리적으로 입증할 수 있도록 입증책임 제도 개선도 적극 검토해야 한다.

다섯째, 개인정보 대량 유출 기업에 대한 징벌적 손해배상 제도를 강화하라.

특히 기업이 보안 취약점을 사전에 인지하고도 적절한 조치를 취하지 않았거나, 사고 발생 이후 신고·대응을 지연하는 등 중대한 관리상 과실이 확인되는 경우에는 실질적인 억지력이 발생할 수 있도록 징벌적 손해배상 제도를 강화해야 한다.

■ “개인정보는 기업의 자산이 아니라 소비자의 권리다”

한국소비자단체연합은 개인정보를 기업이 수익 창출을 위해 자유롭게 활용할 수 있는 단순한 데이터 자산으로 취급해서는 안 된다고 강조한다.

개인정보는 소비자의 인격과 권리, 안전과 직결된 소비자의 중요한 권리이자 보호받아야 할 기본적 권리이다. 이번 티빙 개인정보 유출사고는 기업이 개인정보를 대규모로 보유하는 만큼 그에 상응하는 책임과 의무를 다해야 한다는 사실을 다시 한번 확인시켜 주었다.

한국소비자단체연합은 앞으로도 이번 사건의 피해구제 과정을 지속적으로 모니터링하고, 피해 소비자의 권익 보호를 위해 필요한 경우 피해자 집단 대응 및 제도개선 활동을 적극 추진할 것이다.

아울러 국회와 정부에 개인정보 대량 유출사고로부터 소비자를 실질적으로 보호할 수 있도록 소비자 집단소송제, 입증책임 전환, 징벌적 손해배상제 등 소비자권익 강화를 위한 입법을 조속히 추진할 것​을 촉구한다.

“개인정보를 맡긴 소비자는 기업의 보안 실패 비용까지 떠안을 이유가 없다.”

한국소비자단체연합은 기업의 책임 있는 보안관리와 실질적인 소비자 피해구제가 이루어질 때까지 지속적으로 대응해 나갈 것이다.

한편, 한소연은 쿠팡과 SKT개인정보유출에 대한 책임을 묻고자 공동소송을 진행하고 있고, 티빙의 사고에 대해서도 티빙의 대응추이를 살펴본후 공공소송진행여부를 결정할 것이라고 밝혔다.