'이용약관'만 믿다간 큰 일…기업 CEO, '개인정보 시스템' 챙겨야[별별법]

[윤선우 법무법인 엘케이파트너스 대표변호사] 최근 대형 이커머스 플랫폼과 통신사에서 발생한 대규모 개인정보 유출 사고는 기업 경영에 있어 ‘데이터 보안’이 선택이 아닌 생존의 문제임을 보여준다. 그러나 여전히 많은 기업이 사고가 났을 때 법적 책임을 피하기 위한 마지막 방어선으로 ‘이용약관’에만 의존하고 있다. 과거에는 꼼꼼하게 작성된 책임 면제 조항이 기업을 지키는 방패가 되었을지 모르지만 지금의 환경에서는 오히려 경영 위험을 키우는 요인이 될 수 있음을 직시해야 한다.

윤선우 법무법인 엘케이파트너스 대표변호사.(사진=엘케이파트너스)

기업들이 습관적으로 사용하는 약관에는 몇 가지 구조적인 약점이 있다. 경영진과 사내 변호사들이 반드시 다시 점검해야 할 위험 요소다.

첫째, ‘모든 책임을 피한다’는 식의 포괄적인 조항은 더 이상 법원에서 쉽게 받아들여지지 않는다.

많은 기업이 약관에 “해킹 등 제3자의 공격으로 정보가 유출될 경우 회사는 책임을 지지 않는다”는 문구를 넣는다. 그러나 법원은 기업이 관리·감독 의무를 소홀히 했을 경우 이러한 책임 면제 조항을 무효로 판단하는 추세다. 단순히 문구를 넣었다고 해서 책임이 사라지는 시대는 지났다. 오히려 이런 문구는 경영진에게 ‘안전하다’는 잘못된 믿음을 주어 정작 필요한 기술적 투자를 미루게 만드는 원인이 될 수 있다.

둘째, ‘누가 증명해야 하는가’에 대한 변화를 반영하지 못한 약관은 효력이 없다.

현행 ‘개인정보 보호법’은 기업이 스스로 고의나 과실이 없음을 증명하도록 하고 있다. 즉 법률에서 명시적으로 개인정보처리자가 자신의 ‘고의 또는 과실 부존재’를 입증하도록 규정해 민법상 일반 불법행위 원칙의 예외를 두고 있다. 과거처럼 소비자가 기업의 잘못을 찾아내지 못해 패소하는 상황만 기대해서는 안 된다. 약관에 “이용자가 손해를 증명해야 한다”고 규정하더라도 실제 재판에서는 인정받기 어렵다. 핵심은 약관의 문구가 아니라 기업이 평소에 보호 조치를 제대로 했다는 점을 객관적 자료로 증명할 수 있는지 여부다.

셋째, 재판을 담당할 법원(관할 법원)을 기업 편의대로 정하는 전략도 설득력을 잃고 있다.

본사가 있는 지역의 법원만 고집하거나 소비자에게 불리한 분쟁 해결 절차를 두는 방식은 규제 당국이 보는 대표적인 불공정 유형이다. 글로벌 기준 역시 소비자의 접근성을 높이는 방향으로 가고 있다. 무리한 조항 고집은 단순한 소송 전략의 문제가 아니라 기업의 이미지와 평판을 깎아먹는 위험이 될 수 있다.

여기에 더해 간과해서는 안 될 부분이 있다. 개인정보 유출은 단순한 배상 문제로 끝나지 않는다. 과징금, 형사 처벌, 주가 하락, 투자자 신뢰 하락, ESG(환경·사회·지배구조) 평가 저하 등 복합적인 경영 위기로 번진다. 특히 상장사는 내부 통제가 부실할 경우 경영진의 책임 문제로까지 번질 수 있다. 이제 개인정보 보안은 IT 부서만의 업무가 아니라 이사회 차원에서 관리해야 할 중요 사안이다.

국회와 법조계에서는 징벌적 손해배상제(실제 손해보다 더 큰 금액을 배상하게 하는 제도) 강화와 집단소송제 도입 논의가 활발하다. 이는 기업이 사후 대응이나 약관에만 의존하는 소극적 전략으로는 감당하기 어려운 수준의 배상 책임을 지게 될 수 있음을 의미한다.

따라서 기업이 점검해야 할 것은 단순한 약관 문구의 정교함이 아니다. 사고 시 과실이 없음을 증명할 수 있는 내부 시스템이 있는지, 외부 위탁업체 관리가 문서화되어 있는지, 사고 대응 매뉴얼이 실제로 작동하는지 등을 종합적으로 살펴야 한다. 약관 정비는 이러한 법규 준수(컴플라이언스) 체계를 보완하는 하나의 요소일 뿐 전부는 아니다.

약관은 기업과 고객 사이의 법적 계약이자 위기 발생 시 기업을 보호할 기본적인 법적 토대다. 변화하는 판례와 환경을 반영해 정기적으로 점검하지 않는다면 약관은 보호 장치가 아니라 새로운 분쟁의 불씨가 될 수 있다.

이제 기업은 사고가 발생하더라도 법적으로 빈틈없는 보호 체계와 소비자를 실질적으로 보호할 수 있는 안전망을 미리 갖추어 두어야 할 필요가 있다. 불공정한 조항을 정비하고, 실효성 있는 내부 통제 시스템을 구축하는 것이 AI와 빅데이터 시대에 기업을 지키는 가장 현실적인 경영 전략이다.