지난 9월29일 법무부에서 집단소송법안을 발의했다. 예컨대 가습기 살균제나 자동차 화재 등 대규모의 피해가 발생한 사건에서 소비자 구제의 실효성을 높이고 기업의 제조물에 대한 책임을 강화하고자 하는 취지이다.
집단소송이란 단순히 여러 사람이 집단으로 소송을 하는 절차에 그치는 것이 아니라, 기업이 부담할 배상금 총액을 천문학적으로 키울 수 있는 제도이다. 기존에는 피해자가 원고로서 소송에 참여해야만 판결에 따른 배상을 받을 수 있었던 반면, 집단소송 제도가 시행되면 소송에 참여하지 않은 피해자에게까지 배상 판결의 효력이 확장돼 특별한 법률효과가 생긴다. 가령 피해를 입은 소비자 전원이 민사소송을 제기한다면 집단소송법이 있으나 없으나 달라질 것이 없겠지만, 피해자 중 극소수만 참여한 상황이라면 그 판결의 확장 효과가 매우 커지게 된다. 다시 말하면 기존에 소송 참여율이 낮았던 분야일수록 집단소송법에 의한 파괴력이 현저하게 피부에 닿을 수 있다.
개인정보 유출 분야는 소송 참여율이 가장 낮았던 유형의 소비자 분쟁 사례로 꼽힌다. 이용자 수가 많은 서비스에서 유출 사고가 터지면 수백만 내지 수천만건의 개인정보가 빠져나가는 것이 보통이다. 예컨대 2014년 초 온 나라를 떠들썩하게 했던 신용카드 3사 사고에서는 개인정보 1억건이 유출되었다. 한 사람이 신용카드나 체크카드를 여러 장 가지고 있다가 유출된 것도 각각 1건으로 집계되어서 그 합계가 우리나라 인구 수보다 많았던 것이다. 그런데 실제로 소송에 참여하여 원고 목록에 이름을 올린 이는 대략 100만명으로 추산되었다. 전체 피해건수의 약 1%밖에 안 되었다. 대한민국 건국 이래 최대 규모의 소비자 소송이라고 했지만 참여율은 불과 1%대에 머물렀던 셈이다. 법원에서 원고당 대략 10만원 안팎으로 배상하라는 판결이 내려졌으니 총액은 약 1000억원이었다. 적은 금액은 아니지만 그래도 신용카드 3사를 망하게 할 정도는 아니었다.
집단소송법안이 국회를 통과되면 그 상황이 달라진다. 집단소송에서 판결이 내려지면 원고 목록에 이름이 있든 없든 동종의 피해자 총원에 배상을 해주어야 한다. 즉 소송 제기율이 100%가 되는 것과 마찬가지다. 개인정보 유출 피해자 1인당 10만원씩 배상한다고 했을 때, 1억건이 유출된 사고라면 총액이 10조원이고, 1000만건이면이 1조원이 되는 것이다. 이쯤 되면 기업이 정말로 망할 수 있다.
미국에서는 집단소송(classaction) 제도를 오래전부터 시행해왔고, 개인정보 유출사고에 대해서도 여러 번 진행됐다. 특이한 점은 미국에서 고객정보를 유출 당한 기업들이 집단소송에 직면해 판결을 받은 사례는 찾아보기 어렵다는 사실이다. 이들 기업은 판결을 받아서 도산 위기를 겪는 것보다, 그까지 가기 전 어떻게든 합의(settlement)를 해서 집단소송을 마무리 짓는 쪽을 택했다. 합의는 실행 가능한 방안이어야 하기 때문에 기업에 수조원 단위의 현금 배상을 하라고 내려진 사례는 아직까지 없었다. 대신 기업으로 하여금 유출된 개인정보의 도용 방지를 위한 크레디트 모니터링 서비스 기금을 내라는 쪽으로 법원이 중재를 한 사례가 많다. 기업에 감당하지 못할 배상금액을 부과하여 망하도록 하는 것보다 부담할 수 있는 선에서 2차 피해 방지 비용을 내도록 사회적 타협을 한 결과이다.
그간 개인정보 유출사고는 실제로 개개인이 입은 피해 정도가 가볍다는 이유로 지금까지는 기업에 그리 큰 부담이 되지 않았을 수 있다. 그러나 집단소송법안이 만약 국회를 통과하면 워낙 많은 피해건수를 동반하는 개인정보 유출 분야에서 그 파급효과가 두드러지게 나타날 것이다. 요컨대 집단소송은 피해자 총원에 대한 배상을 관철하는 제도이다. 정보보호 담당자들이여, 이는 남의 일이 아니다.
전승재 법무법인 바른 변호사(‘해커 출신 변호사가 해부한 해킹 판결’ 저자) seungjae.jeon@barunlaw.com