박종민 기자쿠팡이 3370만명의 대규모 개인정보를 유출했지만, 과징금·과태료는 전례 상 1조원을 넘지 않을 것이라는 관측이 나온다. 쿠팡의 지난해 매출이 약 41조원에 달하고, 이 중 90% 이상을 한국에서 올리는 점을 고려하면 솜방망이 처벌이라는 지적도 제기된다.
전문가들은 제재 실효성을 높이기 위해 기존보다 무거운 경제적 제재가 필요하다고 주장한다.
과징금 최대 1.2조지만…1·2차 감경 거쳐 1조↓ 내려갈 가능성
16일 유통 업계와 법조계에 따르면, 향후 쿠팡에 부과될 과징금·과태료는 1조원을 넘지 않을 것이라는 전망이 나온다.
현행 개인정보보호법에 따르면, 개인정보보호위원회는 기업의 최근 3년 평균 매출액의 3%까지 과징금을 부과할 수 있다. 쿠팡의 지난해 매출은 41조로 이를 기준으로 단순 계산하면 최대 과징금은 약 1조2천억원까지 올라갈 수 있다.
그러나 1조2천억원의 과징금이 모두 쿠팡에 부과될 가능성은 매우 낮다는 게 전문가들의 관측이다. 그간 유사 사례에서 법정 상한에 근접한 과징금이 부과된 전례는 거의 없기 때문이다.
우선 개인정보보호법은 전체 매출액 중 위반행위와 관련 없는 매출액은 제외한 금액에 한해 과징금을 산정하도록 규정하고 있다. 쿠팡 전체 매출의 약 15%를 차지하는 대만·파페치·쿠팡이츠 등 사업은 개인정보 유출과 관련성이 낮기 때문에 매출 계산에서 제외될 것으로 보인다.
과징금이 당국의 판단에 따라 낮에 산정될 수도 있다. 과징금 기준금액을 정할 때 부과 기준 비율을 정하는데, 이는 위반행위에 대한 판단에 따라 다르게 적용된다. 위반행위가 '매우 중대한 위반행위'라고 판단할 경우 부과기준율을 관련 매출액의 2.1%~2.7% 이하로 정하고 있다. 그러나 가장 경미한 '약한 위반행위'라고 볼 경우 기준율은 0.03%~0.9% 미만까지 급격히 떨어진다.
해당 부과기준율에 따라 과징금이 산정되더라도, 이후 1차, 2차 조정을 통해 감경될 수 있다. 특히 쿠팡의 경우 대표적인 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 보유하고 있어 과징금의 최대 50%를 감경받을 수 있다. 쿠팡은 2021년 ISMS-P 인증을 받았고, 지난해 갱신까지 받았다. 실제 쿠팡이 부담할 과징금은 1조2천억보다 적어질 가능성이 높다는 것이다.
실제로 약 2300만 명의 개인정보를 유출한 SK텔레콤은 최근 1347억9100만 원의 과징금을 부과받았지만, 이 역시 최대치인 매출 3%(약 3831억)보다는 훨씬 적은 수치다. 우리카드도 개인정보 유용 사건이 발생했지만, 과징금이 50% 감경돼 130억원만 부담했다.
17일 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 쿠팡 침해사고 관련 청문회에서 해롤드 로저스 쿠팡 대표이사가 의원 질의에 답변을 하고 있다. 윤창원 기자
이와 관련해 정보보호 분야에 정통한 법무법인 비트 송도영 대표변호사는 CBS노컷뉴스와의 통화에서 "쿠팡이 과징금을 최대치까지 부담하게 될 가능성은 높지 않다"며 "쿠팡의 여러 이슈를 고려했을 때 SK텔레콤보다 좀 더 높은 수준의 과징금이 나오지 않을까 예상한다"고 내다봤다.
쿠팡의 개인정보 유출 지연 통보에 대한 과태료도 법정 최대치에 못 미칠 것으로 보인다. 개인정보보호법상 개인정보 유출을 인지하면 72시간 내 전문 기관에 사실을 알리고 이용자에게 즉시 유출 사실을 통지해야 한다. 이용자들에게 유출 사실을 뒤늦게 알릴 경우, 최대 3천만 원의 과태료를 부과받을 수 있다.
쿠팡은 지난달 18일 개인정보 유출 피해 사실을 처음 인지했지만, 11일이 지나고 나서야 이용자들에게 해당 사실을 알렸다. 여기서 개인정보 유출 사실을 '지체 없이' 통지해야 한다는 법적 의무를 위반했다는 지적이 많다. 또 이용자들에게 최초로 통지한 문자에서 개인정보 유출을 '노출'이라고 표현해 피해 규모를 축소하려는 것 아니냐는 비판도 제기됐다.
그럼에도 쿠팡 과태료는 법정 최대치인 3천만원 미만일 가능성이 높다. 앞서 모두투어네트워크는 306만여 명의 개인정보를 유출한 뒤 지연 통보했지만, 과태료는 1020만 원에 그쳤다. SK텔레콤도 지연 통보와 관련 과태료는 960만원에 불과하다.
