제2의 쿠팡 사태 막는다… 반복 개인정보 유출 땐 과징금 감경 원천 차단

최근 쿠팡에서 약 3,370만 명 규모의 대규모 개인정보 유출 사고가 발생한 가운데, 과징금·과태료가 또다시 감경될 수 있다는 관측이 나오며 국민적 공분이 커지고 있다. 쿠팡은 과거에도 개인정보 유출 사고로 제재를 받았지만 과징금이 대폭 감경된 전례가 있어, 이번 사안 역시 ‘솜방망이 처벌’로 끝나는 것 아니냐는 우려가 확산되고 있다.

이와 관련해 더불어민주당 조인철 국회의원(광주 서구갑·국회 과학기술정보방송통신위원회)은 22일, 동일한 개인정보 침해 행위가 반복될 경우 과징금 감경을 제한하는 내용을 담은 「개인정보 보호법 일부개정법률안」을 대표 발의했다고 밝혔다.

이번 개정안은 최근 3년 이내 동일한 위반행위로 과징금이 부과된 이력이 있는 경우, 과징금 감경을 허용하지 않도록 명시했다. 반복적인 개인정보 유출에도 제재 수위가 낮아지는 구조적 허점을 차단해, 기업의 책임성을 실질적으로 강화하겠다는 취지다.

현행 개인정보 보호법은 위반 기업에 대해 전체 매출액의 3% 이내에서 과징금을 부과하도록 하고 있다. 그러나 하위 법령에서는 정보보호 관리체계 인증(ISMS-P) 획득, 조사 협조 등 이른바 ‘개인정보 보호를 위한 노력’을 이유로 최대 50%까지 과징금 감경이 가능하도록 규정돼 있다. 이로 인해 동일한 개인정보 침해 행위가 반복돼도 제재가 크게 약화되는 구조가 고착화됐다는 비판이 지속적으로 제기돼 왔다.

실제로 쿠팡은 2023년 12월, 주문자·수취인 등 2만2,440명의 개인정보를 유출하는 사고를 일으켰음에도, 2024년 11월 개인정보보호위원회 제재 과정에서 ISMS-P 인증 획득과 조사 협조 등을 이유로 과징금이 대폭 감경됐다. 최초 산정된 과징금 약 39억 원은 세 차례 감경을 거쳐 최종 약 13억 원으로 줄었다.

조 의원은 이 같은 문제를 지적하며, 지난 12월 2일 국회 과학기술정보방송통신위원회 쿠팡 현안 질의와 17일 쿠팡 청문회에서 개인정보보호위원장과 부위원장을 상대로 "과거 개인정보 유출로 과징금을 감경받은 기업이 동일한 사고를 반복해도 ISMS-P 인증을 이유로 다시 최대 50%까지 감경받을 수 있는 것이 사실이냐"고 질의했다. 이어 "수천만 명의 개인정보가 유출된 중대한 사안인 만큼 과징금은 최대한 엄중하게 부과돼야 한다"고 강조했다.

이에 대해 개인정보보호위원회 위원장과 부위원장은 "사안의 엄중성에 따라 엄격히 판단하겠다"고 답변했지만, 반복 위반에 대한 명확한 감경 제한 규정이 없다는 제도적 한계가 드러났다는 평가가 나온다.

조 의원은 "같은 기업이 같은 사고를 반복해도 처벌이 깎인다면, 이는 개인정보 보호에 실패해도 괜찮다는 잘못된 신호를 주는 것"이라고 지적했다.

이어 "정보보호 인증과 같은 사전적 노력은 존중돼야 하지만, 동일한 개인정보 유출이 반복되는 상황에서까지 감경 사유로 작동해서는 안 된다"며 "반복 위반에 대해서는 예외 없는 경제적 책임을 부과해야만 제2, 제3의 쿠팡 사태를 막고 기업의 보안 투자와 국민의 개인정보 보호를 실질적으로 강화할 수 있다"고 강조했다.

