멜로밍 개인정보 유출과 버튜버 '빨간약' — 손해배상, 어떻게 접근해야 할까

1. 무엇이 유출됐고, 왜 특수한가

멜로밍은 버튜버와 시청자 사이의 선물·커미션을 중계하는 플랫폼으로 알려져 있습니다. 유출된 것으로 전해지는 정보는 이름, 닉네임, 내부 사용자 ID, 전화번호, 생년월일, 스트리밍 플랫폼 등으로, 개인을 특정하고 연락·추적할 수 있는 정보가 다수 포함된 것으로 보입니다.

유출 항목 자체만 보면 다른 사건과 비슷해 보일 수 있습니다. 그러나 이 정보들이 누구의, 어떤 정보인지를 함께 보면 사안의 무게가 달라집니다. 버추얼 라이버는 실명과 생년월일, 전화번호를 공개하지 않는 것을 기본 전제로 활동합니다. 즉 이 사건에서 유출된 정보는 단순한 신상정보가 아니라, 영업의 근간을 이루는 '가려져 있어야 할 정보'일 수 있습니다.

여기에 스트리밍 플랫폼 정보와 내부 사용자 ID가 더해지면, 유출된 실명·연락처가 특정 활동명(캐릭터)과 연결될 가능성이 생깁니다. 이렇게 연결이 이뤄지는 순간, 그동안 분리돼 있던 '현실의 나'와 '활동하는 나'가 강제로 이어지게 됩니다. 이것이 이 사건을 일반적인 개인정보 유출과 구분 짓는 지점으로 보입니다.

2. '빨간약'이 버튜버에게 주는 피해의 무게

'빨간약'은 익명으로 활동하는 버추얼 라이버의 실제 신상이 공개되는 것을 가리키는 표현으로 통용됩니다. 이는 프라이버시 침해에 그치지 않고, 매출 감소·활동 위축은 물론 스토킹이나 영업방해 같은 2차 피해로 이어질 우려가 있습니다.

버추얼 라이버의 사업 구조에서 익명성은 부가적 요소가 아니라 핵심 자산에 가깝습니다. 시청자와의 관계, 캐릭터의 세계관, 후원과 커미션이라는 수익 구조가 모두 '실제 신상은 공개되지 않는다'는 전제 위에 서 있는 경우가 많기 때문입니다. 그 전제가 강제로 무너지면, 단순히 불쾌함을 넘어 활동 지속 자체가 위협받을 수 있습니다.

이런 특수성은 뒤에서 볼 손해배상의 위자료 산정, 그리고 보상안 논의에서 일반 이용자와 다른 기준이 필요하다는 주장으로 이어질 수 있습니다.

3. 손해배상은 어떻게 접근하나

개인정보 유출로 인한 손해배상은 개인정보보호법 제39조와 민법상 불법행위 책임을 근거로 검토할 수 있습니다. 다만 배상이 인정되려면 유출 사실, 사업자의 안전조치 의무 위반(또는 과실), 그리고 그로 인한 손해와 인과관계가 함께 소명되어야 합니다.

개인정보보호법 제39조는 정보주체가 개인정보처리자의 법 위반으로 손해를 입은 경우 배상을 청구할 수 있도록 정하고 있습니다. 실무에서는 이와 함께 민법 제750조(불법행위)·제751조(정신적 손해)를 근거로 위자료를 청구하는 경우가 많습니다.

주목할 점은 입증책임의 구조입니다. 제39조 제1항은 개인정보처리자가 '고의·과실이 없음'을 스스로 입증하지 못하면 책임을 면하기 어렵도록 정하고 있습니다. 즉 피해자가 사업자의 과실을 처음부터 끝까지 증명해야 하는 일반 불법행위와 달리, 이 사건에서는 사업자 측이 '충분한 안전조치를 다했다'는 점을 입증해야 하는 부담을 지게 됩니다. 이 구조는 피해자에게 유리하게 작용할 수 있는 지점입니다.

