[이코노미스트 정길준 기자] 개인정보 유출 기업에 부과하는 과징금 상한이 전체 매출액의 10%로 높아지면서, 제재 강화가 보안 투자와 사고 예방으로 이어질지를 둘러싼 논쟁이 커지고 있다. 대규모 피해와 반복 위반을 막겠다는 취지지만, 해킹 피해를 본 기업에 전체 매출을 기준으로 고액의 과징금을 부과하는 것이 합리적인지에 대한 우려도 나온다. 기업의 귀책 정도와 사전 보안 투자, 피해 규모와 대응 노력을 충분히 반영해야 한다는 지적이다.

개정 개인정보보호법과 시행령이 지난 9월 11일 시행되면서 개인정보 유출에 대한 과징금 제재 기준이 강화됐다. 기존에는 과징금 상한을 전체 매출액의 3%로 규정했지만, 개정법은 고의·중과실로 1000만명 이상의 피해를 유발하거나 과징금 처분 후 3년 이내에 고의·중과실로 같은 유형의 위반행위를 반복했을 때, 시정명령을 이행하지 않아 관련 위반행위가 발생한 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다.

이처럼 강화된 제재 속에서 열린 국회 국정감사에서는 기업들의 해킹 사고와 보안 관리 실태를 향한 여야 의원들의 질타가 이어졌다. 지난 6일 국감장에는 이종현 SK텔레콤 정보보호최고책임자(CISO)·이상운 KT 정보보안실장·홍관희 LG유플러스 정보보안센터장 등 이동통신 3사 보안 책임자들이 증인대에 섰다. 특히 해킹 은폐 의혹으로 경찰 조사를 받고 있는 LG유플러스를 향한 쓴소리가 쏟아졌다. 최주희 티빙 대표 역시 최근 발생한 개인정보 유출 사고와 관련해 고개를 숙였다.

송경희 개인정보보호위원회 위원장은 13일 정무위원회 국정감사 인사말에서 “9월부터 매출액의 10%까지 부과되는 징벌적 과징금이 시행되고, 신고 지연이나 피해 확산을 방조하는 행위에 대한 제재도 강화됐다”며 “새로운 과징금 체계가 효과적으로 운영되도록 만전을 기하겠다”고 강조했다. 아울러 개인정보보호위원회(이하 개인정보위)는 조사에 협조하지 않는 기업에는 이행강제금을 부과하고, 증거를 은닉·폐기하는 행위에 별도 과징금을 부과하는 방안을 검토하기로 했다. 중요 사건의 경우 전담 조사단을 구성한다는 방침이다.

현실화한 징벌적 제재

IT 서비스 대중화와 인공지능(AI) 확산으로 해킹이 일상화하면서 개인정보 유출 사고와 관련한 과징금·과태료 규모도 빠르게 커지고 있다. 기업데이터연구소 CEO스코어가 개인정보위의 과징금·과태료 부과 현황을 조사한 결과, 2024년부터 올해 8월까지 기업에 부과된 과징금과 과태료는 총 9899억원으로 1조원에 육박했다.

연도별 부과액은 2024년 615억원에서 지난해 1682억원으로 늘었고, 올해는 8월까지 7602억원으로 급증했다. 올해 부과액은 지난해 연간 규모의 약 4.5배, 2024년의 12배를 웃돈다. 최근 3년간 누적 부과액 가운데 올해 발생한 금액이 차지하는 비중은 76.8%에 달했다.

과징금·과태료 규모가 급증한 배경에는 대규모 개인정보 유출 사고와 함께 개인정보보호 의무 위반에 대한 제재 강화가 영향을 미친 것으로 풀이된다. 2023년 개인정보보호법 개정으로 과징금 상한이 높아진 데 이어 올해 5월에는 과징금 산정 기준이 강화됐다. 지난 9월부터는 대규모 피해나 반복적인 고의·중과실 위반 등 일정 요건에 해당하면 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 됐다. 제재 규모가 이미 큰 폭으로 늘어난 가운데 새로운 과징금 체계까지 시행되면서 향후 과징금 산정 기준과 기업의 책임 범위를 둘러싼 논의도 이어질 전망이다.

개인정보위가 내린 대규모 과징금 처분을 보면 외부 침입 자체뿐 아니라 기업의 보안 관리상 의무 위반이 주요 제재 근거로 작용했다.

