시사1 장현순 기자 | 오는 9월부터 대규모 개인정보 유출 기업에 대해 최대 매출액의 10%를 부과하는 ‘징벌적 과징금’ 제도가 시행된다. 최근 초대형 개인정보 유출 사고가 잇따른 가운데 첫 적용 사례가 어느 기업이 될지 업계의 긴장감도 커지고 있다.
5일 개인정보보호위원회에 따르면 개정 개인정보보호법이 오는 9월 11일부터 시행된다. 개정안은 최근 3년 내 고의 또는 중대한 과실로 개인정보 유출 사고를 반복하거나, 1000만 명 이상 정보주체의 개인정보를 유출한 기업에 대해 전체 매출액의 최대 10%를 과징금으로 부과할 수 있도록 했다.
기존 과징금 상한이 전체 매출액의 3%였던 것과 비교하면 제재 수위가 대폭 강화됐다. 징벌적 과징금은 위반 행위에 따른 실제 피해 규모를 넘어서는 수준의 제재를 부과하는 제도다.
이번 제도 도입은 최근 발생한 대규모 개인정보 유출 사고가 계기가 됐다. 쿠팡에서는 3756만명, SK텔레콤에서는 2324만명 규모의 개인정보 유출 사고가 발생하면서 기업의 개인정보 보호 책임을 강화해야 한다는 목소리가 커졌다.
업계에서는 개정법 시행 이후 첫 징벌적 과징금 부과 사례가 갖는 상징성이 큰 만큼 ‘1호 제재 기업’이 되는 것을 경계하는 분위기다.
한 정보통신업계 관계자는 “첫 징벌적 과징금 사건은 상징성이 큰 데다 개인정보 유출에 대한 사회적 경각심도 높아 개인정보보호위원회가 낮은 수준의 과징금을 부과하기는 쉽지 않을 것”이라고 전망했다.
단 지난달 개인정보 유출 사고가 발생한 온라인동영상서비스(OTT) 티빙은 개정법 적용 대상에서는 제외된다. 티빙은 약 1953만명의 개인정보가 유출된 것으로 집계돼 개정법상 ‘1000만 명 이상 유출’ 기준에는 해당하지만, 사고가 법 시행 이전에 발생해 소급 적용을 받지 않는다.
업계는 특히 티빙에서 유출된 정보에 CI(연계정보)가 포함된 점을 주목하고 있다. CI는 본인확인기관이 개인에게 부여하는 고유 식별값으로, 여러 사이트에서 동일하게 사용되는 특성 때문에 ‘온라인 주민등록번호’로 불린다. 이미 유출된 다른 개인정보와 결합될 경우 개인 식별이 쉬워져 명의도용 등 2차 피해로 이어질 가능성이 있다는 우려가 제기된다.
개인정보보호위원회 관계자는 “티빙 사건은 개정법 시행 이전에 발생해 적용 대상은 아니다”라면서도 “개정법 시행 이후 어떤 사건이 첫 징벌적 과징금 적용 사례가 될지는 내부에서도 관심 있게 지켜보고 있다”고 말했다.
