대규모 개인정보 유출 사태를 일으킨 쿠팡을 둘러싸고 개인정보보호위원회가 역대급 과징금 부과에 나설지 관심이 집중되고 있다.
여기에 정보보호·개인정보보호 관리체계(ISMS-P) 인증 취소 가능성까지 거론되며 쿠팡이 이중고에 처한 모습이다.
4일 개인정보위에 따르면 개인정보보호법은 개인정보 유출 사고 시 기업 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있다.
쿠팡의 지난해 매출 41조 원을 기준으로 단순 계산하면 법정 최대치는 1조2천억원을 넘는다.
다만 이는 어디까지나 산술적 최대치일 뿐, 실제 과징금이 이 수준에 이르기는 쉽지 않다는 것이 일반적인 분석이다.
위반행위와 직접 관련 없는 매출액은 과징금 산정에서 제외해야 하고, 고시에서 규정한 감경 요소를 적용해야 하기 때문이다.
개인정보위 출범 이후 최대 규모의 과징금은 SK텔레콤(SKT)에 부과된 1천347억9천만원이다.
SKT 사례만 보더라도 지난해 무선통신사업 매출(12조8천억원)을 기준으로 과징금이 최대 3천억원대 중반까지 부과될 가능성이 제기됐지만, 실제 부과액은 그보다 낮았다.
당시 개인정보위는 유심 인증키 등 핵심 정보가 유출되고 2천300만명 규모의 개인정보가 노출된 점을 들어 SKT 유출을 "매우 중대한 위반행위"라고 판단했지만, 사고 이후 시정 조치와 이용자 보호 노력 등을 감경 사유로 반영했다.
이번 쿠팡 사안도 마찬가지로 기준금액을 산출한 뒤, 1·2차 조정에서 가중·감경을 적용하는 절차를 따르게 된다.
개인정보위 관계자는 "1차 조정은 고시에서 정한 기준에 따라 가산·감경을 (의무적으로) 적용해야 하고, 2차 조정은 '가산·감경할 수 있다'로 규정돼 있어 재량의 영역이 크다"며 "재량 감경을 얼마나 폭넓게 또는 좁게 보느냐가 최종 과징금 규모에 영향을 미칠 것"이라고 말했다.
다만 쿠팡 사건은 사안의 성격을 고려할 때, 재량 감경을 적용하는 과정에서도 더 엄격한 판단이 내려질 가능성이 크다는 관측이 나온다.
송경희 개인정보위원장은 전날 국회 정무위원회 현안질의에서 허영 더불어민주당 의원이 "쿠팡에게 과징금을 물 때 ISMS-P 인증을 받았다는 이유로 50% 감면할 것이냐"고 묻자 "여러 상황을 엄격히 보겠다"며 "감경 역시 재량적으로 할 수 있는 여지가 있는 만큼, 사안의 엄중성에 따라 엄격하게 판단하겠다"고 말했다.
한편 쿠팡의 ISMS-P 인증 취소 여부에도 관심이 쏠리고 있다.
ISMS-P는 과학기술정보통신부와 개인정보위가 공동 운영하는 국내 유일의 정보보호·개인정보보호 관리체계 인증 제도다.
쿠팡은 2021년과 2024년 두 차례 ISMS-P 인증을 받았지만, 이번 사고를 포함해 4건의 개인정보 유출이 발생하면서 제도 실효성 논란이 제기되고 있다.
송경희 위원장은 전날 정무위에서 "ISMS-P 인증 후 매년 모의해킹 등을 통해 실제 운영이 기준에 맞는지 점검하고, 심각한 위반이 확인되면 인증을 취소할 계획"이라고 밝혔다.
지금까지 ISMS-P 인증을 받았다가 취소된 기업은 없다. 만일 인증이 취소될 경우 쿠팡이 최초 사례가 된다.
[연합뉴스]
[저작권자ⓒ 도시경제채널. 무단전재-재배포 금지]
