가상자산 거래소가 해킹당했을 때 사업자가 어디까지 책임지는지, 그 책임을 누가 증명해야 하는지를 법에 분명히 적어두는 방안을 금융위원회가 검토하고 있습니다. 금융위원회는 10일 가상자산 2단계 입법인 디지털자산기본법 정부안을 마련하는 과정에서 이 문제를 논의 대상에 올려 두고 있다고 밝혔습니다. 현행법에는 거래소가 이용자 자산을 보관해야 할 의무와 해킹에 대비한 안전장치가 마련돼 있지만, 실제 사고가 난 뒤의 손해배상책임 범위와 입증책임을 따로 정한 규정은 없습니다.

금융위원회 관계자는 “현행법은 실제 사고 발생 시 손해배상책임의 범위나 입증책임을 별도로 규정하고 있지 않다”며 “이와 관련한 제도적 공백과 문제 제기가 있다는 점을 인지하고 있어 보완 방안을 내부적으로 검토 중”이라고 말했습니다. 그렇다고 거래소가 사고 책임에서 빠지는 것은 아닙니다. 이용자는 서비스 이용계약이나 민법상 채무불이행 같은 기존 법리에 따라 사업자에게 책임을 물을 수 있다고 매일경제는 전했습니다. 책임을 물을 길은 열려 있지만, 손해의 범위와 증명 방법을 법이 따로 정해 두지 않은 셈이죠.

이용자가 입증하기 어려운 까닭

문제는 해킹 사고의 특성상 이용자가 책임을 증명하기가 쉽지 않다는 데 있습니다. 사고가 나면 가상자산 키 관리, 즉 코인에 접근하는 열쇠를 어떻게 보관했는지와 접근 권한, 전산망 구조, 접속과 사고 로그처럼 원인을 가리는 데 필요한 정보 상당수가 거래소 내부에 있습니다. 이용자가 거래소의 보안 조치에 문제가 있었는지, 그 문제와 자신의 손실 사이에 어떤 인과관계가 있는지를 직접 확인하기는 어려운 구조입니다.

금융위가 입증책임을 따로 들여다보는 것도 이 때문입니다. 금융위는 일반적인 민사 책임 관계에 맡기는 데서 나아가, 해킹과 전산사고의 특성을 고려한 별도의 이용자 보호장치가 필요한지를 검토하고 있습니다. 손해배상책임의 범위를 어디까지 정할지도 함께 논의 대상입니다. 사고 규모가 커지거나 사업자의 과실 여부를 두고 이용자와 거래소 사이에 다툼이 생겼을 때 적용할 기준을 더 명확히 하는 방안이 여기에 포함돼 있습니다.

아직 정해지지 않은 것들

다만 구체적인 방식은 아직 확정되지 않았습니다. 금융위는 지금이 정부안을 마련하기 위한 논의 단계인 만큼, 최종 법안에 어떤 내용이 담길지와 국회 통과 시점을 현 단계에서 확답하기 어렵다는 입장을 전했습니다. 이용자 보호체계 보완 방안이 어떤 조문으로 정리될지는 정부안이 나와야 드러나는 대목이죠.

다음 관전 포인트

다음으로 살펴볼 것은 디지털자산기본법 정부안에 손해배상책임의 범위와 입증책임이 어떤 방식으로 담기는지입니다. 금융위가 국회 통과 시점을 확답하지 않은 만큼, 정부안이 마련되는 시점과 법안이 어느 단계까지 진전되는지도 함께 확인할 대목입니다.