“해킹피해 보상 늘린다”…SKT, 1인 10만원 배상 권고 파장
이동통신사의 대규모 해킹 사고에 대해 소비자보호 당국이 구체적인 보상 기준을 제시했다. 개인정보 유출 피해가 단순 안내 문자와 사은품 제공 수준을 넘어 실질적 금전 보상으로 연결돼야 한다는 판단으로, ICT 기업 전반의 보안 투자와 리스크 관리 전략에 적지 않은 영향을 줄 전망이다. 이번 조정 결과는 향후 유사한 사이버 침해 사고에서 소비자 보상 범위를 가늠하는 사실상 준거점으로 작용할 수 있다는 평가도 나온다.
소비자분쟁조정위원회는 21일 올해 4월 발생한 SK텔레콤의 개인정보 유출 사고와 관련해 집단분쟁조정 결정을 내리고, SK텔레콤이 집단분쟁조정 신청 소비자 1인당 통신요금 5만원 할인과 티플러스포인트 5만 포인트를 지급해야 한다고 밝혔다. 이 조정안은 이달 18일 열린 집단분쟁조정회의에서 의결됐으며, 당사자에게 공식 통지 절차가 진행된다.
위원회는 7월 민관합동조사단 조사 결과와 8월 개인정보보호위원회 처분 내용을 종합해 SK텔레콤의 해킹 사고로 개인정보가 실제 유출됐고, 이로 인해 소비자 피해가 발생한 사실이 인정된다고 판단했다. 통신사가 정보통신망법과 개인정보보호법상 안전조치 의무를 다하지 못한 정황이 확인된 만큼, 소비자 개인의 피해 회복을 위한 보상 책임이 명확하다고 본 것이다.
다만 현재 동일 사건을 둘러싸고 손해배상 소송이 다수 제기돼 진행 중인 점을 감안해, 위원회는 개인정보보호법·정보통신망법 위반 여부와 계약상 의무 위반에 대한 법률적 책임의 정도에 대해선 별도 재판부 판단을 존중하겠다는 취지로 구체적인 법리 판단은 유보했다. 사실관계와 피해 범위를 조정 차원에서 우선 확정하고, 분쟁을 신속히 마무리하는 데 초점을 맞춘 셈이다.
보상 수준과 방식은 과거 대규모 개인정보 유출 사례와의 형평성, 전체 피해자 규모, 기업 수락 가능성이 모두 고려됐다. 위원회는 유사 사건에서 1인당 통상 10만원 안팎의 금액이 보상된 전례를 감안해 총 보상액 상한선을 유지하되, 현금 지급 대신 통신요금 할인 5만원과 포인트 5만점이라는 복합 구조를 택했다. 소비자 체감 효익을 확보하면서도 기업의 재무 부담과 실무 집행 가능성을 균형 있게 맞추려 한 결정으로 풀이된다.
이번 해킹 사고의 피해자는 알뜰폰 이용자를 포함해 2324만4649명에 이르는 것으로 집계됐다. 조정안 수준의 보상이 전체 피해자에게 동일하게 적용될 경우, 통신요금 할인과 포인트를 합산한 전체 보상 규모는 2조3000억원을 넘어설 것으로 위원회는 추산했다. 클라우드, 통신망, 홈 서비스 등 대규모 가입자 기반을 가진 ICT 기업으로서는 사이버 침해 사고가 곧 대규모 재무 리스크로 직결될 수 있음을 보여주는 대목이다.
위원회는 동시에 SK텔레콤이 해킹 사고 이후 고객과의 신뢰 회복을 위해 자발적으로 진행한 고객감사패키지를 일부 보상액에서 공제하도록 했다. 특히 8월에 제공된 통신요금 반값 할인 금액은 전액 공제 대상으로 보되, 같은 피해를 입었음에도 가입 요금제별로 실제 할인액이 달라지는 구조는 부당하다고 판단했다. 이 때문에 모든 이용자에게 요금제와 관계없이 일률적으로 5만원씩을 추가로 할인하는 방향으로 조정안을 설계했다. 피해 규모와 무관하게 보상이 요금제에 종속되는 과거 관행에 제동을 건 셈이다.
조정안을 둘러싼 절차도 구체화됐다. 소비자분쟁조정위원회 사무국은 조정 결정서를 SK텔레콤과 신청 소비자에게 조속히 송달할 계획이다. 당사자는 결정서를 받은 날로부터 15일 이내에 조정안 수락 여부를 회신해야 하며, 기한 내 명시적 거부 의사를 밝히지 않으면 수락한 것으로 간주된다. 양측이 수락할 경우 해당 조정은 재판상 화해와 동일한 효력을 갖게 돼, 별도 소송 없이도 법적 분쟁이 종결된다.
조정 절차는 피해자 다수가 정식 재판보다 신속한 피해 회복을 희망한 데서 출발했다. 지난 5월 9일 소비자 58명은 SK텔레콤의 홈 가입자 서버 해킹으로 개인정보가 유출됐다며 집단분쟁조정을 신청했고, 위원회는 9월 1일 집단분쟁조정 절차 개시를 결정했다. 이후 세 차례 분쟁조정회의를 거치며 보상 수준, 대상, 기존 보상과의 관계 등을 놓고 논의를 이어온 끝에 현재 조정안이 확정됐다.
이번 결정은 통신사뿐 아니라 금융, 플랫폼, 바이오헬스 등 민감한 개인정보를 대규모로 처리하는 산업 전반에 대한 규범적 메시지를 담고 있다. 유출 정보가 직접적인 금전 피해로 이어졌는지 여부와 무관하게, 정보보안 관리 체계의 미비로 인해 잠재적 피해 위험에 노출된 것만으로도 의미 있는 수준의 집단 보상이 이뤄질 수 있다는 신호로 해석되기 때문이다. 특히 해킹과 내부자 유출, 시스템 취약점 공격이 혼재된 복합 공격이 늘어나는 상황에서, 기업의 보안 투자와 사고 대응 체계 구축이 비용이 아닌 필수 인프라로 재인식될 수밖에 없다는 분석이 제기된다.
향후 쟁점은 SK텔레콤이 조정안을 어떤 형태로 수용하느냐, 그리고 조정에 참여하지 않은 나머지 피해자에게 보상을 어떻게 확장하느냐다. 위원회는 SK텔레콤이 조정 결정을 수락할 경우, 집단분쟁조정 절차에 참여하지 않은 피해자에게도 동일한 수준의 보상이 이뤄지도록 별도 보상계획서 제출을 요구하는 등 후속 절차를 진행할 계획이다. 기업이 자발적으로 수용할 경우, 개별 소송으로 인한 사회적 비용과 시간 지연을 줄이면서도 대규모 피해 회복을 동시에 달성할 수 있다는 판단이다.
한용호 소비자분쟁조정위원회 위원장은 대규모 소비자 피해를 최대한 신속히 회복하는 동시에, 사업자의 자발적 보상 노력을 참작해 조정안을 도출했다고 설명했다. 그는 최근 연이어 불거진 개인정보 유출 사고를 언급하며, 재발 방지를 위해 기업이 기술적 보안 조치와 제도적 관리 체계를 강화하는 노력이 병행돼야 한다고 강조했다. 산업계는 이번 조정안이 실제로 수용돼 시장에 안착할 경우, 국내 ICT 기업들의 보안 전략과 리스크 관리 기준을 한 단계 끌어올리는 계기가 될지를 주시하고 있다.
