기업-보안 강화, 정부-제도 실효성 점검, 개인정보보호 제도 재설계해야

통신 분야에서 대규모 개인정보 유출이 이어지며 국민의 불안이 커지고 있다. 기업은 보안을 강화해야 하고, 정부는 제도의 실효성을 점검해야 한다. 반복되는 사고는 어느 한쪽의 책임만으로 설명되기 어렵고, 기업의 관리와 제도의 대응이 함께 개선될 필요가 있음을 보여준다.

개인정보보호위원회는 SK텔레콤에 역대 최대 규모인 1348억 원의 과징금을 부과했다. 사고의 중대성을 고려한다 해도 과징금 산정 과정이 불투명했다는 지적을 피하기 어렵다. 전체 매출을 기준으로 계산하면서 실제 위반과 연관된 매출만 반영했는지 명확하지 않고, 일부 무관한 매출이 포함됐다는 지적도 있다. 감경 절차 역시 피해 복구와 시정 조치가 고려됐다는 원론적 설명만 있을 뿐 구체적 기준은 드러나지 않아 제도의 신뢰성을 떨어뜨린다.

문제는 기업들이 이런 제재에 대응하는 방식이다. kKT나 롯데카드 사례처럼 신고가 지연되거나 피해 규모가 축소돼 발표되는 일이 반복되고 있다. 실제 '2024 정보보호 실태조사’에 따르면 침해 사고를 경험하고도 신고한 기업은 20%에 불과했다. 기업이 처벌을 피하려는 유인을 가진다면 과징금 강화만으로는 실효성을 담보하기 어렵다.

과징금 강화가 곧바로 보안 향상으로 이어지지 않는다는 점은 금융권과 통신 분야의 반복된 사례가 보여준다. 기업이 규제 대응에 자원을 소모하기보다 근본적 보안 강화에 나서도록 유도해야 한다. 행정적 과징금만이 아니라, 피해 구제와 기업 개선을 결합한 다층적 제도가 필요하다.

기업의 책임은 기본이다. 이번 사건을 계기로 IT기업들은 보안 체계를 강화해야 한다. 동시에 정부 제도도 합리적이고 예측 가능해야 한다. 과징금 산정 기준과 감경 사유를 명확히 하고 절차를 투명하게 공개해야 한다. 

징벌적 과징금보다 집단소송과 손해배상 같은 민사적 방식이 더 적절할 수 있다. 미국에서는 T모바일이 대규모 해킹 이후 4조 원대 배상 합의와 별도 보안 투자를 단행한 바 있다. 이를 통해 피해자 구제와 기업 개선을 동시에 달성할 수 있어야 한다.

반복되는 개인정보 유출은 기업과 정부 모두의 변화를 요구한다. 기업은 책임 있는 보안 투자를 지속해야 하고, 제도는 예측 가능성이 있어야 한다. 여기에 피해자가 직접 구제받을 길까지 열려야 한다. 세 축이 균형을 이룰 때 비로소 처벌은 단순한 제재를 넘어 예방과 신뢰 회복의 수단이 될 수 있다. 

김상엽 자유기업원 연구원