쿠팡은 전 직원이 대체 인증 서명키를 이용해 회원정보에 접근한 사건과 관련해 ▲인증키 관리 ▲접근 통제 ▲이상 트래픽 탐지·차단 등에서 문제가 드러났다. 개인정보위는 관련 위반 사항을 종합해 과징금 4236억원을 부과했다. SK텔레콤도 ▲내부망과 관리망 등의 분리·운영 ▲서버 계정 정보 관리 ▲유심 인증키 암호화 등에서 안전 조치 의무 위반이 확인돼 과징금 1348억원을 부과받았다. 두 사례 모두 침입과 유출을 막기 위한 안전 조치가 적절했는지가 처분의 핵심 근거가 됐다.

공정거래법식 과징금 산정 한계

이런 상황에서 강화된 매출액 연동 과징금 체계가 개인정보 유출 사고에 적용되는 방식을 두고 제도적 검토가 필요하다는 지적이 나온다. 기업이 얻은 부당이득을 환수하는 제재와 사고 예방을 위한 의무 위반 제재는 성격이 다른 만큼, 과징금 산정 기준도 이를 반영해야 한다는 주장이다.

홍대식 서강대 법학전문대학원 교수는 북유럽 일부 국가의 소득 연동형 벌금 제도를 예로 들었다. 핀란드의 일수벌금제는 범죄의 경중에 따라 벌금 일수를 정하고, 하루 벌금액은 피처분자의 소득 등을 반영해 산정한다. 같은 범죄라도 소득이 높은 사람에게 더 큰 금액을 부과해 경제적 부담을 실질적으로 높이는 방식이다. 부유한 사람에게 소액의 벌금을 부과하면 행동을 바꿀 만큼의 억제 효과를 얻기 어렵다는 판단이 바탕에 있다.

홍 교수는 국내 개인정보보호법의 매출액 연동 과징금에도 기업 규모에 따라 제재의 억제력을 달리하려는 논리가 작용한다고 진단했다. 그는 “부유한 사람에게 적은 과태료를 부과하면 억제가 잘되지 않는다는 점에서 핀란드의 사례는 억제라는 목적을 아주 강조한 것”이라며 “억제보다 예방에 힘을 실어야 할 개인정보보호법이 이와 같은 형태를 취하고 있다는 점에서 개선과 고민이 필요해 보인다”고 말했다. 개인정보보호법의 핵심 목적이 기업의 안전 조치 의무 준수와 사고 예방이라면, 기업 규모에 비례해 제재액을 높이는 방식이 실제 예방 효과와 어떻게 연결되는지 살펴봐야 한다는 게 홍 교수의 논리다.

홍 교수는 현행 과징금 산정 체계가 공정거래법의 모델을 참고했다는 점에도 주목했다. 공정거래법상 과징금은 위반행위로 얻은 부당이득을 환수하고 사회적 피해를 바로잡는 성격을 갖는다. 반면 개인정보보호법 위반은 개인정보를 침해해 이익을 얻는 경우뿐 아니라 기업이 보안상 주의 의무를 소홀히 해 외부 공격에 피해를 보는 경우도 포함한다. 실제 피해가 발생했는지, 피해 규모가 어느 정도인지, 위반행위가 고의였는지 등 위반 유형과 책임 수준도 다양하다.

홍 교수는 “개인정보보호법 위반행위는 공정거래법보다 유형이 다양하고, 여러 위반행위에 맞게 제재 수준도 정해야 한다”고 말했다. 이어 “현재 과징금 산정 기준이 충분히 정립되지 않은 상황에서 획일적인 기준을 적용하면 위반 내용과 제재 금액 사이의 균형이 맞지 않을 수 있다”며 “행정당국의 기준 정립과 법원 판단을 통해 산정 원칙을 구체화할 필요가 있다”고 덧붙였다.

그렇다고 해서 개정법이 과징금 상한만 높인 것은 아니다. 사고 발생 전 예산·인력·설비 등을 투자하고 보호체계를 강화한 기업에는 일정 요건을 충족할 경우 과징금 부과 기준 금액의 최대 40%를 감경할 수 있도록 했다. 고의 또는 중대한 과실에 따른 위반은 사전 투자에 따른 감경 대상에서 제외된다. 개인정보위는 투자 규모와 지속성, 실제 보호체계 운영 등 정성·정량 지표를 종합적으로 판단한다는 방침이다. 위반행위의 구체적인 내용과 정도, 피해 규모 등을 고려해 추가 감경할 수 있는 근거도 마련한다.

