"3천만 명 털렸는데 소송 불가능?"… 쿠팡 사태, 시민단체가 꺼내 든 '히든카드'

대한민국 국민 절반이 넘는 3,370만 명의 개인정보가 유출된 초유의 '쿠팡 사태'. 경찰이 본사 압수수색이라는 강수를 두며 수사에 속도를 내고 있지만, 정작 피해를 본 소비자들이 보상받을 길은 막막하다는 지적이 나온다.

이런 가운데 민주사회를 위한 변호사모임(민변), 참여연대 등 시민단체가 칼을 빼 들었다. 그런데 그 방법이 익숙한 '소송'이 아닌 '집단분쟁조정'이다. 왜 이들은 법원이 아닌 조정위원회를 택했을까. 쿠팡 사태를 둘러싼 사실관계와 그 속에 숨겨진 치열한 법적 셈법을 분석했다.

경찰의 강제수사, 그리고 시민단체의 반격

사건의 발단은 쿠팡에서 발생한 대규모 정보 유출이다. 유출된 고객 정보만 무려 3,370만 건. 사실상 경제활동을 하는 국민 대부분이 털린 셈이다. 경찰은 사안의 심각성을 인지하고 9일 서울 송파구 쿠팡 본사에 수사관 17명을 투입해 전격적인 압수수색을 단행했다.

경찰 수사와 별개로, 피해 구제를 위한 움직임도 본격화됐다. 민변, 참여연대, 한국소비자연맹은 10일 기자회견을 열고 "쿠팡 개인정보 유출 사태와 관련해 집단분쟁조정을 신청한다"고 밝혔다. 지난 3일부터 일주일간 모집한 신청인만 620명에 달한다.

이들이 요구하는 바는 명확하다. ▲와우 멤버십 회원에게는 인당 50만 원 ▲일반·탈퇴 회원에게는 인당 30만 원의 손해배상을 지급하라는 것이다. 여기에 더해 재발 방지를 위한 기술적·관리적 보호 조치 강화 계획을 수립해 보고할 것을 요구했다.

왜 '소송' 대신 '분쟁조정'인가?

일반적인 시각에서 대규모 피해가 발생하면 '집단소송'을 떠올리기 쉽다. 영화에서처럼 피해자 중 한 명이 대표로 소송을 걸어 이기면, 소송에 참여하지 않은 나머지 피해자들도 모두 배상을 받는 그림이다. 이것이 바로 미국식 '집단소송(Class Action)' 제도다.

하지만 한국 법조계의 현실은 다르다. 시민단체가 소송 대신 '분쟁조정' 카드를 꺼낸 결정적인 이유가 여기에 있다.

1. 한국엔 '진짜' 집단소송이 없다

현재 대한민국 법체계에서 미국식 집단소송은 증권 분야(증권관련 집단소송법)에만 제한적으로 도입되어 있다. 개인정보 유출이나 일반 소비자 피해 사건에는 적용되지 않는다.

우리가 흔히 뉴스에서 보는 '집단소송'은 엄밀히 말해 '공동소송(Joint Litigation)'이다. 이는 민사소송법 제65조에 근거하는데, 소송에 이름을 올린 사람(원고)만 판결의 효력을 받는다. 즉, 3천만 명이 피해를 봤어도 소송에 참여한 100명만 배상받을 뿐, 가만히 있던 나머지 피해자는 단 1원도 받을 수 없다.

2. '징벌적 손해배상'의 한계

개인정보보호법 제39조 제3항은 고의나 중대한 과실이 있을 때 손해액의 5배까지 배상하는 징벌적 손해배상을 규정하고 있다. 하지만 법원이 인정하는 위자료 액수는 통상 10만 원~20만 원 선에 그친다. 변호사 비용과 수년이 걸리는 소송 기간을 고려하면 피해자 입장에선 '배보다 배꼽이 더 큰' 싸움이 되기 십상이다.

620명이 3천만 명을 구제할 수 있을까?

시민단체가 선택한 '집단분쟁조정'은 일종의 우회로이자 전략적 승부수다. 개인정보보호법 제49조에 따르면, 피해가 다수에게 같거나 비슷한 유형으로 발생한 경우 집단분쟁조정을 신청할 수 있다.

이 제도의 가장 큰 무기는 '조정의 파급력'이다.

신속성: 법정 공방이 수년씩 걸리는 것과 달리, 분쟁조정은 공고 종료 후 60일 이내에 결론을 내야 한다(법 제49조 제7항).

보상계획 권고: 만약 쿠팡이 조정안을 수락하면, 분쟁조정위원회는 조정 절차에 참여하지 않은 나머지 피해자(3,300만 명)에 대해서도 동일한 보상계획을 마련하도록 권고할 수 있다(법 제49조 제5항).

즉, 620명의 싸움으로 시작했지만, 결과에 따라 3천만 명 전체에 대한 보상 가이드라인을 끌어낼 수 있는 잠재력을 가진 셈이다.

'정신적 손해' 입증될까

승패의 관건은 법리적 해석에 달려있다. 대법원 판례(2018다222303 등)에 따르면 개인정보 유출로 인한 위자료(정신적 손해)를 인정받으려면 단순 유출을 넘어 ▲제3자의 열람 가능성 ▲유출 확산 범위 ▲추가 법익 침해 가능성 등이 입증되어야 한다.

시민단체 측은 "3,370만 명이라는 유례없는 규모와 경찰의 강제 수사 착수 등을 볼 때, 정보 주체의 식별 가능성과 2차 피해 우려가 매우 높다"고 주장한다. 특히 개인정보보호법 제39조의2(법정손해배상)를 근거로 300만 원 이하 범위 내인 30~50만 원을 청구한 것은, 법원이 인정할 만한 현실적인 금액을 제시해 조정 성립 가능성을 높이려는 전략으로 풀이된다.

쿠팡 "결제 정보 유출 없다" vs 피해자 불안감 여전

결국 공은 개인정보보호위원회 분쟁조정위원회로 넘어갔다. 조정이 성립된다면 국내 개인정보 유출 사상 가장 효율적인 집단 구제 사례가 되겠지만, 사측의 방어 논리도 만만치 않다.

쿠팡 측은 지난달 30일 입장문을 통해 "국민 여러분께 심려를 끼쳐 진심으로 사과드린다"며 고개를 숙였다. 다만 핵심 쟁점인 피해 범위에 대해서는 명확히 선을 그었다. 쿠팡 측은 "무단 접근된 정보는 이름, 이메일, 전화번호, 주소 등으로 제한되며, 비밀번호나 결제 정보, 신용카드 정보는 포함되지 않았다"고 강조했다.

쿠팡은 현재 민관합동조사단과 협력해 보안 시스템을 재검토 중이라고 밝혔다. 과연 '결제 정보는 안전하다'는 쿠팡의 방패를 시민단체의 창이 뚫을 수 있을지, 분쟁조정위원회의 판단에 귀추가 주목된다.