티빙 개인정보 유출 사태와 관련하여,

징벌적 손해배상 등 민생 3법을 조속히 입법하라​​

대한변호사협회(협회장 김정욱)는 지난 5월 말 발생한 티빙 해킹 사고로 3,954만 개 계정의 개인정보가 유출된 데 대하여 깊은 우려를 표한다. 과학기술정보통신부 민관합동조사단 발표에 따르면 현재 이용 중인 계정 2,206만 개는 물론 휴면 계정 850만 개, 이미 탈퇴한 계정 887만 개에서도 이름·생년월일·휴대전화번호·이메일 등 70종의 정보가 빠져나갔다. 쿠팡 사태의 충격이 가시기도 전에 또다시 수천만 명의 개인정보가 통째로 유출된 것이다.

더 큰 문제는 유출된 정보의 내용이다. 주민등록번호와 1대1로 대응하여 인터넷상 본인확인에 쓰이는 연계정보(CI)가 1,904만 개 계정에서 유출되었다. 지금까지 알려진 바로는 CI가 이 정도 규모로 유출된 전례가 없다. 카드나 유심은 재발급으로 유출 정보를 무효화할 수 있지만 CI는 그럴 수 없고, 이용자가 바꿀 수도 없다. 다른 경로로 새어 나간 정보와 결합되면 흩어진 개인정보를 한 사람 것으로 꿰어 맞추는 연결고리가 되므로, 피해자는 앞으로 오랫동안 맞춤형 보이스피싱과 명의도용에 시달릴 수밖에 없다. 휴대전화번호와 이메일은 암호화된 채 유출되었다고 하나, 이를 풀 수 있는 암호키까지 함께 빠져나가 암호화는 사실상 무의미해졌다. 탈퇴한 지 오래된 회원의 정보까지 유출된 점을 보면 개인정보 보호법이 정한 파기 의무를 티빙이 지켰는지도 의문이다.

사고 경위를 보면 티빙의 책임은 더욱 무겁다. 공격자는 개발자의 개발환경 접속키를 탈취하여 내부 시스템에 들어왔다. 조사단은 접속키 관리와 모니터링이 허술했고, 2024년 모의해킹에서 이미 드러난 취약점도 고치지 않았다고 밝혔다. 알고도 방치한 구멍으로 수천만 명의 정보가 새어 나간 것이니 단순한 과실이라 할 수 없다. 여기에 티빙은 법정 신고 시한인 24시간마저 넘겼는데, 이에 대한 제재는 과태료 최대 3,000만 원이 전부다. 수천만 명의 정보를 다루는 기업에 3,000만 원은 제재라 할 수 없다.

돌이켜보면 이번 유출은 예견된 것이었다. 2011년 SK커뮤니케이션즈, 2014년 카드 3사, 지난해 SK텔레콤과 쿠팡, 그리고 티빙까지, 대규모 유출이 터질 때마다 피해는 국민이 떠안았고 기업은 소액 배상과 사과문 한 장으로 넘겼다. 티빙이 내놓은 보상도 5,000원 상당의 포인트나 이용권, 1년짜리 안심보험이 전부다. 보험이 끝난 뒤에도 유출된 CI는 그대로 남는다. 이 구조를 바꾸지 않는 한 같은 일은 되풀이될 것이다.

대한변호사협회는 국민의 개인정보 보호와 정보주체의 권리 실현이라는 관점에서 이번 사태를 엄중히 보며, 다음과 같이 촉구한다.

첫째, 개인정보보호위원회와 수사기관은 사고 경위와 실제 피해자 규모, 2024년에 확인된 취약점이 방치된 경위와 책임자, 탈퇴 회원 정보의 보유·파기 실태를 철저히 규명해야 한다. 티빙은 물론 관리·감독 책임이 있는 모회사 CJ그룹이 법적 의무를 다했는지도 함께 조사되어야 한다.

둘째, 티빙은 포인트 지급 같은 미봉책이 아니라 피해자를 실질적으로 보호할 대책을 즉시 내놓아야 한다. CI 유출에 따른 명의도용과 피싱 피해를 장기간 감시하고, 피해가 생기면 신속히 구제하는 절차를 마련하는 것이 기업의 최소한의 책무다.

셋째, 정부와 국회는 대규모 개인정보를 처리하는 기업의 보안 의무를 강화하고, 확인된 취약점의 방치와 신고 지연에 대한 제재 수준을 실효성 있게 높여야 한다. 이용자가 바꿀 수 없는 CI를 민간 기업이 대량으로 보관하는 현행 체계 역시 이번 기회에 근본적으로 재검토할 필요가 있다.

넷째, 가해 기업의 책임을 밝히기 위한 디스커버리(증거개시) 제도 도입이 절실하다. 유출 사건에서 보안 시스템의 실태, 유출 경위, 과실 여부에 관한 증거는 모두 기업 안에 있고 피해자는 접근할 방법이 없다. 당사자 사이에 증거를 서로 개시하도록 해야 피해자가 대등한 지위에서 권리를 주장할 수 있다.

다섯째, 징벌적 손해배상제도의 전면 도입을 거듭 촉구한다. 알려진 취약점조차 고치지 않은 이번 사건은 현행 배상 수준으로는 기업이 보안에 투자할 이유가 없다는 것을 보여준다. 기존 배상액의 수십 배에 이르는 책임을 물어야 기업이 개인정보 보호를 비용이 아닌 의무로 받아들일 것이다.

여섯째, 집단소송제도를 개인정보 침해와 소비자 피해 전반으로 확대해야 한다. 피해자가 각자 소송을 내야 하는 현행 구조에서는 수천만 명 대부분이 구제의 사각지대에 남는다.

일곱째, 법원은 현실에 맞는 손해배상 판결로 기업의 도덕적 해이를 막아야 한다. 특히 CI 유출처럼 피해가 장기간 이어지는 사안에서 종전과 같은 낮은 배상액을 되풀이한다면 피해자 구제도, 기업의 보안 개선도 기대하기 어렵다.

대한변호사협회는 개인정보 자기결정권이 헌법상 기본권임을 다시 확인하며, 쿠팡 사태 1년도 지나지 않아 벌어진 이번 사태가 개인정보 보호 체계를 근본적으로 바꾸는 계기가 되어야 한다고 본다. 특히 국회는 디스커버리, 징벌적 손해배상, 집단소송 제도를 담은 ‘민생 3법’ 입법을 더 이상 미루어서는 안 된다.

​

2026. 9. 7.

대한변호사협회

협회장 김 정 욱