[이코노미스트 정길준 기자] 개인정보 유출 사고 발생 시 민간 기업에는 천문학적 과징금이 부과되는 반면, 대규모 국민 정보를 다루는 공공기관에는 수억원대 처분에 그치는 ‘제재 격차’를 두고 형평성 논란이 일고 있다. 동일한 개인정보 유출 피해가 발생했음에도 주체가 민간인지 공공인지에 따라 책임의 잣대가 달라지는 구조적 모순이 사이버 보안 생태계 전반의 신뢰를 떨어뜨리고 있다는 지적이 나온다.

벌어지는 공공·민간 제재 격차

개인정보보호위원회(이하 개인정보위)의 제재 수위가 높아지면서 민간 기업을 향한 처분도 전례 없는 수준으로 거세지고 있다. 올해 상반기에만 개인정보위가 민간 기업에 부과한 과징금 규모는 7000억원에 육박하는 것으로 나타났다. 이는 개인정보위 출범 이후 2020년부터 2025년까지 6년 동안 부과한 전체 과징금 합계와 비교해도 2배 가까이 뛴 수치다.

전체 매출액을 기준으로 제재금을 산정하도록 법이 정비된 데 이어, 지난 9월부터는 법이 정한 중대·반복 위반 요건에 해당할 경우 전체 매출액의 최대 10%까지 부과할 수 있는 징벌적 과징금 특례까지 시행되면서 당국의 영향력과 기업의 재정적 압박은 더욱 커진 상태다.

반면 국민 대다수의 민감 정보를 취급하는 공공 부문에서 대형 유출 사고가 발생했을 때 부과되는 제재 수위는 민간 기업과 비교해 현격하게 낮은 수준이다.

개인정보위는 소스코드 개발 오류로 민감 서류가 노출된 행정안전부 ‘정부24’에 과징금 2억7300만원을 부과하는 데 그쳤다. 나아가 농촌진흥청 및 소속 기관 시스템을 위탁 관리하던 수탁업체의 관리 부실로 57만4000여 건에 달하는 개인정보가 유출되는 일도 있었지만, 부과된 과징금은 8250만원에 불과했다.

이는 오픈채팅 이용자 개인정보 유출 사고(6만5000여 건)로 과징금 151억4196만원과 과태료 780만원, 유출 통지 시정명령 처분을 받았던 카카오 사례와 비교하면 극명한 대비를 이룬다.

개인정보위의 각 제재 의결 내용을 살펴보면 정보의 유출 규모나 피해의 심각성에는 큰 차이가 없음에도 사고 주체가 공공인지 민간인지에 따라 제재 수위가 극명하게 엇갈리는 양상이 확인된다.

행정안전부가 운영하는 정부24의 경우, 교육부 NEIS(교육행정정보시스템) 연계 민원서류 및 국세청 납세증명서 서식 변경 과정에서 ‘법인 발급’ 테스트를 누락하는 등 소스코드 개발 오류를 방치했고, 주민등록증 발급 상황 조회 서비스의 본인인증 모듈 취약점을 조치하지 않아 1230여 명의 민감 정보가 타인에게 노출됐다.

여기에 그치지 않고 유출 사실을 인지하고도 정당한 사유 없이 72시간을 경과해 지연 통지하거나, 개인정보처리방침에 수탁업체를 누락한 법 위반 항목들이 추가로 적발됐다.

또 농촌진흥청 등의 시스템을 위탁 관리하던 수탁업체는 네트워크 저장장치를 외부 IP로 접근 가능한 상태로 방치하고 관리자 계정만으로 접속할 수 있게 허술하게 운영하다 해커의 공격을 받아 57만여 건에 달하는 대규모 개인정보가 다크웹에 유출되는 일이 벌어졌다. 농진청 등 위탁 기관 역시 용역 종료 시 자료미보유확약서만 받고 실제 파기 여부를 점검하지 않는 등 수탁자 관리·감독 의무를 소홀히 한 것으로 나타났다.

