개인정보 유출 과징금 상향 지시…집단소송제 도입 압박 커진다

개인정보 유출 규제가 데이터 기반 산업의 전제조건으로 다시 부각되고 있다. 이재명 대통령이 대규모 개인정보 침해 사고를 일으킨 기업에 대해 매출 연동 과징금을 대폭 높이고, 집단소송제 도입을 서둘러야 한다고 공개 지시하면서다. 디지털 전환과 인공지능 산업 확대로 기업의 데이터 의존도가 커지는 가운데, 정부가 경제 제재 수위를 끌어올리면 IT 플랫폼과 금융, 통신, 바이오헬스 전반의 비즈니스 모델과 리스크 관리 체계가 재편될 가능성이 커졌다는 평가가 나온다.

이재명 대통령은 12일 정부 업무보고에서 송경희 개인정보보호위원회 위원장에게 개인정보 유출 기업에 대한 제재 실효성을 질의하며 법과 시행령 간 괴리를 먼저 문제 삼았다. 현행 개인정보보호법은 중대한 위반에 대해 직전 연도 전체 매출액의 3퍼센트까지 과징금을 부과할 수 있도록 하고 있지만, 시행령은 최근 3개년 매출액의 평균을 기준으로 삼고 있어 실제 부담이 상대적으로 낮아지는 구조다.

이 대통령은 반복되는 유출 사고를 언급하며 과징금 기준이 시간이 지날수록 약해지는 구조라고 지적했다. 특히 직전 연도 기준을 명시한 법과 달리 평균 매출을 기준으로 한 시행령 설계가 위반 기업에 유리하게 작동해 억지력이 떨어진다고 봤다. 송 위원장도 이러한 지적에 동의하며 제도 운영상 한계가 있다고 인정했다.

대통령은 즉석에서 시행령 개정을 통해 산식 자체를 강화하라고 주문했다. 최근 3년 가운데 매출액이 가장 높은 해를 기준으로 3퍼센트를 부과하는 방식으로 바꾸라는 것이다. 이는 매출이 일시적으로 줄어든 기업이 평균 매출 산정 구조를 활용해 과징금 규모를 낮추는 여지를 줄이겠다는 취지로 해석된다. 송 위원장은 관련 내용을 검토해 제도 개정에 반영하겠다고 답했다.

이재명 대통령은 경제 제재 수준이 낮아 기업이 개인정보보호를 비용 요인이 아닌 선택 사항 정도로 인식하고 있다고 강하게 비판했다. 잦은 유출에도 불구하고 경영진이 체감하는 재무적 타격이 제한적이어서 내부 통제와 보안 투자에 대한 유인이 부족하다는 진단이다. 대통령은 국민에게 피해를 주는 개인정보 침해를 저지르면 회사 존폐를 걱정할 수준의 경제적 제재가 뒤따라야 한다고 강조했다.

개인정보보호위원회는 이미 반복적인 개인정보 유출에 대해 매출의 최대 10퍼센트까지 징벌적 과징금을 부과하는 방안을 추진하고 있다. 일반적인 행정벌 수준을 넘어 경쟁당국의 과징금에 버금가는 수준으로 상향하는 구상이다. 글로벌 빅테크와 대형 플랫폼, 금융·통신사 등 대규모 데이터 처리 기업에는 사실상 사업 모델 전반을 재점검해야 할 압력이 될 수 있다.

이번 대통령 지시는 데이터 경제 활성화를 내세워 규제 완화를 요구해온 일부 산업계 흐름과는 결이 다르다. 유럽연합이 GDPR을 통해 글로벌 수준의 강력한 개인정보보호 규율과 매출 기반 과징금 체계를 구축한 것처럼, 한국도 디지털 경쟁력의 기반을 개인정보 신뢰 시스템 강화에서 찾겠다는 방향성이 보다 분명해지고 있다는 분석이 뒤따른다.

이 대통령은 피해 구제 수단의 한계도 함께 지적했다. 대규모 유출 사고가 발생해도 개별 피해자가 일일이 소송을 제기해야만 보상이 이뤄지는 구조는 현실성이 떨어진다는 것이다. 특히 온라인 플랫폼과 헬스케어 서비스 등에서 수백만 명 단위로 피해자가 발생하는 현실을 감안하면, 소송 비용과 시간 부담으로 인해 사실상 구제가 이뤄지지 않는 사각지대가 넓다는 문제의식이다.

이와 관련해 이 대통령은 집단소송 제도를 도입해 피해자들이 보다 효율적으로 권리를 행사할 수 있도록 해야 한다고 밝혔다. 집단소송은 동일한 위법 행위로 다수 피해자가 발생했을 때 대표 소송을 통해 일괄적인 배상과 책임 규명이 가능한 제도다. 미국과 유럽에서 개인정보 유출과 소비자 피해 사건에 널리 활용되며 기업의 리스크 관리를 압박해온 수단으로 알려져 있다.

송경희 위원장은 현재 국회에서 단체 소송과 징벌적 과징금 강화를 골자로 한 법안들이 이미 발의된 상태라고 설명했다. 개인정보보호위원회는 입법 논의를 뒷받침할 정책 자료를 정리하는 동시에 시행령과 고시 개정을 병행해 단기적으로 제재 체감도를 끌어올리는 방향을 검토 중인 것으로 전해졌다.

이번 논의는 국내 AI와 디지털 헬스케어, 핀테크 산업에도 구조적인 영향을 줄 수밖에 없다. 인공지능 고도화와 유전체 분석, 원격의료 서비스 등 데이터 집약적 산업 분야에서 개인정보는 핵심 자원이면서 동시에 가장 민감한 규제 대상이기 때문이다. 과징금과 집단소송 리스크가 커지면 데이터 수집 관행, 제3자 제공 구조, 클라우드 이전 방식 등 전 단계에서 준법 설계와 프라이버시 강화 기술 도입이 필수 요건으로 부상할 가능성이 크다.

반면 산업계에서는 과도한 징벌적 과징금과 집단소송제 도입이 혁신 기업에 대한 투자 위축으로 이어질 수 있다는 우려도 유지되고 있다. 특히 중소·스타트업의 경우 보안 인력과 시스템 구축에 필요한 비용 부담이 커지는 만큼, 정부 차원의 보안 인프라 지원과 표준화된 가이드 제공이 병행돼야 한다는 목소리가 나온다. 개인정보보호위원회 역시 과징금 상한 강화와 별도로 데이터 비식별화, 프라이버시 보호 기술 확산을 위한 지원 프로그램을 확대해 규제와 지원을 병행하겠다는 방침을 내놓은 바 있다.

전문가들은 GDPR을 포함한 해외 규제 동향을 감안할 때, 개인정보보호 체계 강화는 피할 수 없는 흐름이라고 본다. 다만 과징금과 소송제도 강화가 실질적으로 보안 투자와 조직 문화 개선으로 이어지려면, 명확한 책임 기준과 예측 가능한 집행 원칙을 마련하는 작업이 병행돼야 한다고 조언한다. 데이터 활용을 전제로 한 디지털 산업 성장 전략과 개인 권리 보호 사이의 균형이 향후 정책 설계의 핵심 변수가 될 전망이다.

산업계는 강화되는 제재 기준과 집단소송제 입법 논의 속에서 새로운 데이터 거버넌스 체계가 어떻게 자리잡을지 촉각을 곤두세우고 있다. 기술 경쟁과 함께 데이터 규율 경쟁이 본격화하는 상황에서, 한국이 신뢰 기반 디지털 경제 모델을 구축할 수 있을지 주목된다.