[뉴스토마토 이종용 기자] 금융권에서 해킹 사고가 잇따르면서 금융사들이 고객 피해에 대한 전액 보상을 약속하고 있습니다. 다만 개인정보 유출에 따른 피해를 어디까지 인정하고 어떤 절차를 거쳐 배상할지는 여전히 불분명합니다. 유출된 정보가 보이스피싱 등 2차 금융사기에 악용되더라도 해당 사고와의 연관성을 입증하기 어려워 실제 피해구제까지 상당한 진통이 예상됩니다.
최근 해킹 침해사고가 확인된 금융회사는 은행과 저축은행, 상호금융, 여신전문금융업 등 전체 업권에서 16곳으로 늘었습니다. 현재까지 확인된 개인정보 유출 규모는 성명과 연락처, 주민등록번호 등을 포함해 약 10만건입니다. 금융당국은 사고 금융회사가 추가로 확인될 가능성도 있다고 밝혔습니다.
대표적으로 신한은행에서 고객 2만명 이상의 개인정보가 유출됐습니다. 이름과 전화번호뿐 아니라 연소득과 대출한도 등 금융정보도 포함됐습니다. 정상혁 신한은행장은 대국민 사과문을 통해 고객이 손해를 입으면 전액 보상하겠다고 약속했습니다.
서울 시내 한 건물에 설치된 시중 은행 현금 자동 입출금기(ATM) 모습. (사진=뉴시스)
금전 피해-정보유출 인과관계 입증 어려워
문제는 전액 보상의 전제가 되는 피해 인정 기준입니다. 개인정보가 유출됐다는 사실만으로 모든 고객에게 배상금이 지급되는 것은 아닙니다. 특히 실제 금전 피해가 발생했다면 해당 손실이 금융회사의 정보유출 사고에서 비롯됐는지를 확인하는 과정이 필요합니다.
예를 들어 개인정보가 유출된 고객에게 은행 직원을 사칭한 전화가 걸려오고, 이를 믿고 돈을 송금했다면 금융사가 어디까지 책임져야 할까요. 고객의 소득이나 대출정보를 알고 접근했다는 이유만으로 이번 해킹과 직접적인 연관성이 있다고 단정하기는 어렵습니다.
금전 피해액은 거래내역으로 확인할 수 있지만 범죄자가 어떤 경로로 개인정보를 확보했는지는 피해자가 알아내기 어렵습니다. 여러 경로에서 개인정보가 유통되는 상황에서 특정 금융사의 정보유출과 금융사기 사이의 인과관계를 증명하는 일은 더욱 복잡합니다. 금융회사가 보유한 사고 관련 자료에 고객이 접근하기 어렵다는 점도 문제입니다.
개인정보 보호법 제39조의2와 신용정보법 제43조의2에서는 일정 요건을 충족하면 구체적인 손해액을 입증하지 않고도 300만원 이하의 법정손해배상을 청구할 수 있도록 규정하고 있습니다. 금융사가 고의나 과실이 없다는 점을 입증하지 못하면 책임을 면하기 어렵습니다.
다만 300만원은 배상 상한이지, 실제 지급이 보장된 금액은 아닙니다. 법원의 판단을 거쳐야 하고, 금전적 손실에 대한 별도 배상을 요구할 경우 정보유출과 금전 피해 사이의 인과관계를 밝혀야 하는 과제에 다시 부딪히게 됩니다.
소송 이전 단계인 분쟁조정도 한계가 있습니다. 금융감독원의 금융분쟁조정과 개인정보보호위원회 산하 개인정보분쟁조정은 별도로 운영되지만, 조정안이 실제 배상으로 이어지려면 당사자들이 이를 수용해야 합니다. 금융회사가 끝내 거부하면 소비자는 다시 소송을 검토해야 합니다.
지난해 SK텔레콤 개인정보 유출 사고에서도 개인정보분쟁조정위원회가 피해자 1인당 30만원의 배상안을 제시했지만 회사가 이를 받아들이지 않아 조정이 성립되지 않았습니다. 분쟁조정 절차가 마련돼 있더라도 기업과 소비자의 입장 차이가 크면 피해구제가 장기화할 수 있습니다.
기업 수용 거부하면 분쟁조정도 무소용
최근 신한은행 정보유출 피해자를 대상으로 집단 손해배상 소송 참여자 모집이 시작된 것도 이 같은 현실과 무관하지 않습니다. 금융감독원이 검사에서 금융회사의 보안 관리 책임을 확인하더라도 그 결과가 개별 고객에 대한 배상으로 자동 연결되는 것은 아닙니다.
금융사들이 보상 의지를 밝히는 것과 별개로 구체적인 피해 인정 기준과 입증 절차를 마련해야 한다는 지적이 나옵니다. 어떤 유형의 2차 피해를 접수하고, 고객에게 어떤 자료를 요구하며, 금융사가 확보한 사고 기록을 피해 입증에 어떻게 활용할 것인지 안내해야 합니다.
금융당국 역시 사고 원인과 제재 여부를 밝히는 데 그치지 않고 검사 결과가 소비자의 피해구제에 실질적으로 활용될 수 있는 방안을 살펴볼 지 주목되고 있습니다. 해킹 사고에 대한 금융회사의 책임을 무한 확대하자는 게 아닙니다. 고객이 확인할 수 없는 정보까지 스스로 입증하도록 한다면 전액 보상이라는 약속은 알맹이가 없다는 지적을 받을 수밖에 없을 것입니다.
14일 서울 시내의 새마을금고 지점이 보이고 있다. 금융권에 따르면 새마을금고는 해킹 공격으로 고객 400여 명의 개인정보가 유출된 사실을 확인하고 금융당국에 이 같은 내용을 신고했다. (사진=뉴시스)
이종용 기자 yong@etomato.com