개인정보 유출기업에 ‘매출의 10%’ 징벌적 과징금 매긴다

개인정보위 대통령 업무보고
현행 3%서 10%로 기준 강화
'의원 발의안과 동일'···통과 힘실릴듯
집단소송제 도입 논의에도 참여

개인정보보호위원회가 대형 개인정보 유출사건이나 반복적인 사고를 일으킨 기업에는 최대 매출액의 10%에 해당하는 과징금을 매기는 방안을 추진한다. 아울러 현재 증권분야에만 도입돼 있는 집단소송제도를 개인정보 분야에도 도입하는 방안을 검토한다. 사고 발생 이전에 기업들의 예방 투자를 확대하기 위한 취지다.

12일 개인정보보호위원회는 정부세종컨벤션센터에서 열린 대통령 업무보고에서 이같은 내용을 포함한 2026년도 업무 계획을 보고했다. 위원회는 우선 반복적이고 중대한 위반 행위를 한 기업에 대해 과징금 기준을 기존 매출의 3%에서 10%로 상향하는 조항을 신설하기로 했다. 현재 개인정보보호법은 개인정보 유출 사고를 일으킨 기업에 대해 전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 규정하고 있다. 이를 최대 매출액의 10%로 기준을 높여 필요시 현행보다 3배 이상 강력한 규제를 할 수 있도록 한다는 계획이다. 다만 관련이 없는 분야의 매출을 제외할 수 있다는 규정은 유지되며 중소기업 등의 과징금 부담을 고려해 기존 3% 과징금 기준도 유지한다. 즉 △고의·중과실 △대규모 피해 등 특정 조건을 충족할 때만 10%를 도입하는 구조다.

이와 관련 최근 박범계 더불어민주당 의원 등은 9일 매출의 최대 10%까지 과징금을 부과할 수 있다는 내용의 개인정보보호법 개정안을 발의했다. 법안에는 △최근 3년간 고의 또는 중대한 과실로 인해 위반행위를 반복한 경우 △고의 또는 중대한 과실로 대규모(1000만명 이상)의 정보주체에게 피해를 초래한 경우 △시정명령 불이행으로 개인정보 유출한 경우 등을 징벌적 과징금 부과 대상으로 한정했다. 송경희 개인정보위원회 위원장은 “(국회 발의 법안과) 같은 입장이고 같이 추진하고 있다”며 “필요성에 대한 국민적 공감대가 이뤄지고 있기 때문에 신속하게 진행될 것으로 보고 있으며 위원회도 최대한의 노력을 하고 있다”고 말했다.

다만 법안이 통과되더라라도 쿠팡에 적용하기는 어려울 전망이다. 송 위원장은 “개별 사안별로 살펴야 하지만 징벌적 과징금은 개정 이전의 사건에 적용하기는 어려울 것으로 보고 있다”고 말했다.

개인정보위는 이와 함께 개인정보 유출사고 발생시 단체소송을 통해 손해배상을 받을 수 있도록 하는 방안도 추진한다. 현재 개인정보 유출사고 발생시 집단 분쟁 조정이 이뤄지지 않아 단체 소송으로 넘어가더라도 손해배상은 받지 못한다. 단체 소송을 통해서는 손해 배상 규정이 없어서다. 손해배상을 받기 위해서는 개인이 일일이 법무법인을 통해 소송 신청을 해야 한다.

위원회는 이에 단체 소송을 통해 손해배상을 받을 수 있도록 하는 방안을 추진하는 동시에 집단소송에 대한 논의에도 참여하겠다고 보고했다. 집단소송제도는 피해자 일부가 대표로 소송에서 이기면 소송에 참여하지 않은 소비자도 모두 배상 받을 수 있는 방식(옵트-아웃)이다. 다만 현재 우리나라는 집단 소송제가 증권 분야만 허용된다.

이와 관련 이재명 대통령은 이날 업무보고 현장에서 “개인정보 유출 사고를 단체소송, 집단소송 허용 대상으로 만들겠다고 했는데 지금 전 국민이 피해자”라며 “소송하려면 소송비가 더 들게 생겨서 집단소송도 꼭 도입해야 할 것 같다. 입법에 속도를 내주길 바란다”고 말했다.

이밖에 위원회는 정보보호 및 개인정보 보호 관리체계(ISMS-P) 인증을 받을 때 현장 기술심사를 강화하는 등 인증제도의 실효성 강화도 추진한다. 내년 상반기까지는 기업 대표자(CEO)에게 안전한 개인정보의 처리·보호에 관한 최종책임자로서의 관리 의무를 법제화하는 방안도 추진된다. 일부 담당자의 업무가 아니라 기업 전체가 참여해야 하는 일이라는 인식을 갖도록 하기 위한 취지다.

위원회는 더불어 △기술분석센터 구축 △적극적 투자기업에 과징금 감경 △AX혁신지원 헬프데스크 운영 △안전한 마이데이터 생태계 조성 등을 내년도 주요 과제로 보고 했다.

송 위원장은 “개인정보 유출 사고가 급증하고 AI전환으로 데이터 수요도 커지면서 개인정보 보호체계를 근본적으로 전환해야 하는 시점”이라며 “서면이 아닌 현장 중심으로, 사후 제재가 아닌 사전 예방으로 패러다임을 바꾸어 나갈 것”이라고 말했다.

김흥록 기자 rok@sedaily.com
[ⓒ 서울경제, 무단 전재 및 재배포 금지]