홈플러스뿐만 아니었다…개인정보 판매 기업 3곳 ‘발칵’

홈플러스 대법원에 배상금 판결
토스도 개인정보 판매 논란
쿠팡은 해킹당하고도 묵인

최근 대법원에서 홈플러스는 개인정보를 판매한 혐의로 피해자에게 배상금을 지급할 것을 결정했다. 홈플러스는 지난 2011년 말부터 2014년도까지 다이아몬드 반지를 비롯해 고급 자동차 등을 내세워 경품 행사를 진행해 다량의 개인정보를 수집했다. 이 정보는 712만 건으로 확인됐으며 보험사 4곳에 판매했다. 홈플러스는 해당 판매로 148억 원의 이윤이 발생한 것으로 나타났다.

더하여 패밀리카드 회원 모집을 통해 1,694만 건의 개인정보를 수집한 뒤 보험사 2곳에 건네 83억 5,000만 원을 받을 것으로 알려졌다. 홈플러스는 개인정보 판매만으로 230억 규모의 이윤을 발생시킨 셈이다. 홈플러스의 연간 매출액은 지난 2022년 기준 6조 6,006억 원으로 막대한 매출을 자랑한다. 이렇게 많은 매출을 올리는 대형마트에서 개인정보를 판매해 이윤을 창출한 것에 대해 많은 비판이 잇달았다. 

대법원 2부는 지난 17일 재판장에서 홈플러스에 손해배상을 청구한 소비자 200여 명 가운데 4명에 대해서만 피해를 인정해 배상금 지급을 결정했다. 이번 결정으로 일반에선 이해할 수 없다는 반응이 이어져 나오기도 했다. 그 배경으론 대법원이 개인정보 유출 피해는 피해자 스스로가 법 위반 사실을 증명하여 보상을 청구해야 한다고 말했기 때문이다. 통상 재판부는 결정이 모호한 사항에 판례를 따르는 경우가 많은데, 이번 결정으로 일반인에게 불리한 판례가 발생했다는 우려도 나온다. 대법원은 4명을 제외한 나머지 청구인에 대해서는 “홈플러스가 보험사 등 다른 기업으로 개인정보를 넘겼다는 명확한 증거가 없다”라고 보고 그들이 청구를 기각했다. 

홈플러스는 경품행사와 카드를 만들 당시 1mm의 작은 글씨로 ‘개인정보 제공 동의’를 작성해 두었는데, 이것이 재판의 중요한 논점이 되었다. 전문가들은 홈플러스가 해당 사실을 명시해 두었지만 매우 작은 글씨로 작성한 것에 대한 의도가 분명하여 강력한 경고조치를 취해야한다고 주장했다. 더하여 재판의 쟁점이 된 것은 홈플러스에서 보험사로 개인정보가 이동했음을 어떠한 근거로 확인할 수 있는지였다. 따라서 해당 증명을 끌어낸 4명만 홈플러스로부터 배상금을 받을 수 있게 되었다.

또한 토스가 지난 2018년부터 2023년까지 82만 명의 개인정보를 판매해 약 292억 원의 수익을 올렸다는 사실이 밝혀져 논란이 됐다. 고객 개인정보는 1인당 6만 9,000원으로 평가되었으며, 이 정보는 여러 법인 보험 대리점(GA)과 보험 설계사에게 판매한 것으로 알려졌다. 토스는 고객의 동의를 받아 개인정보를 판매했으며, 2020년 이후 마이데이터 사업권을 취득해 합법적으로 이를 시행했다고 주장했지만, 여론의 비판은 막을 수 없었다. 

전문가들은 이러한 개인정보 판매가 앞으로 더 빈번해질 가능성이 있다고 판단해 지적하고 있다. 실제 현재 33개의 금융사가 마이데이터 사업권을 얻었고, 이들 중 일부는 개인정보 판매를 주요 수익원으로 삼을 가능성이 있기 때문이다. 

과거에도 EBS, 롯데홈쇼핑 등이 개인정보를 판매해 큰 수익을 올렸으나, 처벌은 미미하기도 해 더 큰 우려가 나온다. 이러한 문제를 해결하기 위해 정치권에서는 개인정보 보호법 및 개인신용정보보호법 개정을 추진하고 있으며, 개인정보 판매 여부와 대가를 소비자에게 명확히 알리도록 하는 제도를 마련하고자 하지만 속도가 더딘 상황이다. 

한편 개인정보를 판매한 혐의는 없지만, 해커에 의해 유출을 당하고도 대응하지 않은 기업이 화제다. 이 기업은 쿠팡으로 고객의 46만 건에 달하는 개인정보를 유출된 사실을 인지하고도 정보보호 기관과 고객에 두 달 동안 알리지 않아 비판받았다. 앞서 다크웹 해킹포럼 온라인 커뮤니티 사이트에 쿠팡을 이용하는 고객의 개인정보가 거래되는 사실을 확인한 쿠팡은 경찰 등 조사 당국에 신고하지 않고 해커와 직접 접촉해 거래를 시도하면서 사건 해결을 늦췄다.

쿠팡의 이러한 조치는 개인정보보호법을 위반하는 것으로 2차 피해를 유발할 수 있어 뭇매를 맞기도 했다. 다수의 대기업에서 고객의 개인정보를 중요하게 다루지 않는 문제에 일각에선 정부가 나서 대대적인 관리가 필요하다는 주장이 나온다.