[서울=뉴시스]윤정민 기자 = 개인정보 유출 기업에 부과하는 과징금 계산 방식을 다시 살펴야 한다는 법학계 지적이 나왔다. 개인정보 유출은 기업이 위반 행위로 직접 이익을 얻는 담합 등과 성격이 다른데도 매출액을 중심으로 같은 계산식을 적용하는 것이 적절하냐는 주장이다.

 김태오 국립창원대 법학과 교수는 21일 오후 서울 중구 한국프레스센터에서 행정법이론실무학회와 정보통신정책학회, 서울대 공익산업법센터가 공동 주최한 학술대회에서 "개인정보보호법상 과징금을 부과할 수 있는 법 위반 유형은 각각 특성과 책임의 정도가 다른데 이와 무관하게 모두 동일한 산정 기준이 마련돼 있다"며 "위반 유형별로 과징금 산정 체계를 차등화할 필요가 있다"고 밝혔다.

김 교수는 개인정보 유출이 담합이나 시장지배적 지위 남용 등 전통적인 과징금 부과 대상과 성격이 다르다고 지적했다.

김 교수는 과징금을 ▲부당이득 환수형 ▲제재 기능이 결합된 이득 환수형 ▲영업정지 대체형 ▲순수 행정제재형으로 구분했다. 개인정보 유출 과징금은 기업이 취득한 이익을 되찾는 수단이라기보다 법 위반을 억제하기 위한 순수 제재에 가깝다는 설명이다.

담합이나 부당한 개인정보 이용은 위반 행위로 매출이나 이익이 늘어날 수 있다. 하지만 외부 해킹으로 개인정보가 유출된 기업은 직접적인 이익을 얻기보다 시스템 복구 비용과 고객 이탈, 주가 하락, 손해배상 위험 등을 함께 부담한다.

김 교수는 "결과책임형의 경우 부당이득이 없는데 매출액을 기반으로 과징금을 산정하는 것은 위반 유형과 맞지 않는 구조"라며 유출 건수와 정보 민감도 등 직접적인 피해 지표를 중심으로 산정하고 매출액은 보조 지표로 활용하는 방안을 제안했다.

◆"정보 유출과 무관한 매출, 기업이 증명해야"

개인정보보호위원회는 개인정보 보호법을 위반한 사업자에게 과징금을 부과할 때 직전 3개 사업연도의 연평균 전체 매출액에서 위반 행위와 관련이 없는 매출액을 제외한 금액을 기준으로 삼는다.

위반 행위 중대성에 따른 부과기준율을 적용한 뒤, 위반 기간과 횟수, 피해 회복 노력, 조사 협조 여부 등을 반영해 가중·감경한다.

'관련 없는 매출액'을 제외하려면 기업이 해당 매출이 개인정보 처리나 위반 행위와 무관하다는 점을 입증해야 한다. 개인정보가 여러 서비스와 데이터베이스에서 함께 사용되는 플랫폼이나 유통기업은 어느 매출이 유출과 무관한지 구분하기 쉽지 않다는 지적이 나온다.

배기철 경희대 법학전문대학원 교수는 이러한 방식이 과징금 산정 범위에 관한 입증 책임을 개인정보위에서 기업으로 사실상 전환한 구조라고 지적했다. 과징금 부과 근거와 계산 기준은 원칙적으로 개인정보위가 증명해야 하는데 기업이 스스로 무관한 매출을 가려내 증명하도록 했다는 주장이다.

배 교수는 개인정보 유출을 다른 위반 행위와 구분해 원칙적으로 일정한 상한을 둔 정액 과징금 방식으로 전환해야 한다고 주장했다. 또 외부 해킹인지 내부자의 고의·과실인지, 유출 정보의 유형과 규모가 어떠한지를 고려해 금액을 차등화해야 한다고 제안했다.

◆민간엔 수천억, 공공기관엔 수억원…매출액 기준 형평성 논란

매출액 중심의 산정 방식이 민간기업과 공공기관 사이의 제재 격차를 키운다는 지적도 나왔다. 민간 대기업은 전체 매출액을 토대로 수천억원대 과징금이 가능하지만, 공공기관은 영리활동을 하지 않아 매출액 산정이 어려워 상대적으로 낮은 정액 과징금이 적용될 수 있기 때문이다.

배 교수는 개인정보 유출 위험이 처리 주체가 민간인지 공공인지에 따라 본질적으로 달라지지 않으며 공공기관은 오히려 주민등록번호와 민감정보 등 피해 파급력이 큰 정보를 대량 보유하고 있다고 지적했다.

예를 들어 법원행정처는 북한 해킹조직이 법원 전산망에 장기간 침투해 대규모 자료를 빼낸 사건으로 지난해 1월 과징금 2억700만원을 부과받았다. 하지만 SK텔레콤과 쿠팡에는 각각 1300억원대, 6200억원대 과징금이 부과됐다.

홍대식 서강대 법학전문대학원 교수는 공공기관에 대해서는 연간 예산액을 매출액 대신 활용하거나 별도의 가중 상한을 마련하는 방식으로 민간과의 제재 격차를 줄여야 한다고 말했다.

김 교수도 과징금 액수 자체보다 적발 가능성과 집행 확실성, 고객 이탈과 브랜드 가치 하락 등 시장이 부과하는 비용이 위반 행위를 억제하는 데 더 크게 작용할 수 있다고 분석했다. 그는 "과징금 액수만 높이는 것이 억지력을 발휘하는 유일한 방법은 아니다"라고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com