최근 쿠팡에서 약 3,370만 명 규모의 대규모 개인정보 유출 사고가 발생한 가운데, 과징금·과태료가 또다시 감경될 수 있다는 관측이 나오며 국민적 공분이 커지고 있다. 쿠팡은 과거에도 개인정보 유출 사고로 제재를 받았지만 과징금이 대폭 감경된 전례가 있어, 이번 사안 역시 ‘솜방망이 처벌’로 끝나는 것 아니냐는 우려가 확산되고 있다.

이와 관련해 더불어민주당 조인철 국회의원(광주 서구갑·국회 과학기술정보방송통신위원회)은 22일, 동일한 개인정보 침해 행위가 반복될 경우 과징금 감경을 제한하는 내용을 담은 「개인정보 보호법 일부개정법률안」을 대표 발의했다고 밝혔다.

이번 개정안은 최근 3년 이내 동일한 위반행위로 과징금이 부과된 이력이 있는 경우, 과징금 감경을 허용하지 않도록 명시했다. 반복적인 개인정보 유출에도 제재 수위가 낮아지는 구조적 허점을 차단해, 기업의 책임성을 실질적으로 강화하겠다는 취지다.

현행 개인정보 보호법은 위반 기업에 대해 전체 매출액의 3% 이내에서 과징금을 부과하도록 하고 있다. 그러나 하위 법령에서는 정보보호 관리체계 인증(ISMS-P) 획득, 조사 협조 등 이른바 ‘개인정보 보호를 위한 노력’을 이유로 최대 50%까지 과징금 감경이 가능하도록 규정돼 있다. 이로 인해 동일한 개인정보 침해 행위가 반복돼도 제재가 크게 약화되는 구조가 고착화됐다는 비판이 지속적으로 제기돼 왔다.

실제로 쿠팡은 2023년 12월, 주문자·수취인 등 2만2,440명의 개인정보를 유출하는 사고를 일으켰음에도, 2024년 11월 개인정보보호위원회 제재 과정에서 ISMS-P 인증 획득과 조사 협조 등을 이유로 과징금이 대폭 감경됐다. 최초 산정된 과징금 약 39억 원은 세 차례 감경을 거쳐 최종 약 13억 원으로 줄었다.

조 의원은 이 같은 문제를 지적하며, 지난 12월 2일 국회 과학기술정보방송통신위원회 쿠팡 현안 질의와 17일 쿠팡 청문회에서 개인정보보호위원장과 부위원장을 상대로 "과거 개인정보 유출로 과징금을 감경받은 기업이 동일한 사고를 반복해도 ISMS-P 인증을 이유로 다시 최대 50%까지 감경받을 수 있는 것이 사실이냐"고 질의했다. 이어 "수천만 명의 개인정보가 유출된 중대한 사안인 만큼 과징금은 최대한 엄중하게 부과돼야 한다"고 강조했다.

이에 대해 개인정보보호위원회 위원장과 부위원장은 "사안의 엄중성에 따라 엄격히 판단하겠다"고 답변했지만, 반복 위반에 대한 명확한 감경 제한 규정이 없다는 제도적 한계가 드러났다는 평가가 나온다.

조 의원은 "같은 기업이 같은 사고를 반복해도 처벌이 깎인다면, 이는 개인정보 보호에 실패해도 괜찮다는 잘못된 신호를 주는 것"이라고 지적했다.

이어 "정보보호 인증과 같은 사전적 노력은 존중돼야 하지만, 동일한 개인정보 유출이 반복되는 상황에서까지 감경 사유로 작동해서는 안 된다"며 "반복 위반에 대해서는 예외 없는 경제적 책임을 부과해야만 제2, 제3의 쿠팡 사태를 막고 기업의 보안 투자와 국민의 개인정보 보호를 실질적으로 강화할 수 있다"고 강조했다.