몸무게·주소까지 털린 따릉이 회원들…30일 정기권 보상은 적절할까?

서울시설공단이 운영하는 공공자전거 서비스 ‘따릉이’에서 회원 약 462만 명의 개인정보가 유출됐다.

유출 항목에는 아이디, 휴대전화 번호, 생년월일, 성별, 체중, 이메일, 주소, 보호자 정보 등이 포함된 것으로 알려졌다. 공단은 피해 이용자에게 5000원 상당의 따릉이 30일 정기권을 지급하기로 했다.

문제는 이 정기권이 법적 배상을 대신할 수 있느냐다.

별도의 합의서나 손해배상 청구권 포기 의사표시가 없다면, 쿠폰을 받았다는 사정만으로 민사상 손해배상 청구권이 사라진다고 보기는 어렵다.

5000원 정기권, 보상이지 배상은 아니다

공단이 지급하는 정기권은 피해 회복을 위한 자율적 보상 조치로 볼 수 있다. 그러나 민사상 손해배상은 별도로 판단된다.

손해배상은 개인정보처리자의 고의·과실, 유출된 정보의 성격, 실제 피해 또는 정신적 손해, 통지 지연 여부 등을 따져 정해진다.

피해자가 정기권을 받더라도 “추가 청구를 하지 않겠다”는 합의가 없다면 손해배상 청구 가능성은 남는다.

반대로 쿠폰 수령 과정에서 권리 포기 동의나 합의 문구가 포함됐다면 법적 의미가 달라질 수 있다. 피해자는 정기권을 받기 전 안내문과 동의 항목을 확인해야 한다.

다만 정기권 지급은 법원이 위자료 액수를 산정할 때 사후 조치로 참작될 가능성이 있다

몸무게·주소·보호자 정보, 위자료 판단에 영향 줄까

이번 사건은 단순 계정 정보 유출에 그치지 않는다. 휴대전화 번호, 생년월일, 주소가 결합되면 개인 식별 가능성이 커진다.

여기에 체중과 보호자 정보까지 포함됐다면 사생활 침해 정도와 2차 피해 우려가 배상 판단에서 다뤄질 수 있다.

개인정보 유출 피해자는 일반 손해배상은 손해 발생과 인과관계를 정보주체가 증명해야 하지만, 법정손해배상은 유출 사실만 증명하면 된다.

법정손해배상은 손해 발생 사실을 구체적으로 입증하지 않아도 청구할 수 있는 제도다. 다만 유출 사실만으로 항상 배상이 인정되는 것은 아니다.

개인정보처리자가 위자료로 배상할 만한 정신적 손해가 없었다고 다투면, 법원은 유출 정보의 종류, 확산 가능성, 2차 피해 여부, 사후 조치 등을 함께 본다.

해킹 사고라도 보안조치 책임은 남는다

외부 해킹이 있었다고 해서 공단 책임이 곧바로 사라지는 것은 아니다. 개인정보를 보유한 기관은 유출을 막기 위한 기술적·관리적 보호조치를 해야 한다.

따릉이처럼 수백만 명이 이용하는 공공서비스라면 기대되는 보안조치 수준도 낮게 보기 어렵다.

보안 취약점 점검이 충분했는지, 이상 접속 탐지가 이뤄졌는지, 사고 뒤 피해 확산을 막기 위한 조치가 적절했는지가 쟁점이 된다.

2년 뒤 안내, 언제 알았는지가 관건

보도상 해킹은 2024년 6월 발생했고, 개별 안내는 2026년 7월 시작됐다. 법적으로 중요한 것은 공단이 유출 사실을 실제로 언제 알았는지다. 개인정보 유출 통지·신고 의무는 유출 사실을 안 때부터 문제 된다.

유출 항목이나 정확한 경위를 모두 파악하지 못했다는 이유만으로 통지 자체를 미룰 수 있는 것은 아니다.

확인된 내용이 있다면 먼저 알리고, 추가 확인 내용은 다시 통지해야 한다. 다만 유출 확산 방지를 위한 긴급 조치나 부득이한 사유가 있었다면 지연의 정당성은 다퉈질 수 있다.

피해자는 본인에게 실제로 어떤 정보가 유출됐는지부터 확인해야 한다. 스미싱, 보이스피싱 의심 문자나 가족 정보를 이용한 연락이 있었다면 화면 캡처와 통화기록을 보관하는 것이 좋다.