해킹 사고 이후 이동통신 3사도 보안 투자 확대를 약속했다. SK텔레콤은 향후 5년간 7000억원을 투입하고 보안 전담 인력을 2배로 늘리겠다고 밝혔다. KT는 같은 기간 1조원 규모의 정보보안 투자 계획을 발표했고, LG유플러스도 5년간 7000억원을 투자하기로 했다.

해외 주요국도 개인정보 침해에 대한 제재 기준을 두고 위반의 성격과 책임 정도 등을 고려하고 있다. 유럽연합(EU)의 일반개인정보보호법(GDPR)은 위반 유형에 따라 전 세계 연간 매출액의 4%를 과징금 상한으로 정하고 ▲위반의 성격과 중대성 ▲고의·과실 여부 ▲피해 완화 노력 ▲감독기관과의 협조 등을 함께 고려하도록 규정한다.

중국 개인정보보호법은 위반 정도가 심각한 경우 5000만 위안 이하 또는 전년도 매출액의 5% 이하의 과징금을 부과할 수 있도록 한다. 중국 행정처벌법은 위반으로 발생한 피해를 스스로 제거하거나 줄인 경우, 조사에 협조해 공적을 세운 경우 등에 처벌을 감경하거나 경감할 수 있도록 하고, 위반이 경미하고 신속하게 시정돼 피해가 발생하지 않은 경우에는 처벌을 면제할 수 있는 근거도 두고 있다.

미국은 포괄적인 연방 개인정보보호법에 일률적인 매출액 연동 과징금 기준을 두기보다 연방거래위원회(FTC)법 등 개별 연방법과 주별 개인정보보호법을 통해 기업을 규제한다. FTC는 개인정보보호 약속 위반이나 소비자에게 피해를 초래한 불공정·기만 행위 등을 근거로 법적 조치를 할 수 있다. 캘리포니아주에서는 소비자 개인정보보호법(CCPA) 등 주별 법제에 따라 주 법무장관과 캘리포니아 개인정보보호국이 집행을 담당한다.

“사전 투자·귀책 반영해야”

제재 강화의 취지에는 공감하면서도 기업의 책임에 맞는 기준을 마련해 시장의 수용성을 높여야 한다는 목소리가 나온다. 이성엽 고려대 기술경영전문대학원 교수는 과징금이 본래 불법행위로 얻은 부당이득을 환수하는 성격이 강했지만, 최근에는 이익을 얻지 않은 의무 위반까지 제재하면서 징벌적 성격이 커졌다고 분석했다. 그러면서 위반행위와 관련 없는 매출까지 제재 기준에 포함하기보다 위반행위와 관련된 매출액을 기준으로 삼는 것이 합리적이라고 제언했다.

이 교수는 “불법행위로 이익을 얻었다면 매출을 과징금 산정 기준으로 볼 수 있지만, 해킹에 따른 개인정보 유출처럼 이익이 없는 상황에서는 타당하지 않다”며 “피해 규모나 정보의 민감성, 기업의 책임과 대응 노력을 기준으로 봐야 한다”고 짚었다. 또 “모든 해킹이 기업의 안전 조치 미흡으로 발생했다고 단정해서도 안 된다. 공격을 당한 기업과 해커를 동일선상에 놓고 봐서도 안 된다”고 말했다. 그러면서 보안 조치 미흡과 유출 사이의 인과관계가 인정되면 제재하면서도 기업이 처분 근거를 다투고 책임 정도를 소명할 수 있도록 절차적 권리를 보장해야 한다고 강조했다.

그동안의 보안 투자와 관리 체계 강화 노력을 과징금 산정 과정에 반영해야 한다는 업계 요구도 있다. 한 IT 업계 관계자는 “과징금 산정 과정에서 기업의 위반 정도뿐 아니라 평소 보안 투자와 관리 체계 강화 노력, 사고 예방·대응 노력도 충분히 고려해야 한다”고 말했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지