[서울=뉴스핌] 김용석 기자 = "이러다 기업 망하게 생겼습니다. 기업 환경이 너무 좋지 않습니다." 한 기업 관계자가 건넨 말이다.

쿠팡은 지난 11일 소비자분쟁조정위원회가 내놓은 피해자 1인당 10만 원 배상 조정안을 거부했다. 소비자 50명이 낸 집단분쟁조정에서 나온 결정이었다. 쿠팡은 개인정보가 유출된 3370만명에게 1인당 5만원 상당의 구매 이용권을 지급하는 등 총 1조 6850억원 규모의 보상을 했고 2차 피해도 없었다는 점을 이유로 들었다. 조정안을 받아들였다면 참여하지 않은 피해자에게까지 동일한 보상이 확대될 수 있었다. 개인정보보호위원회가 확인한 유출 규모 3756만여 건에 1인당 10만 원을 단순 적용하면 배상 규모는 약 3조 7000억원, 쿠팡 연간 영업이익의 약 5.4배에 달한다. 개인정보보호위원회는 이미 지난 6월 쿠팡에 과징금 6246억 8100만원과 과태료 1680만원을 부과했다.

쿠팡의 조정안 거부 이후 집단소송제 확대를 요구하는 목소리가 커졌다. 참여연대 등이 참여하는 '안전한 쿠팡 만들기 공동행동'은 지난 16일 쿠팡 본사 앞 기자회견에서 "쿠팡 개인정보 유출 사고의 피해 규모와 내부 통제 실패라는 쿠팡의 책임, 민감한 개인정보가 유출된 사안의 중대성 등을 감안하면 피해 구제에 적극적으로 나서야 한다"고 주장했다.

쿠팡의 일만이 아니다. 티빙은 정보 유출로 인해 안심보험·포인트 등 1인당 체감 2만원 수준의 보상 패키지를 내놨지만 집단소송 움직임이 있다. 지난달 무신사 29CM에서는 고객 개인정보 약 16만 건이 유출됐고, 지난 6월에는 CU 편의점 택배 서비스를 운영하는 BGF네트웍스가 해킹당했으며, 나이키코리아도 지난 7월 일부 고객 정보 유출이 됐다. 업종과 규모를 가리지 않고 반복되는 리스크다.

이런 흐름 속에 지난 11일부터 고의 또는 중대한 과실로 위반 행위를 반복하거나 1000만명 이상의 대규모 피해가 발생하면 개인정보보호위원회가 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 됐다.

업계 관계자는 "과징금이 너무 높다. 매출의 10%를 부과하면 거의 적자 상태가 된다. 벌어봐야 남는 게 없다. 이처럼 세게 부과하는 나라는 전 세계에서도 많지 않을 것 같다"고 했다.

실제로 과징금 규모는 가파르게 커지고 있다. 2024년 락앤락 등 3개 기업의 유출 사고에는 총 7억 100만원이 부과됐는데, 지난해 8월 2300만명 이상의 정보가 유출된 SK텔레콤 사건에는 당시 역대 최대인 1347억 9100만 원이, 올해 6월 쿠팡 사건에는 6246억 8100만원으로 그 기록이 다시 깨졌다.

여기에 증권 분야에 한정됐던 집단소송제를 소비자 전 분야로 확대하는 입법 논의도 속도를 내고 있다. 한성숙 국무총리는 지난 8일 소비자정책위원회 회의에서 "소비자 전 분야에 걸쳐 집단소송제를 도입하고 사각지대 없는 촘촘한 소비자 권리 보장 체계를 만들겠다"고 밝혔고, 국회에는 관련 법안이 14개 계류돼 있다. 상당수 법안은 법 시행 전 3년 이내 발생한 사고까지 소송 대상으로 삼는 소급 적용 조항을 담고 있다. 박균택 더불어민주당 의원이 대표 발의한 법안 부칙에는 "이 법은 법 시행 이전에 생긴 사유로 인한 손해배상 청구에도 적용한다"고 돼 있다. 별도의 제외 신고가 없으면 모든 피해자에게 자동으로 판결 효력이 미치는 옵트아웃 방식까지 검토되고 있다.

