[디지털데일리 이종현기자] 지난 12일 2016년 2540만건의 개인정보를 유출한 인터파크에 대한 판결이 확정됐다. 인터파크는 과징금 44억8000만원과 2500만원의 과태료를 부과한다. 인터파크의 과징금 확정 사례는 국내 기업에 부과된 과징금 중 역대 최고액이다.

해당 과징금은 2016년 5월 2540만건의 개인정보가 유출되는 해킹 사고로 인한 것이다. 사건 당시 유출된 개인정보는 아이디, 비밀번호, 이름, 성별, 생년월일, 전화번호, 이메일, 주소 등이다.

방송통신위원회(이하 방통위)는 당시 인터파크가 적법한 수준의 정보보호 조치를 하지 않았다고 판단해 과징금을 부여했다. 인터파크가 개인정보처리시스템에 대한 접근통제와 시스템 비밀번호 관리를 소홀히 했다는 것이다.

재판부는 “데이터베이스(DB) 유출에 이용된 PC에서 2016년5월2일 접근한 이후 2016년5월9일까지 약 7일 동안 서버접근제어 프로그램에 접속이 유지됐다”며 “이는 정보통신망법에서 정한 최대 접속시간 제한 등의 조치를 취하지 않은 것”이라며 방통위의 손을 들어줬다.

또한 재판부는 인터파크는 내부 서버 및 업무용 PC에 접속할 수 있는 공용관리계정의 비밀번호가 암호화되지 않은 상태로 저장돼 있는 등 암호화 조치의 미흡도 꼬집었다.

해당 판결은 앞으로 있을 개인정보 유출 판결에 영향을 끼칠 수 있는 만큼 의미가 크다는 게 업계 시각이다. ▲위메프 19억9800만원 ▲하나투어 3억4525만원 ▲여기어때 3억2600만원 ▲빗썸 5850만원 등의 과징금이 부과된 바 있다.

다수 대중은 개인정보 유출에 대한 과징금 부과와 처벌에 적극 반기는 모양새다. 오히려 ‘왜 과징금이 그것밖에 안 되냐’며 처벌을 강화하라고 한다. 하지만 일각에서는 인터파크에 대한 법원 판결에 문제가 있다는 지적도 있다.

재판부는 해당 사건 당시 인터파크의 취약점으로 ‘최대 접속시간 제한 미조치’와 ‘패스워드 장부 엑셀파일’ 2개를 지적했다. 실제 해킹에 영향을 미친 것은 최대 접속시간 제한 미조치로 인한 것이다.

하지만 2심 재판부는 “유출사고가 난 이상 이것과 법위반행위 사이의 인과관계가 입증되지 않았더라도 과징금을 부과할 수 있다”고 판결했으며 대법원은 이를 ‘심리불속행’으로 하급심의 판결을 그대로 받아들였다.

이는 시사하는 바가 크다. 기업에서 개인정보 유출 등 사고가 발생할 시 정부는 해당 기업을 조사해 사건과 상관없는 취약점까지 포함해 과징금을 부과할 수 있게 된다. 모든 법적 준수사항을 지키는 것은 무척 어려운 일이다. ‘털어서 먼지 안 나는 사람 없다’는 말을 떠올리면 된다. 세무조사에 떳떳한 기업이 몇이나 있을까.

또한 국가의 처벌과 달리 실질적인 피해자 구제가 어려워진다는 부분도 있다.

전승재 법무법인 바른 변호사는 “민법상 손해배상 요건에는 ‘인과관계’가 명시돼 있다. 인가관계가 입증되지 않으면 정부의 과징금 부과가 가능하더라도 피해자는 손해배상을 받지 못하는 기현상이 발생한다”고 꼬집었다.

인터파크 해킹 사건은 조사권을 가진 정부가 사건의 인과관계를 밝히지 않은 상태에서 과징금을 부과함으로써 마무리했다. 때문에 실제 피해자들은 인터파크를 대상으로 손해배상 청구를 하는 과정에서 그 인과관계를 직접 입증해야 하는 아이러니한 일이 생길 수 있게 됐다. 우려하는 일이 발생한다면, 정작 피해자인 국민은 배상을 받지 못하고 국가만 돈을 챙기게 되는 셈이다.

전 변호사는 “불가항력적인 해킹을 당한 기업에게 해킹의 원인과 무관한 작은 취약점이 있었다 하더라도 이로 인해 손해배상 책임이 발생하지는 않는다”라며 “이번 판결은 그러한 ‘인과관계 없는 취약점’을 이유로 ‘불가항력을’ 제재하도록 남용될 소지가 있다”고 말했다.

이어서 그는 “국가가 제재하려면 마땅히 문제가 된 행위가 불가항력이 아니라는 것, 즉 ‘적발된 취약점과 해킹사고 간의 인과관계’를 입증해야 한다. 그렇게 하라고 국가에 조사권이 주어진 것”이라며 인터파크의 과징금 대법원 판결에 대해 “지나치게 급한 판결”이라고 주장했다.

<이종현 기자>bell@ddaily.co.kr