개인정보 유출 반복되는데 처방은 과징금뿐인가 [취재진담]

“개인정보 유출 사고가 발생하지 않도록 설계 단계에서부터 위험을 관리해야 한다.”

송경희 개인정보보호위원회 위원장은 올해 초 취임 100일을 맞아 개인정보 보호체계를 사후 제재가 아닌 사전 예방 중심으로 전환하겠다는 구상을 밝혔다. 이를 위해 오는 9월부터 개인정보보호법상 중대·반복 위반 기업에 대해 매출액의 최대 10%를 부과할 수 있는 징벌적 과징금 특례를 시행한다.

산정 기준도 최근 3년 평균 매출액에서 최근 3년 평균 또는 직전연도 매출액 가운데 더 큰 금액으로 바뀐다. 기업의 개인정보 보호 책임을 한층 강화하겠다는 취지다.

이 같은 변화는 최근 개인정보 유출 사고가 끊이지 않는 현실과 맞닿아 있다. 개인정보위와 한국인터넷진흥원(KISA)의 ‘2025년 개인정보 유출 신고 동향 및 조사‧처분 사례’에 따르면 지난해 접수된 개인정보 유출 신고는 447건으로 전년(307건) 대비 45.6% 늘었다.

전체 과징금 중 1440억원(91%)은 해킹 관련 처분이며 유출 신고 중 62%(276건)는 해킹이다. 반복되는 해킹 사고를 줄이기 위해 기업의 보안 투자와 책임성을 높여야 한다는 문제의식은 충분히 공감할 만하다.

개인정보위의 정책 방향도 분명하다. 과징금 부담을 높여 기업들이 사전에 보안 투자를 확대하고, 유출 사고를 예방하도록 유도하겠다는 것이다.

다만 과징금 액수를 늘린다고 해서 개인정보 보호 수준이 자동으로 높아지는 것은 아니다. 올해만해도 교원그룹, 언더아머, 티빙 등 유출사고가 연이어 발생했다. 특히 티빙은 1953만명의 이용자 개인정보가 유출됐다. 과징금은 기업의 책임을 묻는 수단이지만, 그것만으로 사고를 막기에는 분명한 한계가 있다.

박춘식 전 아주대 사이버보안학과 교수는 “개인정보위의 과징금 부과는 공정하다고 보나 이후 정부나 국회가 기업을 압박하는 것보다는 재발 대책과 실제 효과가 있는 투자인지에 대한 파악이 필요하다”라며 “처벌, 규제만이 능사가 아니다. 우리가 원하는 것은 돈을 많이 받으려는 것보다는 사전에 막는 것”이라고 강조했다.

오는 9월부터 기업의 과징금 부담이 훨씬 커질 것으로 보인다. 과징금 증액은 기업의 보안 투자를 유도하는 효과를 기대할 수 있을 것이다. 다만 처벌은 사고 이후의 책임을 묻는 수단일 뿐이다. 개인정보 보호 정책은 처벌 강화와 함께 기업의 보안 투자와 사고 예방을 유도하는 방향으로 설계돼야 한다.

특히 해킹 사고는 특정 기업 한 곳에서 끝나는 문제가 아니다. 동일 업종은 물론 산업 전반으로 공격 기법이 확산될 수 있는 만큼 피해 사례를 신속하게 공유하고 공동 대응할 수 있는 체계를 구축하는 일이 중요하다.

개인정보위도 처벌 강화와 함께 예방 역량을 높이는 정책에 더욱 무게를 둘 필요가 있다. 업종별 보안 가이드라인을 고도화하고, 투자 여력이 부족한 중소기업에 보안 솔루션을 지원하며, 사고 정보 공유 시스템을 활성화하는 등 예방 인프라를 촘촘히 구축해야 한다.

정부와 국민이 바라는 것은 역대 최대 과징금이 아닌 역대 최저 유출 사고다. 기업이 과징금을 두려워하는 사회를 만드는 것에서 한 걸음 더 나아가, 사고를 예방하는 기업이 더 큰 경쟁력을 갖는 환경을 만들어야 한다.

정우진 기자 jwj3937@kukinews.com