유럽연합의 일반 개인정보 보호법은 중대한 위반에 대해 전 세계 매출액의 4% 또는 2000만 유로(약 330억원) 중 더 큰 금액을 과징금 상한으로 두되, 손해배상은 별도의 단체소송 절차로 다룬다. 반면 한국이 검토 중인 조합은 매출 10% 과징금과 옵트아웃 집단소송을 동시에 채택하는 것이다. 제도를 나눠 운영하는 해외 사례보다 기업이 짊어질 부담이 훨씬 불어나는 구조다.

대내외 경제 여건도 기업엔 부담이다. 원달러 환율은 지난 7월 1일 장중 1559원까지 치솟았다가 8월 1400원 아래로, 9월 초에는 1300원대까지 떨어졌다가 다시 오르는 등 변동성이 크다. 고유가와 고금리, 통화 정책 불확실성이 겹치며 내수 회복도 더디다.

또 다른 업계 관계자는 "현재도 기업에 부과되는 제재가 상당하다"며 "가뜩이나 내수가 어려운 상황에서 여러 제도와 함께 집단소송까지 확대되면 기업 입장에서는 사업을 접어야 할 상황이 생길 수 있다"고 토로했다.

소상공인연합회도 입장문을 내고 "다수 소비자 피해 구제라는 입법 취지에는 공감하지만, 충분한 안전장치 없이 영세 자영업자에게까지 제도를 일률 적용하는 것은 소상공인을 소송 전선으로 몰아넣는 처사"라고 밝혔다.

지난 7월 발생한 국립외교원 해킹은 보안이 어느 조직에도 완벽하지 않다는 사실을 보여준다. 재외공관에 파견된 정보기관과 군 관계자의 신상 정보까지 유출됐을 가능성이 제기됐지만, 제로데이 취약점을 악용한 공격은 당시 기술로는 탐지 자체가 어려웠다는 것이 외교부의 설명이었다.

AI 시대다. 해킹 수법도 갈수록 정교해지고 있다. 이런 가운데 정부의 강도 높은 제재가 오히려 의도와 다른 결과를 낳고 있다는 우려도 나온다. 해킹당한 기업이 무거운 과징금을 맞느니 차라리 해커의 요구에 조용히 응하는 편이 낫다고 판단한다는 것이다. 과징금보다 랜섬웨어와 AI에이전트를 이용한 해커에게 지불하는 금액이 더 싸다는 계산이다.

업계 관계자는 "해커는 하루에도 수십 차례 공격을 한다. 수백 번 수천 차례의 시도 끝에 기업 보안망을 뚫고 있다"라며 "기업 입장에서는 쉬쉬하며 조용히 대응하는 사례가 많다는 이야기가 여기저기서 나온다. 공론화가 되면 좋을 것이 없다. 개인정보 과징금 10%를 받느니 이 편이 더 저렴(?)하다. 이 때문에 한국이 해커의 먹잇감이 되고 있다는 말도 나온다"고 했다.

기업은 영리 목적으로 개인정보를 수집·활용해 이익을 얻는 주체인 만큼 그에 상응하는 관리 의무를 지는 것은 당연하다. 다만 과실과 기술적 한계에 따른 불가항력은 구분해 제재 수위를 다뤄야 한다. 소비자 피해 구제와 기업의 존립은 양자택일의 문제가 아니다.

정부와 국회가 집단소송제 확대를 서두르기 전에 과실과 기술적 한계를 가르는 기준을 법에 명시하고, 소급 적용의 범위를 최소화하며, 중소·영세 사업자에게는 유예 기간을 주는 등 제도를 촘촘하게 살펴야 한다. 섣부른 규제 하나가 발버둥 치는 기업의 생명줄을 끊을 수도 있다.

fineview@newspim.com