징벌적 과징금으로 개인정보보호 못 한다

최근 SK텔레콤과 KT, LG유플러스 등 주요 통신사에서 연이어 대규모 해킹과 개인정보 유출 사건이 발생하면서 사회적 불안이 확산되고 있다. 특히 SK텔레콤의 경우 2300만 명이 넘는 고객 정보 유출에 대해 개인정보보호위원회(이하 개보위)가 역대 최대 규모인 1347억 원의 과징금을 부과했다. 그러나 실제 피해나 기업의 부당이득이 없었음에도 불구하고 '징벌적 과징금’이 남발된다는 형평성 논란이 불거지고 있다.

문제의 본질은 과징금 액수의 크기에 있지 않다. 정부가 '본보기식 처벌’에만 집중한다면, 시장의 불확실성을 키우고 기업의 미래 투자 여력을 위축시키는 부작용을 낳을 수밖에 없다. 특히 인공지능, 데이터 기반 서비스 등 신산업 투자가 한창인 시점에 수천억 원대 과징금이 일상화된다면 IT산업 전반의 경쟁력이 심각하게 훼손될 위험이 있다.

구글은 동의 없이 개인정보를 수집해 광고에 활용했는데도 692억 원 과징금에 그쳤다. 반면 SK텔레콤은 해킹 피해를 입은 상황이고 부당한 이득도 취하지 않았는데 2배 이상 높은 과징금을 부과받았다. 과징금 제도의 본질은 부당이득 환수에 있다. 부당이득이 없는 상황에서 제재적 성격만으로 1300억 원대 과징금을 매기는 것은 과도함을 넘어 불합리한 측면이 있다.

이처럼 제재가 형평성을 잃을 경우에 규제는 오히려 정책 신뢰를 해칠 수 있다. 과징금은 본래 위법 행위로 얻은 이익을 환수하는 성격이어야 하며, 징벌적 처벌은 별도의 법적 근거와 사회적 합의를 바탕으로 제한적으로 적용해야 한다. 지금처럼 규제기관의 재량에 따라 부당이득 여부와 상관없이 최고액 수준의 과징금이 부과된다면, 이는 기업 입장에서 예측 불가능한 위험이자 사실상 '벌금형 규제’에 다름 아니다.

개보위가 강조하듯, 개인정보보호는 더 이상 부차적 관리 항목이 아니라 기업경영의 핵심 과제다. 하지만 이를 달성하는 수단이 '규제와 과징금 강화’로만 귀결된다면 균형을 잃는다. 보안 투자는 기업의 자율적 판단과 장기적 전략을 통해 이루어져야 하며, 정부는 이를 가능케 하는 제도적 기반을 마련하는 데 힘써야 한다. 

지금 필요한 것은 '징벌’이 아니라 '혁신’이다. 민간 IT기업들이 오히려 해킹 피해자이기도 한 만큼, 자체적으로 첨단 보안 체계를 구축할 수 있도록 약 1년 정도의 제도적 유예와 준비 기간을 보장해야 한다. 글로벌 해커 조직의 공격이 점점 지능화되고 장기화되는 만큼, 기업이 단기간 내 완벽한 방어망을 구축하는 것은 불가능하다. 정부는 민간이 주도적으로 보안 역량을 고도화할 수 있도록 규제 일변도가 아닌 유연한 이행 계획을 제시해야 한다.

동시에 국가 차원의 지원과 뒷받침도 필수적이다. 개인정보보호는 기업 단독으로 감당하기 어려운 공공재적 성격을 가진다. 따라서 정부는 R&D 지원을 통해 보안 기술 혁신을 촉진하고, 민·관 협력 체계를 강화하여 사이버 위협에 공동 대응할 수 있는 기반을 마련해야 한다. 단순히 사고 발생 후 사후 징벌에 나서는 것이 아니라, 사전에 보안 투자가 지속될 수 있는 제도적 환경을 조성하는 것이 더 현명한 접근이다.

즉, 과징금은 불법이익 환수 수단이지 피해자 구제나 보안 강화 장치가 아니다. 정부의 역할은 징벌적 규제에서 벗어나, 진정한 국민들의 개인정보보호 및 사이버보안 역량 강화를 위한 기반 조성에 있다. 아울러 이를 계기로 AI․빅데이터 시대 IT기업들의 정보보호 R&D 및 약 2천억달러 규모 사이버보안 시장에 대한 투자와 성장을 도모하는 기회로 삼을 필요가 있다. 

고광용 자유기업원 정책실장