민간 기업 유사 사례인 카카오 오픈채팅 유출 사건은 플랫폼 설계 단계부터 내재된 구조적 취약점이 도화선이 됐다. 카카오는 익명성을 홍보하며 오픈채팅 서비스를 운영했지만 일반채팅과 동일한 ‘회원일련번호’로 이용자를 식별할 수 있게 체계를 구현했고, 특히 2020년 8월 이후 생성된 오픈채팅방 게시판에 암호화된 임시ID를 입력하면 평문으로 노출되는 취약점을 방치했다.

해커들은 이 취약점과 외부에 공개된 분석 프로그램 등을 악용해 회원일련번호와 휴대전화번호 등을 결합하는 방식으로 대규모 개인정보 파일을 생성·판매한 것으로 조사됐다.

이처럼 공공 부문은 ▲프로그램 개발 오류 ▲인증 취약점 방치 ▲수탁사 관리 감독 부실 등이 복합적으로 작용했는데도 처분 수위가 수천만원대에 머물렀다.

반면 민간 플랫폼은 ▲서비스 설계 결함 ▲미흡한 사후 대응이 맞물려 수백배에 달하는 과징금 폭탄을 맞았다. 유출 규모가 카카오의 9배에 달하는 공공 부문 사고에 100분의 1도 안 되는 과징금이 부과되는 등 민간 기업에는 엄격한 잣대를 대면서 공공 부문에는 상대적으로 낮은 처분을 내리는 형평성 문제가 드러나고 있다는 지적이 나온다.

공공 제재도 강화…과거 처분엔 법 적용 한계

개인정보위는 공공기관의 제재가 미흡하다는 지적에 대해 단계적으로 관리 체계를 강화하고 있다고 해명했다. 사고 발생 당시의 법률과 위반 행위 유형도 고려해야 한다는 입장이다.

최근 3년간 초·중·고와 교육청에서는 310만건의 개인정보가 유출된 것으로 알려졌다. 2023년 초에는 해커가 특정 인터넷 주소를 무작위로 대입하는 방식으로 경기도교육청의 온라인 시스템에 침입해 학생들의 전국연합학력평가 성적정보 약 297만건을 유출했다.

개인정보위는 같은 해 7월 경기도교육청에 과태료 2160만원을 부과하고, 개인정보처리시스템 일제 점검과 관리 체계·매뉴얼 정비, 취급자 교육 강화 등을 권고했다. 조사에서는 ▲온라인 시스템 접근 통제 미흡 ▲안전한 인증 수단 미적용 ▲보안 패치 미적용 ▲접속 기록 미점검 ▲보유기간이 지난 성적정보 미파기 등 전반적인 관리 부실이 확인됐다.

경기도교육청에 과태료 처분만 내려진 것은 개인정보 유출 규모가 작거나 위반 사실이 가벼워서가 아니라 법률상 적용할 수 있는 제재에 한계가 있었기 때문이다.

당시 개인정보보호법상 경기도교육청 사고에서는 주민등록번호가 아닌 학생들의 성적정보가 유출돼 과징금 대신 과태료가 부과됐다. 이에 개인정보위는 과징금 규정을 정비해 안전 조치 의무 위반에 따른 개인정보 유출 등에 경제적 제재를 강화하고, 공공기관을 포함한 모든 개인정보처리자에 과징금 규정을 적용하도록 했다.

개인정보위 측은 “2023년 9월 이후 공공기관의 개인정보 유출에 대해 최대 20억원의 과징금 제재를 도입했고, 올해 9월부터는 중대·반복 유출사고에 대해 최대 50억원까지 과징금 제재를 상향했다”며 “공공기관의 개인정보보호법 위반에 대해서는 전면 공표제와 보호수준 평가 연계 확대 등 책임성 강화를 위해 노력하고 있다”고 설명했다.

