[장대현의 컴플라이언스] 더 이상 미국법 얘기하지 마라. 여기는 한국이다!

또 터졌다. 이젠 ‘무슨팡’인가 하는 회사다. 무려 3,370만 명이라는 가입자 개인정보가 털렸다. 사실상 모든 고객의 계정 정보가 유출된 것이다. 대한민국 전체 국민 5,168만 명의 약 65%에 해당한다. 대한민국 성인 4명 중 3명의 정보가 털린 셈이다. 역대급 ‘초대형 사고’다.

유출된 정보에는 이름, 이메일, 전화번호, 주소 외에도 일부 주문 정보와 공동 현관 비밀번호까지 포함되어 있다. 이제 밤에 불안해서 방문을 잠그고 자야 할 판이다. 일단 이용자들은 앱(app) 비밀번호부터 변경하고 있다. 앞서 개인정보 유출 사고가 터진 회사들처럼 얼굴 없는 해커가 침입한 줄 알았다.

그런데 이번엔 퇴사한 전(前) 직원이 유력한 용의자로 지목된다. 그 직원은 회사에 2년이나 근무했던 보안키(key) 관리시스템 담당자였다. 어물전에서 고양이한테 생선을 맡긴 꼴이다. 회사 내부망에 접속할 수 있는 인증키를 퇴사 후에도 마음대로 사용할 수 있었다.

인증키 등 접근 권한은 퇴사하면 즉시 회수되어야 한다는 건 누구나 아는 상식인데, 기가 찰 노릇이다. 가장 큰 문제는 5개월 전부터 내부 직원이 정보를 유출했지만, 회사는 이를 전혀 몰랐다는 점이다. 허술한 관리를 방증하고 있다.

사태가 터지고 회사가 보여준 대응은 가관이다.

사태 초기부터 사용해 온 ‘노출(露出)’이란 표현은 사건 발생 17일 만에야 ‘유출(流出)’로 변경했다. 두 단어는 얼핏 보면 의미가 비슷해 보이지만, 법적 책임의 범위와 심각성에는 큰 차이가 있다. 결국 ‘유출’은 회사가 정보에 대한 통제권을 상실했음을 의미한다. 개인정보보호법에 나오는 법률적 용어다. 왠지 회사가 처음부터 책임을 축소하려 한 것이 아닌가? 하는 의문이 든다.

이러한 용어 변경도 개인정보보호위원회의 시정 요구가 이루어지자 뒤늦게 표현을 바로잡았다.

정보 유출에 화난 소비자들은 가입 탈퇴 러시와 함께 회사를 상대로 한 집단 손해배상청구 소송 움직임이 확산하고 있다. 최근 정보 유출 피해자 24만 명이 지난 18일 700억 원 규모 청구소송을 냈다. 1인당 10만 원씩 손해배상을 청구하고 향후 1인당 30만 원까지 청구액을 높일 계획이라고 한다. 국내에선 소송해서 이겨도 참가자만 배상받고 과거 판례도 배상액이 고작 10만 원 정도다.

최근 유출된 계정은 중국 이커머스에선 건당 4만 원까지 거래된다고 한다. 평생 따라다닐 2차 피해의 위험값 치고는 국내 배상금이 너무 저렴해 보인다. 한국에서 일어난 소송 불길은 미국까지 번졌다. 한국 로펌의 미국 현지법인은 미국에서 회사 모기업을 상대로 소비자 집단소송(class action)을 제기할 예정이라고 한다. 아울러 지난 18일 미국 법인의 주주도 증권 집단소송을 제기했다.

