개인정보 1억 326만 건, 배상은 1인당 10만원

한 사람의 컴퓨터에서 시작됐다

코리아크레딧뷰로는 개인의 신용정보를 모아 평가하는 회사다. 카드사들은 이 회사에 신용카드 부정사용예방시스템 개발을 맡겼다. 개발자는 시스템이 제대로 작동하는지 시험하기 위해 실제 고객정보를 받았다.

이 회사 직원 박씨는 카드사에 파견돼 일하면서 고객정보를 자신의 저장장치로 옮겼다. 작업에 쓰인 컴퓨터에는 정보 반출을 막는 보안프로그램이 설치돼 있지 않았다. 어떤 정보가 언제 얼마나 나갔는지 기록도 남지 않았다.

빼낸 정보는 KB국민카드 5,378만 건, 롯데카드 2,689만 건, NH농협은행 2,259만 건, 모두 1억 326만 건이었다. 박씨는 이 가운데 일부를 대부 중개업자에게 1,657만원을 받고 팔았다. 창원지방법원은 2014년 박씨에게 징역 3년을 선고했고 형은 확정됐다.

1억 건이 넘는 정보가 한 사람의 손을 거쳐 나갔지만, 그 과정에서 경보가 울린 곳은 없었다. 카드사도 신용정보회사도 사고를 스스로 알아채지 못했다. 유출 사실은 검찰이 다른 사건을 수사하다가 확인하면서 밖으로 알려졌다.

2014년 1월의 창구

검찰 수사 결과가 알려진 뒤 2014년 1월 17일 저녁부터 카드 3사는 홈페이지에 유출 여부를 확인하는 창을 열었다. 공인인증서나 휴대전화, 카드번호로 본인을 확인하면 결과가 나왔다. 사흘 만에 조회 건수가 600만 건을 넘었다.

확인한 사람들이 카드를 바꾸기 시작했다. 재발급과 해지 신청은 1월 21일 175만 건, 22일 229만 건, 23일 343만 건으로 하루에 100만 건 넘게 늘었다. 은행 창구에는 재발급 대기 인원이 수백 명씩 밀렸고, 카드를 찍어내는 협력업체는 주문이 다섯 배로 늘었다.

1월 23일 국회 정무위원회 전체회의에 금융위원장과 금융감독원장, 카드 3사 대표가 나왔다. 카드 3사 대표는 모두 물러났다. 3월에는 2차 유출 논란이 불거지면서 재발급과 해지가 다시 늘었다.

제재는 3개월 영업정지였다

금융위원회는 카드 3사에 3개월 신규 영업정지 처분을 내렸다. 기간은 5월 16일까지였다. 그 기간에는 신용카드와 체크카드, 선불카드 회원을 모집할 수 없고 카드대출 신규 약정도 맺을 수 없었다. 카드사에 부분 영업정지가 내려진 것은 이때가 처음이다.

과태료는 600만원이었다. 정보를 빼낸 직원이 소속된 코리아크레딧뷰로에는 2014년 12월 3개월 업무정지가 내려졌다. 사유는 업무목적 외 개인신용정보 누설, 임직원 보안교육 소홀, 전산통제 부적정이었다.

형사 재판은 더 오래 걸렸다. 카드 3사는 개인정보보호법 위반 등으로 기소돼 2016년 7월 1심에서 벌금형을 받았고, 2020년 3월 2심을 거쳐 2020년 9월 14일 대법원에서 1,000만원대 벌금형이 확정됐다.

배상까지 걸린 5년

피해자들은 카드사와 코리아크레딧뷰로를 상대로 전국에서 손해배상을 청구했다. 카드사들이 분쟁조정에 응하지 않아 소송으로 갔다. 2016년 1월 22일 서울중앙지방법원은 업체들이 피해자 1인당 10만원을 지급하라고 판결했다.

대법원은 2018년 12월 27일 이 판결을 확정했다(2018다219994). 위자료 액수는 법원이 여러 사정을 참작해 직권으로 정할 수 있다는 것이 이유였다. 이 판결로 개인정보 유출 위자료의 기준이 1인당 10만원으로 자리 잡았다.

다만 이 돈은 소송에 참여한 사람만 받았다. 1억 326만 건이 유출됐지만 배상 절차의 대상은 소송을 낸 사람들이었다. 2019년 7월부터 화해권고 결정에 따른 위자료 지급 절차가 진행됐고, 소비자단체가 참여자들의 계좌를 모아 전달했다.

유출부터 배상 확정까지 5년, 형사 확정까지 7년이 걸렸다. 그 사이 소송에 참여하지 않은 사람은 자기 정보가 어디까지 흘러갔는지 확인할 방법이 없었다. 유출 조회 서비스는 어떤 항목이 나갔는지를 알려줄 뿐, 그 정보가 누구에게 넘어갔는지는 알려주지 않는다.