[글로벌에픽 이상호 CP] 대규모 랜섬웨어 공격으로 회원 221만여 명의 개인정보가 유출된 스크린골프 기업 골프존이 소비자들로부터 집단 손해배상 소송을 당했다. 정부로부터 과징금을 부과받고 행정소송을 제기한 골프존은 소비자들과의 민사 소송까지 동시에 진행하게 됐다.

법조계에 따르면 법무법인 CK(씨케이)는 지난 29일 골프존 개인정보 유출 피해자 23명을 대리해 서울중앙지방법원에 손해배상 청구 소송을 제기했다. 소송인단은 네이버 카페 ‘골프존 개인정보 유출 단체소송’을 통해 현재도 추가 모집 중이며, 원고 측은 유출로 인한 정신적 피해와 2차 피해 우려를 이유로 1인당 20만 원의 배상을 요구하고 있다. 또한 주민등록번호 유출이라는 사안의 중대성을 고려할 때 해당 피해자에 대해서는 1인당 30만 원 이상의 배상이 인정될 수 있을 것으로 전망하고 있다.
해커 공격에 맥없이 뚫린 서버…주민번호·계좌번호까지 무방비 노출
이번 사고는 2023년 11월 22일부터 23일까지 발생했다. 외국 해커 조직이 골프존 직원의 가상사설망(VPN) 계정 정보를 탈취해 내부 파일서버에 침투하면서 시작됐다.

유출된 개인정보는 이름, 전화번호, 이메일, 생년월일, 아이디 등이며, 총 221만여 명 규모다. 특히 5831명의 주민등록번호와 1647명의 계좌번호까지 유출된 것으로 확인됐다. 이로 인해 보이스피싱, 명의도용 등 2차 피해 가능성이 제기되고 있다.

원고 측은 골프존이 개인정보보호법상 기술적·관리적 보호조치를 소홀히 했다고 강하게 비판했다. 특히 △주민등록번호를 암호화(평문 보관)하지 않은 점 △보유기간이 지난 38만 3365명의 개인정보를 파기하지 않고 방치한 점을 주요 지적 사항으로 꼽았다.
법무법인 CK 측은 “대기업으로서 안전조치 의무를 다하지 않아 피해를 키웠다”며 “유출된 민감정보로 인한 지속적인 불안감과 정신적 고통이 크다”고 밝혔다. 개인정보보호법은 정보주체가 개인정보 유출로 피해를 입은 경우 300만원 이하의 범위에서 상당한 금액을 손해액으로 추정해 배상 청구할 수 있도록 규정하고 있다.

최진녕 대표변호사는 "이번 사건은 국가기관인 개인정보보호위원회의 행정처분으로 기업의 위법 행위가 확인된 사안"이라며 "대기업이 고객의 개인정보를 소홀히 다루고도 실질적 피해 구제 없이 책임을 회피하는 관행에 경종을 울리고, 피해 시민의 권리를 끝까지 지키겠다"고 강조했다.

정부 ‘75억 과징금’엔 불복 행정소송…소비자 집단 소송까지 ‘사면초가’ 사고 이후 개인정보보호위원회는 2024년 5월 골프존에 과징금 75억 400만원과 과태료 540만원을 부과했다. 이는 안전조치 의무 위반과 주민등록번호 처리 제한·개인정보 파기 의무 위반에 따른 조치로, 국내 기업 중 역대 최대 규모다.

그러나 골프존은 과징금 액수가 과도하다며 개인정보보호위원회를 상대로 과징금 처분 취소 소송(행정소송)을 제기한 상태다. 회사 측은 “위반 정도에 비해 과징금 규모가 과하다”는 입장인 것으로 알려졌다.

법조계에서는 골프존이 행정소송과 민사 집단소송을 동시에 진행하게 되면서 상당 기간 법적 리스크와 브랜드 이미지 타격이 불가피할 것으로 보고 있다.
법조계 관계자는 "골프존이 정부 제재에 불복하는 행정소송을 진행하는 동시에, 분노한 소비자들의 거액의 민사 집단소송까지 맞닥뜨리면서 전방위적인 법적 리스크와 브랜드 이미지 타격이 불가피할 것"이라고 전망했다.

[글로벌에픽 이상호 CP / sangho@globalepic.co.kr]