GS칼텍스 고객 개인정보 유출 사건 (2008)

GS칼텍스의 고객정보 운영을 맡은 자회사 GS넥스테이션의 직원 정모 씨와 협력업체 관계자 등이 2008년 7월 회사 서버에 접속해 보너스카드 회원 1151만7125명의 성명·주민등록번호·주소·전화번호·이메일 정보를 빼냈다. 이들은 유출한 정보를 시중에 판매할 목적으로 데이터베이스를 엑셀 파일로 변환한 뒤 CD와 DVD, USB 등 저장매체에 나눠 담았다. 당시 GS칼텍스 정유 부문 고객 대부분이 포함된 방대한 규모였다. 내부 접근 권한을 가진 위탁 인력이 저지른 전형적 내부자 유출이었다. 회사의 개인정보 접근 통제와 위탁관리 체계의 허점이 그대로 드러났다.

2008년 9월 초 서울 도심 한복판에서 'GS칼텍스 고객명단'이라고 적힌 CD와 DVD가 쓰레기 더미 속에서 발견되면서 사건이 세상에 알려졌다. 저장매체에는 1100만 명이 넘는 회원의 개인정보가 담겨 있어 파장이 컸다. 국내에서 그때까지 확인된 개인정보 유출 사고 가운데 최대 규모였다. 정보가 실제로 시중에 흘러들었을 가능성이 제기되며 회원들의 불안이 커졌다. 발견을 계기로 경찰과 검찰의 본격 수사가 시작됐다.

수사와 회사 조사 결과 유출된 개인정보가 1151만7125건에 이르는 것으로 공식 확인됐다. 유출된 항목에 주민등록번호와 계좌 관련 정보 등 민감한 자료가 포함돼 2차 피해 우려가 컸다. 오픈마켓 옥션 유출 사건과 함께 2008년을 대표하는 대형 정보유출 사고로 기록됐다. 사건은 전 국민적 개인정보 관리 경각심을 불러일으켰다. 정부와 국회 차원의 개인정보보호 제도 강화 논의로 이어지는 계기가 됐다.

경찰은 고객정보를 빼낸 GS넥스테이션 직원 등 관련자들을 붙잡아 개인정보보호 관련 법률 위반 혐의로 입건했다. 이들은 정보를 판매해 금전적 이득을 챙기려던 것으로 조사됐다. 다만 저장매체가 유통되기 전 대부분 회수되면서 실제 대규모 판매나 2차 범죄로는 번지지 않은 것으로 파악됐다. 수사당국은 정보가 제3자에게 실제로 열람·이용됐는지를 집중적으로 확인했다. 이 판단은 이후 손해배상 소송의 핵심 쟁점이 됐다.

정보가 유출된 회원들은 GS칼텍스와 GS넥스테이션을 상대로 위자료를 청구하는 손해배상 소송에 나섰다. 인터넷 카페 등을 중심으로 원고를 모집하면서 소송 참여 인원이 수십만 명 규모로 불어났다. 회원들은 회사가 개인정보를 안전하게 관리할 의무를 소홀히 했다고 주장했다. 이 소송은 개인정보 유출에 따른 정신적 손해를 어디까지 인정할지를 둘러싼 시금석이 됐다. 유사한 대형 유출 소송의 향방을 가늠하는 사건으로 주목받았다.

법원은 GS칼텍스의 손해배상 책임을 인정하지 않는 판결을 내렸다. 재판부는 유출된 개인정보가 담긴 저장매체가 대부분 회수됐고 제3자가 실제로 정보를 열람하거나 이용한 정황이 확인되지 않았다는 점을 근거로 들었다. 회원들이 구체적 재산 피해나 2차 피해를 입었다고 보기 어렵다는 판단이었다. 이 판결은 유출 사실만으로 곧바로 위자료가 인정되지는 않는다는 기준을 제시했다. 원고 측은 판결에 불복해 항소했다.

대법원은 2012년 12월 26일 GS칼텍스의 손해배상 책임을 인정하지 않는다는 취지로 사건을 최종 정리했다. 재판부는 범행 적발 과정에서 개인정보가 담긴 저장매체가 모두 회수되거나 폐기됐고, 제3자가 정보를 열람·이용할 수 없었으며 후속 피해가 발생하지 않았다는 점을 근거로 삼았다. 이에 따라 고객들의 위자료 청구는 받아들여지지 않았다. 대규모 유출임에도 실질적 피해 입증이 어려워 배상으로 이어지지 못한 대표 사례가 됐다. 이 판결은 개인정보 유출 손해배상의 입증 책임 논의에 큰 영향을 남겼다.