대규모 개인정보 유출 사태를 일으킨 혐의로 재판에 넘겨진 농협과 국민·롯데카드에 대해 법원이 관리 소홀 책임을 인정해 유죄 판결했다. 서울중앙지법 형사25부(재판장 김동아 부장판사)는 개인정보보호법 위반 등의 혐의로 기소된 KB국민카드와 농협은행에 벌금 1500만원, 롯데카드에 벌금 1000만원을 최근 선고했다(2015고합336). 재판부는 "개인정보 유출 범죄는 그 자체로도 피해자들에게 큰 정신적 고통을 줄 뿐 아니라 2차 피해가 일어날 우려도 있는 중대하고 심각한 범죄이다"며 "유출 사고가 2건인 농협과 KB국민은 1/2을 가중해 벌금형 상향인 1500만원을, 1건인 롯데는 최대 벌금형인 1000만원을 선고한다"고 밝혔다. KB국민카드 등 카드3사는 2012∼2013년 신용카드 부정사용예방시스템(FDS) 개발 작업 과정에서 개인정보보호와 관련한 내부 수칙을 제대로 지키지 않아 FDS 용역업체 직원이 고객정보를 마음대로 빼가도록 한 혐의로 기소됐다. 유출된 정보는 이름과 주민·휴대전화·신용카드 번호, 카드 한도·이용액 등이다. 당시 개인정보를 빼낸 FDS 용역업체 코리아크레딧뷰로(KCB) 직원 박모(40)씨는 은행에서 아무런 관리·감독도 받지 않고 이동식저장장치(USB) 등을 이용해 수시로 개인정보를 빼낸 것으로 드러났다. 박씨는 이렇게 빼돌린 개인정보를 대출 알선업자에게 넘기고 그 대가로 수천만원을 챙긴 것으로 조사됐다. 박씨는 징역 3년의 실형이 확정돼 복역 중이다. 개인정보 유출로 농협은행에선 2012년 6월 2197만명, 10월 2235만명, 12월 2259만명이 피해를 입었다. 국민카드는 2013년 2월 4천321만명, 6월 4천321만명분이 유출됐다. 롯데카드의 경우 2013년 12월 1천759만명의 정보가 새나갔다. 이번 판결은 개인정보 유출 피해 고객들이 세 회사를 상대로 낸 민사소송에도 영향을 미칠 것으로 보인다. 앞서 민사소송 1심에서 법원은 "카드사가 고객 1인당 10만원씩 손해를 배상하라"고 판결했다.

지난 2014년 발생했던 카드사 고객정보 대량 유출사태의 피해자들이 카드사로부터 10만원씩 배상받게 됐다. 서울중앙지법 민사22부(재판장 박형준 부장판사)는 22일 이모씨 등 2306명이 ㈜KB국민카드와 신용정보회사 코리아크레딧뷰로(KCB)를 상대로 "1인당 20만원씩 지급하라"며 낸 손해배상청구소송(2014가합513860)에서 "이씨 등에게 1인당 10만원씩을 배상하라"며 원고일부승소 판결했다. 또 박모씨등 2212명이 ㈜KB국민카드와 KCB를 상대로 낸 소송(2014가합511970)과 고모씨 등 142명이 농협은행을 상대로 낸 소송(2015가합532332), 강모씨 등 545명이 농협은행을 상대로 낸 같은 소송(2014가합563384)에서도 "피해자들에게 1인당 10만원씩 배상하라"고 판결했다. 재판부는 판결문에서 "주민번호 등 사생활과 밀접한 정보가 유출됐으며 일부는 여전히 회수가 안 돼 앞으로도 제3자가 열람할 가능성이 크다"며 "사회적 통념에 비춰 피해자들에게 정신적 고통이 발생한 점이 인정된다"고 밝혔다. 이어 "카드회사는 개인정보보호법상 의무를 위반해 고객의 개인정보가 유출된 원인을 제공했으며, KCB도 직원에 대한 감독 의무를 다하지 못했다"며 "카드회사와 신용정보회사에게 배상책임이 인정된다"고 설명했다. 2014년 초 KB국민카드 등 카드사에서 1억건이 넘는 고객정보가 유출되는 사고가 발생했다. KCB 직원이 카드사 시스템 개발 과정에서 보안프로그램이 설치되지 않은 PC로 개인정보를 빼돌리다가 발생한 일이었다. 유출된 개인정보는 상당수 회수·폐기됐지만 일부는 대출중개업체 등에 넘어가 전화영업 등에 쓰였다. 이에 피해자들은 정신적 고통을 배상하라며 잇따라 소송을 냈다.

