‘페북 게이트’에서 개인정보 보호법 위반이 없었다고 하면 납득할 수 있을까? 
페이스북 이용자들은 어느 퀴즈게임 애플리케이션(앱)을 설치하기 위해 ‘개인정보 제공 동의’ 버튼을 눌렀다. 이용자들의 활동 정보는 페이스북 API를 통해 퀴즈게임 앱 개발사에 전달됐다. 앱 개발사가 수집한 데이터는 미국 인구의 4분의 1에 달하는 8700만 명 분. 이 정보는 케임브리지 에널리티카(CA) 사에 무단으로 전송돼 2016년 미국 대선 정치 심리전에 이용됐다. 이것이 ‘페북 게이트’의 전말이다. 유출 피해자 가운데에는 우리나라 이용자도 8만여 명 포함돼 있다고 전해진다. 
우리나라 법에 따르면 개인정보를 제3자에게 전달하기에 앞서 ‘동의’를 받아야 한다. 다만, 제3자 제공 후 계속 모니터링을 해야 한다는 규정은 없다. 

페이스북이 퀴즈게임 앱 개발사에 개인정보를 전달한 부분은 일단 법을 지켰다고 볼 여지가 있다. 이용자가 ‘동의’ 했기 때문이다(물론 페이스북이 개인정보 제3자 제공 범위를 충분히 고지하고 진정성 있는 동의를 받았는지 여부는 문제될 수 있으며, 방송통신위원회가 조사 중이다). 
퀴즈게임 앱 개발사가 케임브리지 에널리티카에 개인정보를 넘긴 부분은 당연히 법에 위반된다. 이 단계에서는 이용자의 ‘동의’가 없었기 때문이다. 그런데 이는 퀴즈게임 앱 개발사의 행위이지, 페이스북의 행위는 아니다. 
요컨대 ‘동의 없는 개인정보 제공’은 페이스북의 손을 떠난 후에 벌어진 일이고, 페이스북이 떠나보낸 개인정보까지 감시해야 할 법적 의무는 없다. 하지만 누가 이 결론에 동의할까? 
페이스북은 제3자에게 전달된 개인정보가 암시장에서 거래된다는 사실을 이미 알고 있었다고 전해진다. 이는 엄연한 신뢰 위반이다. 이용자들은 개인정보가 안전하게 처리되리라 믿고 제3자 제공에 동의한 것이지, 제3자의 개인정보 악용 행위를 페이스북이 나 몰라라 하는 것을 용인한 것은 결코 아니다. 

문제는 향후 대응이다. 이제부터 법을 개정해 제3자 제공 정보에 대한 모니터링 의무를 넣는다 해도, 이미 지나가버린 이번 사건을 가지고 페이스북을 처벌할 수는 없다(물론 페이스북이 제3자 제공 범위를 충분히 고지했다는 전제 하에). 
규제 강화는 부작용도 낳는다. 거대 기업인 페이스북은 강화된 규제에 대응할 역량이 있는 반면, 다른 후발주자들은 촘촘한 법망에 걸려 사업을 못 하겠다고 야단일 것이다. 후발주자의 진입장벽으로 작용하는 규제는 자칫 독점을 야기할 수 있다. 
해결 방법은 있다. 정보주체들이 페이스북을 상대로 민사소송을 제기하는 것이다. 플랫폼 사업자가 개인정보 악용 위험을 알고도 방치했다는 것은 손해배상의 이유가 된다. 

민사소송의 특징은, 가해자가 지켰어야 할 의무의 내용이 법에 써 있지 않더라도 사회통념상 인정되기만 하면 손해배상을 명할 수 있다는 것이다. 예컨대 주차장에서 차 문을 열다 옆 차에 흠집을 냈을 때 ‘문 콕 사고를 내지 말라’는 도로교통법 규정이 없어도 옆 차에 배상해야 한다. 다시 말하면, 모니터링 의무가 개인정보 보호법에 없어 페이스북을 처벌할 수 없더라도 민사상 손해배상은 명할 수 있다. 
기업의 입장에서 손해배상 리스크가 크다면 불법행위를 스스로 억제한다. 민사소송을 통해 불법행위를 억제하는 것을 법의 사적집행(私的執行)이라고 한다. 사적집행은 공적집행보다 유연해 첨단기술과 같이 급변하는 분야에 적합하다. 

사적집행이 발달한 나라는 미국이다. 미국은 소비자들에게 집단소송(class action), 징벌적 손해배상(punitive damages), 증거개시 제도(discovery) 등의 무기를 쥐어주고 있다. 그래야 법정에서 소비자와 대기업의 체급이 맞게 된다는 것이다. 
그런데 우리 법제도는 사적집행 수단이 너무 약하다. 라이트급인 소비자와 헤비급인 기업이 맞붙으면 결과는 뻔하니, 기업이 소비자를 두려워하지 않는다. 
‘페북 게이트’가 무서운가? 그렇다면 관(官)에게 규제를 강화할 것을 주문하지 말고, 그 대신 대한민국 국민들이 스스로 기업에 소송을 제기해 싸울 무기를 달라고 국회에 주문하라.