고객정보 유출 의무위반 사실만으로도 처벌

방통위, 연내 법률개정 제재수위 대폭 강화
'인과관계 입증' 없이도 과징금 부과 가능
“지나친 규제…기업활동 위축 우려” 지적도
정부가 기업의 고객정보 유출시 보호 의무위반 사실 확인만으로도 해당 기업을 처벌할 수 있도록 법령 개정을 추진한다. 잇단 법률 개정으로 개인정보 유출에 대한 처벌을 강화했지만, 실효성이 떨어진다는 지적에 따라 제재를 한층 강화하는 것이다.

16일 업계에 따르면 방송통신위원회가 정보통신망법을 개정해 개인정보 유출 사고를 일으킨 기업에 대한 처벌을 강화하기로 하고 법령 개정 작업에 돌입한 것으로 확인됐다.

방통위 핵심 관계자는 "처벌 강화 등을 골자로 하는 정보통신망법 개정을 올해 안에 추진할 계획"이라고 말했다.

이에 따르면 방통위는 개정안에서 기업이 개인정보 유출 사고를 일으킬 경우 현행 과태료를 부과하던 것을 과징금으로 처벌 수준을 강화한다는 내용을 포함시킬 계획이다. 과징금은 행정처분에 의한 '징벌적 이익환수'라는 의미를 담고 있어 처벌 수위가 높다. 또 유출시킨 기업의 매출액에 비례한 금액이 과징금으로 산정돼 매출액이 큰 대기업일 수록 정보 유출에 대한 무거운 책임을 지게 된다.

아울러 이번 개정안에서는 보호조치 의무 위반과 정보 유출 사태의 인과관계 입증을 하지 않는다는 조항도 추가된다.

현행법은 개인정보 유출 사고가 발생할 경우 기업이 '보호조치 의무'를 위반한 정황이 포착됐을 때 3000만원 이하의 과태료를 부과하고 있다. 보호조치 의무를 위반한 것이 직접적으로 개인정보 유출 사고로 이어졌다는 인과관계가 입증되는 경우에는 1억원 이하의 과징금을 부과할 수 있다.

그러나 이같은 처분은 개인정보 유출에 따른 사회적 파장에 비해 지나치게 경미하고 과징금을 부과하기 위한 '인과관계 입증' 역시 대단히 까다로워 처벌조항으로써는 유명무실하다는 지적이 많았다. 따라서 이번 개정안에 포함된 '(개인정보 유출에 대한)인과관계 입증을 하지 않는다'라는 조항은 정부가 기업에 보다 강력한 처벌을 내릴 수 있는 근거가 된다.

정부가 이처럼 개인정보 유출 행위에 대한 보다 강력한 제재를 추진하는 것은 개인정보 유출사고가 기업을 겨냥한 대규모 해킹부터 개인 PC에 악성코드를 심어 정보를 빼내는 일까지 다양한 방식으로 빠르게 증가하고 있기 때문이다. 한국인터넷진흥원 개인정보침해신고센터에 접수된 상담건수를 보면 5년 전인 2009년 연간 개인정보침해 상담건수가 3만5167건에 불과했던 것에 비해 2012년에는 16만6801건으로 374.31%가 폭증했다.

문제는 이같은 개인정보 유출사태가 발생했을 때 해당 기업이 직접적으로 지는 책임이 그리 크지 않다는 점이다. 김승주 고려대 정보보호대학원 교수는 "현재 우리나라 법체계로는 (정보유출을 한) 업체에 책임을 묻기가 대단히 어려운 구조"라고 지적했다.

김 교수는 "우리 법은 '개인정보보호를 위해 XX을 하라'는 '화이트리스트' 방식으로, 기업이 최소한 법에 명시된 어떤 조항을 지키기만 하면 된다는 일종의 면죄부로 작용되고 있는 것이 현실"이라면서 "법에 일일이 정보보호 대책을 기술하려면 끝도 없을 뿐더러 너무나 빠르게 진화하는 해킹과 사이버 공격에 대한 대책에 대응하기도 쉽지 않기에 법 적용 방식 및 법령 제정에 대한 근본적인 변화가 필요하다"고 주장했다.

하지만 정부의 이같은 규제 강화가 지나치게 기업활동을 위축시킬 수 있다는 반발도 적지 않아 추진과정에서 논란이 예상된다.

강은성기자 esther@