대한민국 개인정보 잔혹사, 9월 징벌적 과징금 폭탄이 몰고 올 파장

1. 내 정보가 털렸다, 웹사이트 탈퇴 대기만 39시간인 서글픈 현실

요즘 인터넷 커뮤니티를 보면 “이게 나라냐”라는 헛웃음 섞인 한탄이 자주 보인다. 정부가 불필요한 웹사이트 회원 탈퇴를 도와주겠다고 만든 개인정보포털의 예상 대기 시간이 무려 ’39시간 14분’을 기록하고 있다. 동시 대기자만 수만 명에 달하며 사실상 마비 상태를 겪었다.

이유는 명확하다. 쿠팡, 티빙 같은 거대 기업부터 정부24, 따릉이 같은 공공 서비스까지 내 소중한 정보가 동네 북마냥 털려 나가니 국민들이 극도의 불안감에 휩싸인 탓이다. 통계에 따르면 국민 10명 중 6명(57.6%)이 내 정보가 안전하지 않다고 생각하고 있다.

상황이 이렇다 보니 SNS에서는 연동 계정을 끊거나 다크웹 유출 조회를 하는 등의 ‘셀프 보호법’이 유행이다. 한 대학원생은 “뒤늦게 탈퇴해 본들 이미 전 세계로 퍼졌을 텐데 무슨 소용이 있겠냐”라며 깊은 무기력함을 토로하기도 했다. 국민들의 눈높이는 이미 우주로 가 있는데, 기업들의 보안 의식은 여전히 바닥을 기고 있다는 방증이다.

2. 쿠팡의 6249억 과징금 폭탄, 9월 이후였다면 1조 4천억이었다?

이런 민심의 분노를 정면으로 얻어맞은 첫 타자가 바로 쿠팡이다. 개인정보보호위원회는 무단으로 회원 활동 기록을 수집하고 보안 조치를 게을리한 쿠팡에 총 6,249억 원이라는 역대 최고액의 과징금을 의결했다. 털린 피해자 수만 3,755만 명으로, 사실상 대한민국 경제활동인구 전체가 털린 셈이다.

재미있는 건 쿠팡이 적용받은 법은 ‘위반 행위 당시’의 법이라 전체 매출이 아닌 쇼핑몰 관련 매출액의 약 1.56% 부과율만 적용되었다는 점이다. 상한선인 3%의 절반 수준인데도 수천억 원이 나왔다. 그런데 만약 이 사고가 오는 9월 11일 이후에 터졌다면 어떻게 되었을까?

법조계와 보안 전문가들의 시뮬레이션 결과는 가히 충격적이다. 9월부터 시행되는 새로운 개인정보보호법 개정안 과징금 체계에서는 징벌적 요건(1,000만 명 이상 유출)에 정통으로 걸려 부과율이 5.2%까지 뛰게된다. 금액으로 환산하면 무려 1조 4,000억 원이다. 말 그대로 대기업도 한 방에 골로 갈 수 있는 무시무시한 리스크의 시대가 열린 것이다.

3. 매출액 10%의 무시무시한 무게, 징벌적 과징금 도입의 결정적 계기

정부가 이처럼 칼을 무섭게 갈아엎은 계기가 있다. 작년 말 이재명 대통령은 업무보고에서 “경제 제재가 너무 약해서 기업들이 규정 위반을 밥 먹듯이 하고 신경도 안 쓴다”라며, “국민에게 피해를 주면 회사가 망한다는 생각이 들도록 엄청난 경제 제재를 가해야 한다”라고 강하게 질타했다.

쿠팡 역시 초기에는 유출 규모를 겨우 4,500건이라고 발표했다가 불과 9일 만에 3,370만 건이라고 말을 바꾸는 등 미비한 대응으로 공분을 샀다. 게다가 조사 과정에서 로그 기록을 삭제하는 등의 조사 방해 정황까지 포착되어 괘씸죄가 가중되었다.

