B2C(Business to Consumer) 기업의 고객 개인정보 유출이 잇따르고 있다. 쿠팡부터 통신 명품 의류 카드 회사까지 고객 정보 유출이 번졌다. 지난 1월 GS리테일, 6월 명품 플랫폼 머스트잇, 5~7월 디올 티파니 까르띠에 등 명품 브랜드에서 잇따라 정보 유출 사고가 발생했다. 지난 5월 아디다스에 이어 외식 브랜드 파파존스에서도 이런 일이 일어났다. SK텔레콤과 롯데카드 등 대기업을 가리지 않고 정보 유출은 무차별적이다. 기업은 일시적으로 고객에게 사과할 뿐이다. 정부의 강력한 제재나 손해배상도 이뤄지지 않는다. 이런 솜방망이 처벌이 기업의 도덕적 해이를 부추긴다는 비판마저 나온다. 미국처럼 ‘징벌적 손해배상’ 도입이 필요하다는 목소리가 커진다.

지난달 30일 정부서울청사에서 쿠팡 관련 긴급 관계부처 장관회의가 열린 가운데 박대준 쿠팡대표가 회의장을 나서며 고객 정보유출 사고에 대해 공개 사과하고 있다. 연합뉴스

국내 이커머스(전자상거래) 1위인 쿠팡에서 지난 6월 24일부터 5개월간 3370만 개의 고객정보가 빠져나갔지만 정작 업체는 이 같은 사실조차 모르고 있었다니 충격적이다. 쿠팡은 지난 20일에는 피해 고객 계정이 4500여 개라고 발표했으나 3370만 개라고 다시 공지하면서 신뢰도에도 금이 갔다. 이번 사건 규모는 SK텔레콤의 개인정보 유출 사고(약 2324만 명)를 뛰어넘는 역대급 규모다. 정보 유출이 전문적인 해킹이 아닌 중국 국적의 직원 소행으로 추정돼 조직관리의 허점도 그대로 노출했다.

쿠팡발 정보유출 사고로 보이스피싱과 스미싱 등 개인정보를 활용한 범죄 피해가 확산할 우려가 커진다. 경찰청에 따르면 올해 1~10월 보이스피싱 스미싱 등 전기통신금융사기 피해금액은 1조1116억 원으로, 처음 1조 원을 넘어섰다. 보이스피싱 피해 금액만 1조566억 원(1만9972건)에 달했다. 최근 보이스피싱 범죄는 입수한 개인정보를 이용해 날로 정교해지고 있어 피해는 급증하는 추세다. 최근 캄보디아 범죄 단지 사례에서 보았듯, 유출된 개인정보가 범죄 집단 손에 들어가는 것만 상상해도 아찔하다. 우리 모두가 피해자가 될 수 있다.

고객정보 유출은 급증하고 있지만 관리는 개선될 기미가 없다. 기업은 머리 한 번 숙이는 것으로 퉁치고, 정부도 얼마 되지 않는 과징금으로 사태 수습에 급급하다. 이 때문에 책임 기업에 대해 징벌적 손해배상 제도를 도입해야 한다는 주장이 제기된다. 미국은 기업의 개인정보 유출에 엄격하다. 미국 통신사 AT&T는 지난해 두 차례 대형 데이터 유출 사고를 겪었고 집단소송 합의금으로 2600억 원(1억7700만 달러)을 마련했다. 보상액 규모도 1인당 최대 1100만 원(7500달러)에 달한다. 반면 SK텔레콤은 정보유출 피해자에게 1인당 30만 원을 배상하라는 조정안을 받아들이지 않았다. 조정 신청이 전체 고객으로 확대되면 배상액이 7조 원에 달한다는 것이다. 고객은 기업을 믿고 서비스나 제품 구입을 위해 개인정보를 제공한다. 기업이 개인정보를 관리하지 못해 유출사고가 발생하면 기업이 전적으로 책임을 지도록 하는 시스템 도입이 필요하다. 고객이 언제까지 참아야 하나.