“개인정보 유출 땐 매출 10% 과징금”…국회 정무소위, 징벌 강화 법안 통과
대규모 개인정보 유출 책임을 둘러싼 여야의 입장 차와 기업들의 우려가 맞부딪쳤다. 대통령실과 국회 정무위원회가 잇따라 규제 강화를 압박하면서, 개인정보보호법 개정 논의가 정국의 새로운 쟁점으로 떠오르고 있다.
국회 정무위원회 법안심사1소위원회는 15일 국회에서 회의를 열고 더불어민주당 박범계 의원, 국민의힘 김상훈 의원 등이 발의한 개인정보보호법 개정안을 합의 처리했다. 개정안은 중대한 개인정보 유출 사고를 낸 기업에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 과징금 상한을 대폭 높인 것이 핵심이다.
개정안에 따르면 고의 또는 중대한 과실로 3년 이내 반복적인 법 위반이 있는 경우, 고의 또는 중대한 과실로 1천만 명 이상 대규모 피해가 발생한 경우, 개인정보보호위원회의 시정조치 명령을 따르지 않아 유출이 발생한 경우에는 매출액의 최대 10% 범위에서 과징금을 매길 수 있도록 했다. 현재 3%인 과징금 상한을 10%까지 끌어올려 사실상 징벌적 제재를 명문화한 셈이다.
또 매출액이 없거나 산정이 곤란한 기업에 대해 현행법이 규정한 과징금 상한 20억 원은 50억 원으로 상향됐다. 소규모 업체나 비상장사라고 해서 책임을 회피하지 못하도록 하되, 매출 규모와 위반 양태에 따라 차등 부과가 가능하도록 여지를 뒀다.
정무위 여당 간사인 더불어민주당 강준현 의원은 회의 후 기자들과 만나 "매출액의 10%면 회사가 망할 정도다. 존치가 안 된다. 개인정보 유출을 하지 말라는 것"이라고 말했다. 그는 이어 "여야가 사안의 중요성을 공감하고 합의로 통과시켰다"고 설명했다. 여야가 개인정보 유출에 대한 강력한 경고 메시지를 공유했다는 의미다.
다만 소급 적용은 선을 그었다. 여야는 개정안 시행 이전 발생한 사고에는 강화된 과징금을 적용하지 않기로 했다. 이에 따라 최근 대규모 정보 유출 논란에 휩싸인 쿠팡 사례 등 현재 진행 중인 사안에는 새 기준이 적용되지 않는다. 법안이 국회 본회의를 통과하더라도 쿠팡에 매출액 10% 수준의 과징금이 부과되는 상황은 피하게 됐다는 관측이 나온다.
신고 의무 규정도 손질됐다. 개인정보 처리자가 1천 명 이상 개인정보 또는 민감정보 유출 사실을 알게 되면 72시간 이내에 개인정보보호위원회에 신고하도록 한 현행 시행령 조항은 법률에 "대통령령으로 정한다"는 수준으로 위임 규정을 바꾸기로 했다. 인지 후 72시간 규정을 명문화해 둔 탓에 일부 기업이 유출 사실을 알고도 보고 시점을 늦춰 책임을 회피한다는 지적이 제기된 데 따른 조치다. 향후 구체적인 신고 기한과 방식은 대통령령에서 재조정될 전망이다.
강화된 과징금 외에 집단적 구제 수단을 확대하는 방안은 이번 논의에서 빠졌다. 개인정보 유출 피해자가 금전적 보상을 요구할 수 있도록 개인정보보호법상 단체소송 요건에 손해배상을 추가하는 내용은 여야 이견으로 보류됐다. 강준현 의원은 "야당에서 징벌적 과징금을 비롯해 단체소송 대상 범위에 손해배상을 추가하는 문제까지 하는 건 너무 과중한 것 아니냐는 의견이 있었다"고 전했다. 그는 개인정보보호위원회와 대법원의 의견을 추가로 청취한 뒤 재논의하기로 했다고 말했다.
이보다 앞서 이재명 대통령은 9일 국무회의에서 최근 쿠팡 개인 정보 유출 사태를 언급하며 과태료 수준이 현실을 반영하지 못한다고 지적했다. 이 대통령은 당시 기업의 책임 강화를 주문하며 관련 제도 정비를 지시했고, 여야 정무위가 징벌적 과징금 상향에 합의하면서 입법 논의가 속도를 내는 모양새다. 다만 단체소송제 확대와 소급 적용 여부를 둘러싼 추가 쟁점이 남아 있어 본회의 심의 과정에서 이해관계자들의 공방이 이어질 가능성이 있다.
한편 이날 법안심사1소위에서는 보이스피싱 등 전기통신금융 사기와 관련한 금융회사 책임 범위도 넓혔다. 전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법 일부개정법률안은 전기통신금융 사기 피해의 방지와 피해금 환급 책임을 지는 금융회사 범주에 가상자산거래소를 포함하는 내용을 담고 있다. 최근 가상자산을 활용한 신종 금융사기가 늘어나고 있는 상황에서, 거래소 역시 은행과 유사한 수준의 방지 의무와 반환 책임을 부담해야 한다는 판단이 반영됐다.
신용협동조합의 내부 감시 장치도 조정됐다. 자산총액이 2천억 원 이상인 신용협동조합에 상임감사를 두도록 한 현행 신용협동조합법 규정은 기준을 3천억 원 이상으로 상향하는 개정안이 처리됐다. 소형 조합의 인력·비용 부담을 일정 부분 완화하는 동시에, 일정 규모 이상 조합에는 상시 감시 체계를 유지하도록 하는 절충안으로 풀이된다.
정무위원회는 17일 오전 10시 전체회의를 열고 이날 법안소위에서 올라온 개인정보보호법 개정안과 전기통신금융사기 특별법 개정안, 신용협동조합법 개정안 등을 일괄 처리할 계획이다. 이후 법제사법위원회 심사와 본회의 표결을 거쳐 최종 확정되는 수순으로, 국회는 개인정보 유출과 금융사기 근절 방안을 두고 추가 보완 논의에 나설 전망이다.
