개인정보 유출 징벌적 과징금…쿠팡 특별법 검토론 부상
대규모 개인정보 유출 사고 이후 플랫폼 기업의 책임을 강화해야 한다는 요구가 거세지는 가운데, 쿠팡 사태를 계기로 징벌적 과징금을 부과하는 이른바 쿠팡 특별법 논의가 수면 위로 떠오르고 있다. 개인정보보호위원회 수장이 국회 청문회에서 특별법 제정 취지에 공감한다고 밝히면서, 국내 데이터 규제 체계가 글로벌 수준의 강한 제재 구조로 이동하는 분기점이 될 수 있다는 관측이 나온다. 업계는 플랫폼 기반 디지털 경제에서 개인정보 보호 규범이 어떻게 정립되느냐에 따라 서비스 설계와 보안 투자 전략이 크게 달라질 것으로 보고 있다.
국회 과학기술정보방송통신위원회가 17일 개최한 쿠팡 침해사고 청문회에서 이훈기 더불어민주당 의원은 최근 3370만명의 개인정보가 유출된 쿠팡 사태를 거론하며, 일반 규정과 별도로 징벌적 과징금을 부과할 수 있는 쿠팡 특별법이나 정부 입법을 요구했다. 이에 대해 송경희 개인정보보호위원회 위원장은 쿠팡 개인정보 유출 사고와 관련한 질의에 답하며 쿠팡 특별법 제정이나 별도 입법을 통해 징벌적 과징금을 부과하는 방안을 여러 측면에서 검토할 필요가 있다고 언급했다. 사실상 대형 플랫폼의 대규모 침해사고를 겨냥한 개별 입법 가능성을 공개 석상에서 처음으로 열어둔 셈이다.
같은 날 국회 정무위원회는 중대한 개인정보 유출이 발생했을 때 과징금 상한을 현행 전체 매출액의 3퍼센트에서 10퍼센트까지 확대하는 내용의 개인정보보호법 개정안을 통과시켰다. 개정안은 글로벌에서 강력한 데이터 규제로 꼽히는 유럽연합 일반개인정보보호규정 수준에 점진적으로 접근하는 것으로 평가된다. 다만 최근 사고는 법 개정 이전에 발생한 데다 국내 입법 체계상 원칙적으로 소급 적용이 제한돼, 쿠팡 유출 건은 새 상향 기준의 직접 대상에 포함되지 않는다. 이 의원이 일반 법률과 별개로 쿠팡을 특정해 징벌적 과징금 근거를 두는 입법 필요성을 제기한 배경이다.
특히 이번 논쟁은 대규모 이용자 데이터를 활용하는 전자상거래와 플랫폼 산업 전반에 직격탄으로 작용할 수 있다. 매출의 최대 10퍼센트까지 과징금이 가능해지면 대형 플랫폼 기업은 보안 사고 발생 시 기존보다 수배 높은 재무적 리스크를 감수해야 한다. 추가로 특정 사고를 겨냥한 특별법까지 도입될 경우, 사고 규모와 관리 소홀 정도에 따라 사실상 사업 존속을 위협하는 수준의 제재도 논의 테이블에 오를 수 있다. 데이터 유출을 단순한 보안 이슈가 아닌 기업 지배구조와 위기관리 체계의 핵심 변수로 보는 시각이 강화되는 지점이다.
해외에서는 이미 개인정보 침해에 대한 강력한 과징금 사례가 누적되고 있다. 유럽연합은 일반개인정보보호규정을 통해 매출의 최대 4퍼센트를 과징금 상한으로 두고, 글로벌 플랫폼 기업들을 대상으로 수천억원대 제재를 집행해 왔다. 미국에서도 연방거래위원회와 주 정부가 소비자 데이터 보호 의무를 근거로 거액의 합의금과 시정조치를 이끌어낸 바 있다. 국내에서도 과징금 상한 상향과 쿠팡 특별법 검토가 병행될 경우, 플랫폼 기업을 둘러싼 규제 환경이 유럽 연합 수준의 강도로 수렴해 갈 가능성에 무게가 실린다.
국내 디지털 산업계는 이번 논의가 법률 개정 자체보다 구현 방식에 주목하고 있다. 사고 규모와 피해 유형, 반복 여부에 따라 제재 강도를 차등화하는 정교한 규정 설계가 이뤄지지 않을 경우, 혁신 서비스 도입과 데이터 활용이 위축될 수 있다는 우려가 나온다. 반면 소비자와 시민사회 단체는 대규모 유출에도 과징금과 행정 제재가 경미하다고 비판해 왔으며, 징벌적 과징금과 손해배상 제도가 강화돼야 기업의 실질적인 보안 투자와 위험 관리가 촉진된다는 입장을 고수하고 있다.
입법 절차와는 별개로, 개인정보보호위원회와 관련 부처는 대형 플랫폼 사고에 대응하는 기준과 심사 체계를 재정비할 필요성에 직면했다. 중대한 침해사고 기준, 재발 방지 명령, 피해 구제 절차 등에서 기존 기준이 현실과 괴리를 보인다는 지적이 반복돼 왔기 때문이다. 전문가들은 쿠팡 특별법 논의가 실제 입법으로 이어질지 여부와 무관하게, 국내 데이터 규제 정책의 방향타를 개인정보 보호 강화와 디지털 산업 경쟁력 제고 사이에서 어떻게 조정하느냐가 핵심 과제가 될 것으로 보고 있다. 산업계는 향후 논의 결과에 따라 플랫폼의 책임 구조와 데이터 활용 모델이 재편될 수 있을지 예의주시하고 있다.
