우영우에 나온 '개인정보유출 과징금 3천억원', 실제일까?

방통위 아닌 개인정보위가 담당, 담당법도 '정보통신망법'이 아닌 '개인정보보호법'
개인정보보호법 위반시 과징금 상한선 상향 개정안, 국회계류만 11개월째
과징금 상한선 적정성 두고 당국-업계 이견도 지속

'이상한 변호사 우영우'

# 국내 최대 온라인 쇼핑몰 '라온'이 해커의 공격을 받아 4000만건의 개인정보가 유출되는 사건이 발생한다. 정보통신망법 개정으로 라온은 매출액의 1%에 해당하는 3000억원의 과징금 부과조치를 받았다.

인기리에 방영되고 있는 드라마 '이상한 변호사 우영우'에서 지난 17일 방영된 사례였다. 드라마 속 허구의 사례이기는 하지만 '4000만건'이라는 개인정보 유출에 '3000억원'이라는 과징금 규모가 눈길을 끌었다.

하지만 드라마는 드라마일 뿐. 현행 법규와는 상당히 거리가 있다.

방통위가 아니라 개인정보위

일단 드라마 속 라온에 과징금 3000억원을 부과한 당국은 방송통신위원회로 소개되지만 현재 개인정보 관련 업무는 개인정보보호위원회(이하 개인정보위)가 담당하고 있다. 관할법도 정보통신망법이 아니라 개인정보보호법이다.

공교롭게도 해당 회차가 방영된 이튿날인 18일은 개인정보위가 출범 2주년을 맞아 기자간담회를 개최했다. 이날 윤종인 개인정보위 위원장은 해당 장면에서 '방통위' '정보통신망법'으로 소개되고 자막으로만 개인정보위 및 개인정보보호법이 안내된 데 대해 "우리가 홍보하고, 국민에게 많이 알리고 있지만 국민들이 개인정보위가 출범했고, 일하고 있다는 것에 대한 인지도가 낮은 편인 듯하다"고 아쉬움을 표하기도 했다.

개인정보위는 2011년 9월 공식 출범했는데 2020년 행정안전부(공공·민간 총괄), 방통위(온라인), 금융위원회(상거래기업 개인신용정보 조사·처분) 등에 분산돼 있던 개인정보보호 감독기능을 통합해 장관급 부서로 승격됐다. 이 과정에서 드라마에 소개된 정보통신망법의 관련 조항이 개인정보보호법으로 넘어오게 됐다.

개인정보보호법 제39조의15조는 △동의를 얻지 않은 채 개인정보를 수집·이용하는 행위 △만14세 미만 아동의 개인정보를 수집하는 행위 △안전조치 미이행으로 개인정보 분실·도난·유출 등 사고를 초래한 행위 등이 발생했을 때 '위반행위와 관련한 매출의 3%'를 상한으로 하는 과징금을 부과할 수 있다고 규정하고 있다.

과징금 상한액, '관련매출 3%'에서 '전체매출 3%'로

개인정보위는 지난해 9월 개인정보보호법 개정안을 제출했다. 여기에는 △개인정보 전송요구권 조항 신설 △실효성 없는 규제조항의 대폭 정비 등 내용이 포함돼 있다. 그리고 과징금 부과기준을 현재 '관련 매출의 3%'에서 '전체 매출의 3%'로 바꾸는 내용도 들어가 있다.

이를테면 A라는 기업이 3가지 사업부문을 운영해 연간 3000억원의 매출을 달성하고 각 사업부문별로 1000억씩의 매출을 달성했다고 치자. 이 중 한 사업부문에서 개인정보보호법 위반행위가 발생했을 때 A사가 물어야 하는 과징금의 상한액은 30억원(해당 사업부문 매출 1000억원의 3%)이다. 만약 개정안이 통과될 경우 A사가 물어야 할 과징금 상한액은 90억원(전체 매출 3000억원의 3%)으로 늘어난다. 실제 기업의 '관련 매출'이 얼마나 되는지 정확히 산정하기 어렵기 때문에 과징금 제도의 실효성이 떨어질 수 있는 데다 글로벌 주요국의 경우에도 '전체 매출'을 기준으로 과징금을 부과하고 있다는 점 등이 이유였다.

하지만 이같은 과징금 기준 상향은 언제 시행될지 미지수다. 지난해 9월 개정법 발의이후 상임위원회인 정무위원회로 법안이 넘어갔지만 아직 법안심사소위에 배정됐을 뿐 논의가 진행되지 않은 상태다. 게다가 2020년 출범한 제21대 국회의 임기 4년 중 올해로 2년째가 지나면서 정무위 위원들의 구성이 대폭 변경된 만큼 법안이 조속히 논의될 가능성은 극히 낮아보인다.

삽화=임종철 디자이너 /사진=임종철

"당국의 유연성 있는 대처 필요" 지적도

과징금 기준 상향에 대한 업계의 반발도 거세다. 개인정보위는 개인정보보호법 위반에 대해 형사벌은 줄이되 과징금 등의 형태로 경제벌의 비중을 높인다는 차원에서 이번 과징금 기준 상향을 추진하고 있지만 기업은 자칫 대규모 과징금으로 존폐위기에 놓일 수 있다는 점을 우려해왔다. 앞서 유럽의 경우 글로벌 플랫폼에대한 견제차원에서 강력한 제재가 이뤄지는데 반해 우리의 경우 자칫 개정법 시행시 국내 IT플랫폼, 대기업들만 피해를 보는 '기울어진 운동장'이 될수 있어서다. 실제 페이스북 등 외국플랫폼 기업은 정부 조사에 미온적이다.

업계에서도 실제 적용에 있어서는 당국이 유연성을 발휘할 필요가 있다고 본다. 한 업계 관계자는 "우영우 드라마에 나온 라온 역시 해커의 공격에 개인정보가 털렸던 것"이라며 "개인정보 유출방지를 위한 조치를 했음에도 해커의 공격에 당한 것이기 때문에 아무런 조치가 없었던 경우와 동일하게 봐서는 안된다"고 했다.

이 관계자는 "개인정보 유출 사실을 모르는 이들도 현재 법규상으로는 '피해자'로 간주가 된다"며 "유출된 개인정보로 인한 추가적 피해가 없을 때도 해커에게 당한 기업에 징벌 성격의 과징금을 물리는 것은 부당할 수 있다"고 했다. 추후 시행령이나 시행규칙을 제정하는 과정에서 세부적으로 고려할 부분이 많다는 지적이다.