회사가 개인정보 유출 사실을 인지했으나, 미국 증권거래위원회(SEC)에 4영업일 이내에 공시하지 않아 투자자들이 손해를 입었다는 주장이다. 뒤늦게 언론보도를 통해 알려졌지만, 애초 회사의 이용 약관엔 해킹으로 인한 손해에 대해서는 회사가 책임지지 않는다는 ‘면책(免責) 조항’이 들어 있었다. 이 조항의 삭제도 개인정보보호위원회의 개선 권고에 따라 이루어졌다. 개정 약관의 시행은 오는 26일부터다. 7년 새 매출은 15배 늘면서 고객정보는 쌓였지만, 내부보안 수준은 거의 낙제점이라는 평가다. 단기간 급격한 성장을 이루었지만, 내부 관리 체계가 이를 따라가지 못했다.

지난 2일 국회 현안 질의에 섰던 박 모 대표는 “한국법인 대표로서 끝까지 책임지겠다”라고 약속했다. 하지만 그 약속이 무색하게도 국회 청문회를 앞두고 돌연 자리에서 물러났다. 회사는 이번 사태에 책임을 지고 사임했다고 밝혔지만, 사실상 ‘경질’ 아니냐는 뒷말이 나온다.

후임으로 미국 변호사 출신의 미국 법인의 최고관리책임자 겸 법무 총괄을 선임했다. 애초 대관 전문가에서 법률 전문가로 바통이 넘겨졌다. 대다수 국민은 사태가 이 정도 심각하면 그래도 이번 국회 청문회에는 회사 최고경영자(CEO)인 창업자 오너가 나올 거로 생각했을 것이다. 젊은 나이에 창업해 ‘파괴적 혁신’으로 세상을 바꾼 기업가에 대한 기대가 있었기 때문이다.

그런 기대와는 달리 17일 국회 청문회에는 글로벌 기업 CEO인 오너는 공식적인 비즈니스 일정이 있어 출석하지 않았다. 대신 한국법인에 부임한 지 7일 된 한국어라곤 ‘안녕하세요’밖에 모르는 미국인 신임 대표가 출석했다. 이번 청문회는 문제 해결의 실마리는 찾지 못하고 언어장벽에 막혀 긴 시간 동안 원론적 답변만 반복된 ‘허탈한’ 청문회가 됐다. 신임 대표의 답변 중에 “Happy to be here”만 기억에 남는다. 오너를 대신해 청문회에 나와 행복하다는데, 2차 피해의 공포를 느끼는 소비자들은 불행을 마주해야 했다. 여야 의원들이 한목소리를 내며 그렇게 흥분하는 모습을 이전에 본 적이 없다.

청문회 도중 신임 대표가 남긴 답변이 귓가에 맴돈다. 정보가 유출됐지만 결제 데이터, 패스워드 같은 민감정보가 포함되지 않아, 이런 유형의 정보 유출은 미국법상 위반이 아니라는 설명이었다. 냉철한 미국 변호사다운 논리일지는 몰라도, 이제는 법리적 해석보다 우리 국민의 상실감을 먼저 살펴줄 수는 없었을까 하는 생각이 들었다. 그의 대응을 지켜보며 오랫동안 애용(愛用)한 이 서비스와 ‘헤어질 결심’은 확고해졌다.

이제 먼 나라 법리 해석은 그만하고, 우리 눈높이에 맞는 책임 있는 답변이 필요하다.

한국에서 사업을 영위하며 수익을 거두고 있는 만큼, 한국의 정보통신망법, 개인정보보호법, 전자상거래법, 공정거래법 등 엄격한 잣대로 이번 사태의 정당한 법적 판단을 받아야 한다. 그것이 한국 소비자에 대한 최소한의 예의이자 당연한 의무다. 대다수 국내 법률가는 회사의 모기업 본사가 미국법인임을 주장해도 회사 매출의 대부분이 한국에서 발생하므로 민·형사, 행정상 책임을 피해 가지 못할 것으로 보고 있다. 설령 교묘한 법리로 법적 책임은 용케 피해 가더라도 한국 소비자들의 준엄한 심판은 피하기 어려울 것이다. 결국 미국 델라웨어 법전보다 무서운 건 한국 소비자의 마음이다. 더 이상 미국법 얘기하지 마라. 여기는 한국이다.