‘세금 돌려막기’ 국고 환수 구조

공공과 민간의 과징금 격차에는 산정 방식의 차이도 영향을 미친다. 민간 기업은 매출액을 기준으로 과징금을 산정하는 반면, 매출액이 없거나 산정하기 어려운 경우에는 별도의 정액 기준을 적용받는다.

공공기관은 매출액이 없거나 산정하기 어려운 주체로 분류돼 매출액 연동 방식이 아닌 별도의 정액 과징금 기준을 적용받는다. 현행법상 공공기관의 과징금 상한은 원칙적으로 최대 20억원이며, 법에서 정한 중대·반복 위반 등 가중 요건을 충족하면 최대 50억원까지 높아진다.

이처럼 법 조문에서 과징금 산정 방식과 상한을 다르게 설정하고 있어 유출 규모와 피해가 비슷하더라도 사고 주체에 따라 제재 수준에 차이가 발생한다.

더 큰 문제는 공공기관에 대한 과징금 처분이 지닌 행정적·재정적 모순에 있다. 국고금 관리법과 국가재정법에 따르면 행정청이 징수한 과징금을 포함한 모든 세외수입은 다른 법률에 특별한 규정이 없는 한 기관이 직접 사용할 수 없으며 전액 국고에 납입돼야 한다.

아울러 개인정보보호법은 과징금을 내야 할 자가 납부기한까지 내지 않을 경우 국세 강제 징수의 예에 따라 강제 징수해 국가 재정으로 귀속하도록 규정하고 있다. 이에 공공기관이 관리 부실의 책임을 물어 과징금을 납부하더라도, 그 재원은 결국 국민 세금으로 조성된 기관 운영 예산에서 지출되며 납부된 제재금은 고스란히 다시 국고로 환수되는 ‘세금 돌려막기’식 순환 구조가 되풀이되고 있다.

법률상 강제 징수 절차를 거쳐 국고로 수납돼도 사고 발생 기관의 예산만 소모될 뿐 해당 기관이나 사고 책임자 개인에게 재정 불이익이 돌아가지 않는다.

전문가들은 공공 부문의 개인정보 유출 사고에 대해서는 실효성이 떨어지는 정액 과징금 부과 방식에만 의존할 것이 아니라 실질적인 인적·제도적 책임 추궁 방안으로 패러다임을 전환해야 한다고 제언한다.

김태오 국립창원대 법학과 교수는 “개인정보의 경제적·사회적 가치 측면에서 공공기관과 민간 기업이 보유한 정보의 본질에 차이가 있는 것은 아닌데, 과징금을 일률적으로 매출액 기준으로 산정하다 보니 제재 수준에서 격차가 발생한다”고 말했다.

개인정보보호법상 과징금 제도는 법 위반으로 얻은 부당이득을 환수하는 데 주안점을 뒀지만, 해킹 등 외부 침해 사고의 경우 기업이 직접적인 경제적 이익을 얻는 구조가 아니어서 단순 매출액 연동 방식은 법리적·현실적 괴리를 낳는다고 짚었다.

김 교수는 “공공기관의 경우 기관별 특성과 운영 구조에 맞춰 공공기관 경영평가상의 감점 등 불이익을 부과하거나 관련 공무원에 대한 징계 조치를 연계하는 등 실질적인 예방 및 억제력을 갖춘 제재 수단을 다각도로 마련할 필요가 있다”고 강조했다.

나아가 현행 제도의 근본적인 개선 방향으로 산정 기준의 다변화도 주문했다. 김 교수는 “궁극적으로는 위반행위와 무관한 전체 매출액을 기준으로 과징금을 산정하는 방식에서 벗어나, 유출된 데이터의 건수나 유출 규모에 비례해 합리적으로 제재를 가하는 기준을 해외 주요 사례 등을 참고해 적극 검토할 필요가 있다”고 진단했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지