쿠팡과 SK텔레콤에서 대규모 개인정보 유출 사고가 잇따르면서 국내 기업의 보안 체계가 구조적으로 취약하다는 지적이 나오고 있다. 사고 이후 부과되는 과징금과 민사 배상액이 기업 경영에 실질적인 영향을 미치기 어려운 수준이기 때문에 해킹 피해가 반복돼도 소비자 보호 체계가 강화되지 않는다는 분석이 제기됐다.
SK텔레콤은 최근 사고로 1347억9000만원의 과징금을 부과받았다. 이는 2024년 연결 기준 매출 약 17조6000억원의 0.76%에 해당한다. 현행 개인정보보호법상 과징금 상한은 매출의 3%이지만, 실제 부담은 법적 상한의 4분의 1에도 미치지 못하는 수준이다.
대기업이 보안 인력 확충, 시스템 고도화, 연간 유지비와 모니터링 비용을 포함해 보안 체계를 업그레이드하는 데는 수백억원에서 수천억원이 필요하다. 반면 사고 발생 후 부담하는 과징금과 배상액은 이보다 낮은 수준에 머물러 있다는 지적이다. 글로벌 금융·IT 기업들은 매출의 0.5~0.7%를 보안 예산으로 고정 배정하고 JP모건, 뱅크오브아메리카 등은 매년 1조원 이상을 사이버 보안에 투자하는 것과 대비된다.
국내 기업 상당수는 보안 관련 투자를 최소 운영 범위에서만 유지하고 사이버보험 가입도 법이 요구하는 수준에 머물고 있다. 손해보험업계는 매출 10조원 이상, 정보주체 1000만명 이상인 초대형 기업의 사이버보험 최소 가입 한도를 현재 10억원에서 최소 1000억원 수준으로 상향해야 한다고 주장했다.
정광민 포항공대 교수는 2014년 카드사 고객 정보 유출 사건과 2016년 인터파크 사고의 최종 배상 책임이 소송에 참여한 고객 기준 1인당 10만원 수준에 그쳤다고 설명했다. 배상액이 작아 기업이 사이버보험을 적극적으로 가입할 유인이 높지 않다는 것이다. 유출된 개인정보는 장기간 외부에 남아 2차 금융사기, 스미싱, 계정 탈취 등으로 이어질 위험이 크지만 실제 피해 보상은 제한적이며 사고 공지 지연이나 책임 제한 규정으로 실질적 보호가 충분하지 않다는 비판이 제기된다.
정부는 제도 개선에 착수했다. 쿠팡 사고 이후 징벌적 과징금 도입, 대표자 책임 강화, 손해배상 실효성 제고 등 제재 수준 상향을 검토하고 있으며 개인정보위와 관계부처 합동으로 계정 탈취, 스미싱 등 2차 피해 방지 대응을 가동 중이다. 김민석 국무총리는 지난 10일 정부서울청사에서 열린 제7회 국가정책조정회의에서 국민 정보 보호는 플랫폼 기업의 기본 책무라고 강조하며 사후 대응 중심 체계를 예방 중심으로 전환하겠다고 밝혔다.
더불어민주당은 대규모 유출 기업에 매출의 최대 10%까지 과징금을 부과할 수 있도록 개인정보보호법 개정안을 발의했다. 반복적이고 중대한 유출에 대해 EU, 중국, 싱가포르 수준의 강력한 제재로 실효성을 높이겠다는 취지다.