버추얼 유튜버의 경우, 위자료 산정에서 앞서 본 익명성 붕괴의 특수성, 매출 감소 가능성, 2차 피해 우려 등을 구체적으로 주장·소명하는 것이 중요해 보입니다. 다만 실제 인정 여부와 금액은 법원이 개별 사실관계에 따라 판단하는 영역이므로, 결과를 단정하기는 어렵습니다.

4. 영세사업자·해킹 주장이라는 변수

멜로밍 측은 해킹으로 인한 피해라고 주장하는 것으로 전해집니다. 그러나 해킹을 당했다는 사실만으로 사업자의 책임이 곧바로 면제되는 것은 아닙니다. 핵심은 유출을 막기 위한 안전조치 의무를 다했는지 여부입니다.

개인정보보호법은 개인정보처리자에게 안전성 확보에 필요한 기술적·관리적 조치를 취할 의무를 부과하고 있습니다. 따라서 '외부 해킹'이라는 주장이 있더라도, 사업자가 접근통제·암호화·접속기록 관리 같은 기본적 보호조치를 갖추지 않았다면 과실이 인정될 여지가 있습니다. 실제로 유출 사고의 상당수가 안전조치 의무 위반과 관련되어 다뤄집니다.

또한 현실적으로 영세사업자에 대해서는 개보위의 조사나 과징금 처분이 대형 사고만큼 신속·엄정하게 이뤄지지 않을 수 있다는 우려도 있습니다. 이 점은 피해자들이 능동적으로 대응해야 하는 이유가 되기도 합니다. 다음 두 섹션에서 그 방법을 살펴봅니다.

5. 개보위에 '제대로 된 조사'를 촉구하는 방법

영세사업자 사건에서 조사나 처분이 충분히 이뤄지지 않을 수 있다는 우려가 있다면, 피해자들이 의견을 모아 개인정보보호위원회에 조사를 촉구하는 방법을 고려할 수 있습니다. 여러 피해자의 의견을 담은 단체 내용증명을 발송하는 방식이 그 하나입니다.

개인정보위는 개인정보보호법에 따라 유출 사고에 대해 자료 제출 요구와 현장조사 등 행정조사를 진행할 수 있습니다. 다만 어느 사건에 조사 역량을 집중할지는 사건의 규모·중대성 등에 영향을 받을 수 있습니다. 그래서 피해자 다수가 사안의 중대성과 특수성(익명성 붕괴, 2차 피해 우려 등)을 구체적으로 소명하면, 조사의 필요성을 환기하는 데 도움이 될 수 있습니다.

이러한 단체 대응은 조사를 촉구하는 의미와 함께, 이후 손해배상 소송에서 피해자들의 대응을 조직화하고 증거를 공유하는 기반이 될 수 있습니다.

6. 멜로밍 측에 보상안을 요구할 수 있을까

최근 대형 유출 사고에서 사업자가 자체 보상안을 내놓은 사례가 있었던 것처럼, 멜로밍 측에도 보상안 마련을 촉구하는 접근을 검토할 수 있습니다. 다만 이때 보상안은 일반 이용자와 버추얼 라이버를 다르게 책정할 필요가 있다는 점을 함께 요구하는 것이 사안의 특수성에 부합해 보입니다.

개인정보 유출 사고에서 사업자가 정보주체에게 보상안이나 후속 안내를 제공하는 사례가 늘고 있습니다. 소송과 별개로, 피해자 측이 사업자에게 합리적 보상안 마련을 요구하는 것도 하나의 대응 방법이 될 수 있습니다.

특히 이 사건에서는 일률적인 보상이 오히려 형평에 맞지 않을 수 있습니다. 버추얼 라이버는 익명성을 기반으로 사업을 전개하기 때문에, 동일한 정보가 유출되더라도 그로 인한 피해의 크기와 성격이 일반 이용자와 다를 수 있기 때문입니다. 따라서 버추얼 라이버를 대상으로 한 별도의 보상안 마련을 요구하는 것은 합리적 근거가 있는 접근으로 볼 수 있습니다.

피해자가 지금 준비할 것 6단계

관련 법령 한눈에

멜로밍 개인정보 유출·버튜버 빨간약 관련 많이 묻는 질문