개인정보 분야 전문 법무법인 청출 신준선 변호사는 통화에서 "과태료는 행정질서 별로 상한이 낮게 설정돼 있는 편"이라며 "아직까지 과태료가 법정 상한에 가깝게 부과된 사례는 거의 없다"고 말했다. 다만 "쿠팡의 경우 피해 규모와 위반 내용 등을 고려하면 기존 사례보다는 과태료가 높게 책정될 가능성은 있다"고 덧붙였다.
매출 90% 이상 한국에서 올리지만…"경제적 제재 수준 경미해" 지적
연합뉴스전문가들은 과징금·과태료가 피해 규모에 비해 낮아 경제적 제재의 효과가 약하다 지적한다. 특히 쿠팡은 매출의 90% 이상을 국내에서 올리고 있다. 여기에 3400만 명에 달하는 국민 개인정보가 유출된 '대형 사고'라는 점을 감안하면, 매출액의 3% 수준 과징금만으로는 제재가 충분하지 않다는 것이다.
법조계에서는 개인정보 유출 등을 막기 위해서는 기업에 대한 형사 처벌보다 경제적 제재를 강화하는 것이 실질적으로 피해를 방지할 수 있는 방안이라고 주장한다.
송 변호사는 "형사 처벌이 엄격해 보이지만 실제로는 무죄가 나오는 경우도 많다"며 "기업 입장에서는 개인에 대한 형사 처벌보다 거액의 과징금이나 과태료가 훨씬 부담이 된다"고 말했다.
신 변호사 또한 "해외에서는 개인정보 보호 의무를 위반할 경우 징벌적 손해배상이 대규모로 적용되는 사례가 많다"며 "기업을 규제하는 데 가장 효과적인 수단은 결국 경제적 제재"라고 강조했다. 이어 "과태료 수준을 현실화하면 즉각적인 제재가 가능하다는 점에서 효과가 클 것"이라고 덧붙였다.
실제로 해외의 경우 징벌적 과징금을 규정하는 사례가 많다.
세계법제정보센터 '세계 각국의 개인정보 유출에 대한 처벌 규정'에 따르면 독일은 유럽연합의 개인정보보호규정(GDPR)을 위반할 경우 최대 2천만 유로(약 340억원) 또는 전 세계 연간 매출액의 4% 중 더 큰 금액을 부과하도록 돼 있다. 호주의 경우는 '1988 개인정보 보호법'을 통해 최대 5천만 달러(약 480억원), 정보 이용을 통해 얻은 이익의 3배, 해당 기간 기업 매출액의 30% 중 가장 큰 금액의 금액을 과징금으로 부과하도록 규정하고 있다.
국회·정부 과징금·과태료 기준 상향 나섰지만…"소급 적용 어려워"
이런 가운데 이재명 대통령이 경제적 제재 강화를 주문하면서 정부·국회가 뒤늦게 부랴부랴 과징금·과태료 제도를 손보고 있다.
이 대통령은 11일 기획재정부 업무보고에서 쿠팡을 향해 "그런 데(개인정보를 유출한 회사)는 합당한 경제적 부담을 지워줘야 한다"고 밝혔다. 대통령실 강유정 대변인도 9일 "대통령이 조사에 강제성을 부여해 과태료를 현실화하는 방안이 도움이 될 수 있다고 언급했다"고 밝히기도 했다.
국회에서는 과징금 기준 상향에 속도를 내고 있다. 국회 정무위원회 법안심사1소위원회는 기존의 과징금 최대치인 매출액 3%를 10%까지 올리는 내용의 법안을 의결했다. 이와 함께 여야는 단체소송으로도 손해배상 청구가 가능하게 하는 법안에 대해 추가 논의 중이다.
정부는 과태료 최대치를 상향하고 있다. 과학기술정보통신부는 지연 신고에 따른 과태료를 최대 3천만 원에서 5천만 원으로 상향하는 내용의 개정안을 추진하고 있다.
다만 이 같은 개정이 이뤄지더라도 개정 전에 발생한 쿠팡 사태에 대해서는 소급 적용하기는 어려울 것으로 보인다.
송경희 개인정보보호위원장은 17일 국회 과학기술정보방송통신위원회 쿠팡 청문회에서 징벌적 과징금 규정과 관련해 "쿠팡에는 엄격한 법 적용이 필요하다고 생각한다"면서도 "이번 (징벌적 과징금) 개정으로는 일단 적용 시기를 소급하는 것은 고려하고 있지 않다"고 밝혔다. 쿠팡특별법을 만들어 징벌적 과징금을 소급 적용해야 하는 게 아니냐는 지적에는 "특별법에 대해서는 별도의 검토가 필요하다"고 소극적인 태도를 보였다.
단순히 제재 강화에 나서기보다는 구체적인 피해자 구제 방안이 필요하다는 목소리도 나온다. 송 변호사는 "과징금을 강화하는 방향으로 나아가는 건 좋다"고 평가하면서도 "한 번에 10%로 과징금 기준을 상향하는 것보다는 시민단체나 피해자들이 구제받을 수 있는 실질적인 방안을 마련하는 것이 더 필요하다"고 조언했다.