‘옥션’ 대법원 판결이 갖는 의미와 영향은?

[인터뷰] 법무법인 민후 김경환 대표변호사

“당시 상황에 대한 판단일뿐...현재 트렌드 반영하지 않은 판결”
보안투자 비용이 보안사고시 피해보다 적다는 인식 확립시켜야

[보안뉴스 김태형] 7년을 끌어온 옥션의 개인정보 유출 손해배상 소송이 대법원의 판결로 막을 내렸다. 대법원은 2월 12일 지난 2008년 2월 옥션 해킹으로 인한 개인정보 유출 사건에서, 옥션 개인정보 유출 피해자들이 “1인당 400만원씩 지급하라”며 이베이옥션을 상대로 낸 손해배상 청구소송 상고심에서 원고 패소 판결한 원심을 확정했다.

이에 법무법인 민후 김경환 대표변호사에게 개인정보 유출 피해자들이 정보통신서비스 제공자를 상대로 제기한 소송의 첫 대법원 확정 판결로서, 이번 옥션 사건 판결이 갖는 의미는 무엇이며 향후 네이트·SK컴즈 등의 유사 소송에 미칠 영향에 대해서 들어봤다. 다음은 김경환 변호사와의 일문일답이다.

Q. 이번 옥션 사건에 대한 대법원 판결에서 법원은 기업의 편을 들어주었다고 생각하는데, 이에 대해 어떻게 생각하는가?

이번 대법원 판결만 이야기하자면, 사회적으로나 기술적으로 지금과 여러 가지 측면에서 상황이 다른 2008년도 사건에 관한 것입니다. 또한 1심, 2심이 전부 패소한 이후의 판결이기 때문에 이번 판결을 통해 대법원이 기업편을 들었다고 단정짓기는 곤란하다고 판단됩니다.

현재 기업의 보안기술은 그 때에 비해 많이 발전해 있고, 보안사고로 인해 생길 수 있는 국가적·사회적 재난에 대한 인지도가 높아졌습니다. 특히, 국민들의 기업보안에 대한 요구가 폭발적으로 증대되고 있다는 점을 고려하면 예전의 사안을 근거로 지금의 성향을 분석하는 것은 ‘각주구검(刻舟求劍)’과 같은 판단이라 생각됩니다.

Q. 이번 대법원 판결로 향후 다른 사건, 네이트·SK컴즈 해킹 사건 등에도 영향을 미칠 것이라고 보는가?

이번 대법원 판결은 시기적으로 2008년도 사건에 관한 것이고 그 당시 보안상황과 지금의 상황은 차이가 많이 나기 때문에 이 판결만으로 최근의 트렌드를 파악하는 것은 적절치 않습니다. 그것보다는 최근 발생 사건에 관한 1심 판결이나 2심 판결 위주에 주목해서 트렌드를 분석해야 합니다.

그런데 작년 KT 사건의 1심 판결에서 피해자들이 승소한 사례가 적지 않았다는 점을 고려하면 지금의 트렌드는 기업에게 책임을 묻는 경향이 강해졌다고 판단됩니다. 이런 점에서 이번 대법원 판결이 현재 계류 중인 소송에 미칠 영향은 크지 않다고 판단됩니다.

Q. 앞으로 이와 비슷한 사건에서 피해자(이용자)들이 어떻게 대처해야 하는가? 집단소송을 제기한다면 가장 중요한 것은 무엇인가?

개인정보에 대한 가치가 높아짐에 따라 해커의 이욕적 해킹 시도는 잦아지고 고도화되고 조직적이 되어가고 있습니다. 그러나 기업의 보안은 그에 비해 발전이나 충분한 투자가 이루어지지 않고 있습니다. 이런 상황에서 최근 법원의 판결도 전향적으로 그리고 점진적으로 피해자 우호 성향의 판결이 나오고 있어 허술한 기업보안에 대한 불만은 피해를 입은 이용자뿐만 아니라 전체 사회적으로도 공감을 얻어가고 있습니다.

이용자의 힘은 미약하고 반복되는 해킹 사고에 대해 딱히 할 일이 없지만, 여러 명이 모여 목소리를 높인다면 충분히 기업의 안일한 보안태도를 바꿀 수 있을 것이라 확신합니다. 이런 점을 고려했을 때 적극적으로 소송을 통해 자신의 권리도 찾고 그로 인하여 후세에 좀 더 좋은 사회, 안전한 사회를 물려주는 것도 의미가 있다고 생각합니다.

이용자가 힘을 모아 소송을 하는 경우 주의할 점은, 추상적인 과실보다는 자료 분석을 통한 구체적인 과실 주장을 하고 그에 따라 구체적인 입증을 하는 게 중요합니다. 그간 소송들이 자료 분석에 소홀하였다는 점을 고려하면 자료분석을 통한 구체적인 주장, 입증에 무게를 두고 소송을 진행해야 합니다.

Q. 이와 같은 판결이 나왔다는 것 자체가 법원이 현재의 보안 현실을 반영하지 않았다고 생각하는데, 이에 대한 생각은 어떤가?

지금까지의 일부 판결이 보안현실과 맞지 않은 면이 있기는 합니다. 기술적인 내용이 많은 사건일수록 보안현실과 맞지 않은 판결이 더 많이 나오고 있습니다. 보안현실이 법적으로 투영되지 않아서 그런 것인데, 이런 판결이 자칫 기업의 보안투자를 약화시키고 보안을 하지 않아도 소송에서 얼마든지 방어 가능하다는 잘못된 인식을 줄 수 있습니다.

이렇게 된다면 그 피해는 고스란히 피해자들이 부담하게 되는 악순환이 됩니다. 이 악순환을 깨는 선도적인 역할을 법원이 한다면 후세에는 좀 더 안전한 세상을 물려줄 수 있지 않을까 하는 생각이 들고, 또 법원만이 그러한 역할을 결정적으로 할 수 있다고 생각합니다.

Q. 이와 비슷한 해외 사례와 비교했을 때 차이점은 무엇이며 국내 현실의 문제점은 무엇인가?

해킹 사고가 발생하면 재판까지 갈 필요 없이 일단 행정적으로 강한 제재를 받는 게 해외 선진국의 추세입니다. 해킹 사고에 대한 책임은 1차적으로 기업에게 있다는 점이 외국 당국의 논리입니다. 하지만 우리나라의 경우 해커에게 1차적 책임이 있고 해당 기업은 책임을 지는 것이 아니라 오히려 스스로 피해자라고 우기는 것이 현실입니다.

당국의 제재도 사고재발 방지조치를 유도할 정도로 강하지 못합니다. 기업은 보안을 줄이거나 신경을 쓰지 않아도 큰 손실을 겪지 않는 게 지금의 현실입니다. 이런 분위기를 일소하기 위해서는 결국 기업들에게 보안투자를 통해 보다 강력한 보안을 유지하는 비용이 유출사고로 인하여 당국으로부터 부과 받는 제재비용보다 더 적다는 인식을 확립시키는 것이 매우 필요합니다.

[김태형 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)