결국 국회는 고의·중과실로 사고를 반복하거나 대규모 피해를 내면 전체 매출액의 최대 10%까지 징벌적 금액을 물릴 수 있도록 법을 통과시켰다. 과거에는 소액의 과징금만 내고 마는 일종의 ‘세금’처럼 여겼던 보안 투자가, 이제는 불이행 시 기업의 생존 자체를 송두리째 위협하는 상시적 경영 위협 요인으로 완전히 격상되었다.

4. CPO 이사회 승인 필수, 기업 보안 패러다임의 근본적 대전환

상황이 이렇게 급박하게 돌아가니 기업들의 발등에는 불똥이 떨어졌다. 거액의 과징금 벼락을 피하기 위해 내부 보안 시스템 고도화와 임직원 교육에 급하게 돈을 쏟아붓기 시작했다. 특히 이번 개정안에서는 CPO(최고개인정보보호책임자)의 권한과 책임이 하늘을 찌를 듯이 높아졌다.

앞으로 중요 데이터를 다루는 조직은 CPO를 임명하거나 바꿀 때 반드시 이사회의 승인을 거쳐 당국에 통보해야 한다. 보안 문제를 일개 IT 부서의 기술적 이슈가 아니라, 기업 경영진이 직접 책임져야 하는 최상위 의제로 끌어올리겠다는 정부의 강력한 의지다.

또한, 일정 요건을 가진 기업들은 2028년 12월 31일까지 필수적으로 ISMS-P 인증을 취득해야 하는 타임라인도 받아 들었다. 그나마 숨통이 트이는 대목은 평소에 보안 인력과 시설에 돈을 많이 쓰고 예산을 넉넉히 배정한 기업은 사후에 사고가 나더라도 과징금을 깎아준다는 조항이다. 사후 처벌보다 사전 예방에 돈을 쓰라는 당국의 영리한 유인책이다.

5. 금융권의 동의 만능주의 타파와 미래 데이터 강국의 딜레마

한쪽에서는 이렇게 규제의 빗장을 쾅쾅 걸어 잠그고 있지만, 다른 한쪽에서는 인공지능(AI) 산업 경쟁력을 위해 규제를 풀어달라는 비명이 터져 나온다. 금융위원회가 최근 30년 묵은 신용정보동의제를 개편하겠다고 칼을 빼든 이유도 바로 여기에 있다.

우리나라는 전 세계에서 가장 깐깐하게 매 단계마다 사전 동의를 요구하는 국가다. 한 대환대출 플랫폼은 제휴 은행이 한 곳 추가되었다고 수백만 고객에게 정보 제공 동의를 다시 받느라 진을 뺐다. AI 챗봇 서비스를 기획하던 은행도 계열사별 재동의 절차에 막혀 사업을 무기한 연기하는 등 웃지 못할 촌극이 비일비재했다.

일본이나 유럽은 이미 AI 개발에 데이터를 쉽게 쓸 수 있도록 특례를 도입하며 저만치 앞서 나가고 있다. 결국 대한민국은 ‘개인정보를 철저히 지키기 위해 징벌적 과징금을 때려야 하는 과제’와 ‘미래 AI 경쟁력을 위해 데이터를 유연하게 써야 하는 과제’ 사이에서 위험천만한 외줄 타기를 하고 있다. 철저한 예방 투자와 정교한 법적 조율만이 이 잔혹한 데이터 전쟁터에서 살아남을 유일한 무기다.

참고 자료

• 뉴시스 – 역대 최대 과징금 맞은 쿠팡, 9월 이후 사고났다면 ‘조 단위’
• 연합뉴스 – 쿠팡 개인정보유출 후폭풍…’매출 10%’ 징벌적 과징금 도입계기
• 서울신문 – 동의, 동의, 동의…당국 30년 묵은 신용정보동의제 개편 시동
• 연합뉴스 – [OK제보] “내 정보 지키자” 수요 폭주…’웹 탈퇴 지원’ 접속대기만 39시간
• 연합뉴스 – 개인정보 과징금 시대의 도래: PIPA 시행령 개정안, 매출액 10% 부과 기준 신설