온라인동영상서비스(OTT) 티빙 개인정보 유출 사태를 둘러싼 단체소송 참여자가 일주일 만에 5만명에서 12만명을 넘어섰다. 법정에서는 개인정보보호법상 안전조치의무를 위반했는지, 그 위반이 정보 유출로 이어졌는지가 핵심 쟁점이 될 전망이다. 유출된 연계정보(CI)의 위험성과 개인정보 수집·동의 절차의 적법성도 함께 다퉈질 것으로 보인다.
22일 법조계에 따르면 법무법인 지향은 18일 티빙 개인정보 유출 피해자 10만4522명을 대리해 서울중앙지법에 손해배상 청구 소송을 제기했다. 소송 제기 이후에도 피해자들의 참여가 이어지면서 이날 기준 지향에 소송을 위임한 인원은 12만6500여명으로 늘었다. 원고는 11일 1051명에서 15일 4만9537명, 18일 10만4522명으로 빠르게 늘었다.
티빙은 지난달 30일 데이터베이스(DB) 서버 이상 징후 발생 후 이달 2일 비인가 접근에 따른 유출을 확인하고 다음 날 사과문을 발표했다. 유출 항목에는 아이디·이름·생년월일과 CI·중복가입확인정보(DI) 등이 포함됐으며, 피해 규모는 정부 초기 추산 1300만명에서 최근 1953만명으로 늘었다.
이번 소송에서는 티빙이 개인정보보호법상 안전조치의무를 제대로 지켰는지, 위반했다면 그 위반이 실제 정보 유출로 이어졌는지가 핵심 쟁점이 될 전망이다. 개인정보보호법은 개인정보처리자에게 내부 관리계획 수립과 접속기록 보관 등 기술적·관리적·물리적 보호조치를 의무화하고 있으며, 이를 위반해 개인정보가 유출될 경우 손해배상 책임이 인정될 수 있다고 규정하고 있다.
최경진 가천대 법학과 교수(전 개인정보보호법학회장)는 “안전조치의무 위반 여부는 개인정보보호위원회 고시에 규정된 보호조치를 제대로 이행했는지를 기준으로 판단하게 된다”며 “위반 사실이 인정되더라도 그 위반 때문에 유출이 발생했다는 인과관계가 함께 입증돼야 한다”고 설명했다.
김묘희 법무법인 지향 변호사는 “티빙 개인정보 유출은 개인정보보호법상 안전조치의무를 위반했기 때문에 발생한 것으로 보인다”며 “티빙이 법에서 정한 안전조치의무를 모두 이행했다는 점을 입증하면 책임이 인정되지 않을 수도 있지만, 저희는 이 정도 규모의 유출은 관련 의무를 제대로 지켰다면 발생하지 않았을 것으로 판단한다”고 말했다.
원고 측은 티빙이 아마존웹서비스(AWS) 액세스 키를 부실하게 관리했고, 시스템 로그인 자격증명이 깃허브(GitHub)에 노출된 채 방치됐다고 주장한다. 또 해커가 약 21시간 동안 내부 시스템에서 데이터를 조회했는데도 이를 탐지하지 못한 점 역시 안전조치의무 위반에 해당한다고 보고 있다.
유출된 CI의 위험성도 주요 쟁점이다. CI는 주민등록번호를 일방향으로 암호화해 복원할 수 없도록 만든 정보다. 원고 측은 다른 개인정보와 결합될 경우 신원도용이나 보이스피싱 등 2차 피해로 이어질 위험이 크다고 주장한다.
다만 CI만으로는 신원도용이 어렵다는 주장도 있다. 최 교수는 “CI가 있으면 다른 개인정보를 결합하기 쉬워져 보이스피싱 등에 악용될 가능성이 있다”면서도 “CI는 이용자가 직접 제시하는 정보가 아니라 기관 간에 발급·전달하는 값이어서 CI만으로 다른 사람을 사칭하거나 본인인 것처럼 행세하기는 쉽지 않다”고 설명했다.
개인정보 수집·동의 절차의 적법성도 법정에서 다뤄질 전망이다. 지향은 티빙이 서비스 이용기록을 사실상 필수 수집 항목으로 운영하고, 맞춤형 광고 동의를 서비스 업데이트 알림과 결합했으며, 계열사로 정보가 넘어가는 제3자 제공 동의 내용을 이용자가 쉽게 확인하기 어려운 구조로 설계했다고 지적했다.
손해배상 범위도 관심사다. 개인정보보호법은 일반 손해배상과 고의 또는 중대한 과실이 인정될 경우 손해액의 최대 5배까지 배상하는 징벌적 손해배상, 손해액 입증이 어려운 경우 법원이 최대 300만원까지 인정할 수 있는 법정손해배상 제도를 두고 있다. 지향은 우선 원고 1인당 30만원의 위자료를 청구했으며, 정부 조사 결과에 따라 청구액을 확대하는 방안도 검토하고 있다.
댓글이 없습니다.
첫번째 댓글을 남겨주세요.