티빙 해킹 5000원 보상 논란, ISMS-P 인증 기업의 침해사고 대응 절차 점검 필요

핵심 요약

- 티빙 개인정보 유출사고 이후 제시된 5000원 포인트 보상안이 이용자들의 강한 반발에 직면 - 보상 포인트는 재가입 후에만 사용 가능하며, 개인정보 유출 자체에 대한 직접적 보상이 아닌 것으로 확인 - ISMS-P 인증 기업의 침해사고 대응 절차 및 피해자 보상 체계에 대한 실효성 점검 필요성 대두

주요 내용

2026년 들어 대규모 개인정보 유출 사고가 연이어 발생하면서 기업들의 사후 대응과 보상책에 대한 관심이 높아지고 있다. 특히 최근 티빙의 해킹 사고 이후 제시된 보상안이 이용자들의 거센 비판을 받으며, 개인정보 침해사고에 대한 기업의 책임 있는 대응 방안이 무엇인지에 대한 논의가 재점화되고 있다.

티빙 측이 제시한 5000원 상당의 포인트 보상은 여러 측면에서 문제점을 드러냈다. 먼저 해당 포인트는 최신 영화 등을 개별 구매할 때 사용 가능한 것으로, 실질적 가치가 제한적이라는 지적이 나온다. 더욱 논란이 되는 부분은 이 보상을 받기 위해서는 서비스에 재가입해야 한다는 조건이다. 개인정보가 유출된 피해자들에게 다시 개인정보를 제공하라는 것은 2차 피해 우려를 불러일으킬 수 있다.

가장 핵심적인 문제는 이 보상이 개인정보 유출 자체에 대한 직접적 보상이 아니라는 점이다. 개인정보보호법 제39조의2는 정보통신서비스 제공자가 고의 또는 중대한 과실로 개인정보를 분실·도난·유출·위조·변조 또는 훼손한 경우 손해배상 책임을 명시하고 있다. 그러나 많은 기업들이 이를 실질적 손해배상이 아닌 마케팅성 포인트 지급으로 대체하려는 경향을 보이고 있어, 법적 책임 이행의 적절성에 의문이 제기된다.

업계에서는 이번 사례가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 기업들의 침해사고 대응 프로세스 전반을 재점검해야 할 시점임을 시사한다고 보고 있다. 특히 피해자 보상 기준의 명확화, 실질적 손해배상 체계 마련, 2차 피해 방지 조치 등이 인증 심사 과정에서 더욱 엄격하게 점검되어야 한다는 목소리가 높다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 티빙 사례는 침해사고 대응 체계의 형식적 구축과 실질적 운영 사이의 괴리를 보여주는 전형적 사례다. 많은 기업들이 ISMS-P 인증 취득 시 침해사고 대응 절차와 피해복구 계획을 문서화하지만, 실제 사고 발생 시 피해자 관점의 실질적 보상보다는 기업의 평판 관리와 비용 최소화에 초점을 맞추는 경향이 있다. 특히 재가입을 전제로 한 보상 체계는 피해자에게 추가적인 개인정보 제공을 요구하는 것으로, 침해사고 대응의 기본 원칙인 '추가 피해 방지'에 역행한다.

기업들은 침해사고 발생 시 법적 책임 이행과 고객 신뢰 회복이라는 두 가지 목표를 균형 있게 추구해야 한다. 이를 위해서는 사전에 명확한 피해보상 기준을 수립하고, 실질적 손해배상 체계를 마련하며, 피해자가 추가적인 불편이나 위험을 감수하지 않도록 하는 보상 프로세스를 설계해야 한다. 또한 단순한 포인트 지급을 넘어 신용정보 모니터링 서비스 제공, 피해 발생 시 신속한 법적 지원 등 종합적인 피해구제 방안을 준비하는 것이 ISMS-P 인증 기업으로서의 책임 있는 자세라 할 수 있다.

ISMS-P 심사원 체크포인트

1. 2.9.2 침해사고 대응 및 복구 (ISMS-P 인증기준)
- 침해사고 발생 시 피해 확산 방지, 피해 복구, 재발 방지 등을 위한 대응 및 복구 절차 수립 여부 점검
- 특히 피해자 보상 체계가 실질적으로 구축되어 있는지, 보상 기준이 명확하고 합리적인지 확인 필요
- 심사 시 유의사항: 문서화된 절차뿐만 아니라 실제 사고 발생 시 피해자 관점에서 실효성 있는 보상이 이루어지는지, 2차 피해 방지 조치가 포함되어 있는지 검토

2. 개인정보보호법 제34조(개인정보 유출 통지 등) 및 제39조의2(손해배상)
- 개인정보 유출 시 정보주체에게 사실을 알리고 필요한 조치를 취할 의무 이행 여부
- 고의 또는 중대한 과실로 인한 개인정보 유출 시 실질적 손해배상 체계 마련 여부
- 심사 시 유의사항: 단순 마케팅성 포인트 지급이 아닌, 법적 손해배상 기준에 부합하는 보상 체계가 수립되어 있는지, 피해자가 추가적인 개인정보 제공 없이도 보상을 받을 수 있는 절차가 마련되어 있는지 확인

3. 2.11.1 개인정보 보호조직 (ISMS-P 인증기준)
- 개인정보 침해사고 발생 시 신속하고 적절한 대응을 위한 조직 및 책임체계 구축 여부
- 심사 시 유의사항: CPO(개인정보보호책임자)를 중심으로 한 침해사고 대응 조직이 피해자 보상 결정 과정에 실질적으로 참여하는지, 법무·고객서비스 부서와의 협업 체계가 구축되어 있는지 점검

CPPG·ISMS-P 연계 포인트

개인정보 유출 시 손해배상 책임 (개인정보보호법 제39조)
개인정보처리자가 고의 또는 과실로 개인정보를 분실·도난·유출 등을 한 경우 정보주체에게 발생한 손해를 배상할 책임이 있다. 제39조의2에서는 고의 또는 중대한 과실의 경우 3억원 이하 또는 해당 개인정보처리자가 취급하는 개인정보의 수·유출로 인한 이익 등을 고려한 배상책임을 규정한다. 단순 포인트 지급은 이러한 법적 손해배상 책임 이행과는 별개의 문제로 구분해야 한다.

침해사고 대응 및 복구 프로세스 (ISMS-P 2.9.2)
침해사고 발생 시 탐지→분석→대응→복구→개선의 단계별 절차가 필요하며, 특히 '복구' 단계에서는 피해자에 대한 실질적 구제 방안이 포함되어야 한다. 이는 기술적 시스템 복구뿐만 아니라 피해자에 대한 통지, 상담, 보상, 재발방지 약속 등을 포함하는 종합적 개념이다. ISMS-P 심사 시 이러한 피해자 중심의 복구 절차가 실제로 작동하는지를 중점적으로 확인한다.