최근 일부 신용카드 회사에서 역대 최대의 고객 개인정보 유출사건이 발생해 집단소송 움직임이 일고 있다. 유출된 개인정보 중 절반 이상이 주민등록번호, 대출거래내용, 신용카드 승인명세 등 중요 신용정보인 것으로 드러나 피해 규모도 커 손해배상금액도 기하급수적으로 늘어날 것이라는 전망도 나오고 있다. 최근 개인 신용평가회사 코리아크레딧뷰로(KCB)의 차장급 직원 박모(40)씨는 KB국민·롯데·NH농협카드사 등에 외부협력업체 직원으로서 파견을 나갔다가 카드사의 회원 정보 1억 400만건을 자신이 가져간 USB에 담아온 혐의로 구속 기소됐다. 검찰에 따르면 박씨는 빼낸 정보를 제3자에게 돈을 받고 넘긴 것으로 알려졌다. 사고 소식이 알려지자 네이버나 다음 등 주요 포털사이트에는 관련 카페가 속속 만들어지고 있다. 또 KT 정보유출 사고 등과 관련해 과거 카페를 운영하던 변호사들도 기존 카페에 글을 올려 신용카드 정보유출 소송에 참가할 것을 권유하고 있다. 법원은 회원정보 유출과 관련해 회사 측의 책임을 인정하기 위해서는 '정보가 관리자의 통제 범위를 벗어나 유출될 것'과 '유출된 정보가 제3자에 노출될 수 있는 위험성이 인정될 것' 등 두가지 요건을 갖추어야 한다고 밝히고 있다. 대법원은 지난 2012년 12월 GS칼텍스 보너스카드 가입자 7675명이 낸 손해배상 청구소송(2011다59834)에서 원고패소 판결한 원심을 확정하며 "회원의 정보가 저장매체로 옮겨져 보관 중에 모두 압수·폐기됐다"며 "개인정보 유출로 인한 피해가 발생했다고 볼 수 없다"고 밝혔다. 저장 매체에 옮겨진 것 만으로는 유출이 아니라고 판단한 것이다. 이번 사건도 USB에 옮겨진 점만 인정된다면 회사의 배상책임을 인정하기는 어렵다. 그러나 제3자에게 돈을 받고 정보를 넘긴 사실이 확인되면 정보가 위험에 노출됐다고 볼 수도 있다. 또 신용카드 회사의 책임을 어디까지 인정할 것인지도 따져봐야 한다. 법원은 해킹으로 인한 정보유출 사례에 대해서는 회사가 정보 유출 방지에 충분한 노력을 다 했다면 주의의무를 다했다고 보고 있다. 그러나 이번 개인정보 유출 사고는 외부직원이 USB에 간단히 정보를 담아가, 카드 회사들이 정보 관리에 소홀했다는 지적이 나온다. 이 때문에 기존의 '해킹사례'보다 회사측의 책임을 인정하는 것이 쉬울 것이라는 전망도 나온다. 박진식 법무법인 넥스트로 변호사는 "해킹 기술은 막는 데 한계가 있다고 항변할 수 있지만 이번 사건은 과연 카드사가 정보 통제를 엄격하게 했느냐를 두고 책임을 면하기가 쉽지 않을 것"이라고 말했다. 유출된 정보가 민감한 개인정보를 담고 있는 것이 확인됨에 따라 배상액수에도 관심이 집중되고 있다. 실제로 유출 사건이 발표된 후 인터넷 커뮤니티 사이트마다 '스팸 문자가 늘었다'는 내용의 글들이 많이 올라오고 있다. 법무법인 평강의 최득신 대표변호사는 "개인정보가 1회 이상 유출됐다면 그 밑에는 파생된 피해가 엄청날 것으로 예상된다"며 "박씨가 금전거래를 통해 정보를 유출한 만큼 손해배상금액도 기하급수적으로 늘어날 수 있다"고 말했다. 반면 유철민 변호사는 "정보가 어느정도 퍼졌느냐에 따라 다르겠지만 피해 입증이 쉽지 않아 손해배상을 받는다고 해도 소액일 것"이라며 "기소된 관계자들이 정보 활용 방법을 구체적으로 공개하지 않는 한 구체적인 피해 입증은 어렵다"고 말했다.