민병덕 “개인정보 유출 건당 과징금 ‘1천원’ 불과…징벌적 손배”

[이데일리 김현아 기자] KT(030200) 고객 5561명의 개인정보가 유출돼 무단 소액결제 피해가 발생한 가운데, 최근 5년간 공공·민간 부문에서 발생한 개인정보 유출 건수가 총 8천854만 건에 달한 것으로 나타났다.

민병덕 의원(더불어민주당)은 1건당 평균 과징금은 1천 원 수준에 불과해 ‘솜방망이 처분’이라고 비판했다.

민병덕 의원(더불어민주당)

5년간 451건 사고…8천854만 건 유출

22일 국회 정무위원회 소속 더불어민주당 민병덕 의원이 개인정보보호위원회 자료를 분석한 결과, 2021년부터 2025년 7월까지 공공·민간 부문에서 총 451건의 개인정보 유출 사고가 발생했다. 이를 통해 유출된 개인정보는 모두 8천854만 건에 달한다.

과징금·과태료 9천억 가까이 부과…“건당으론 미미”

동기간 과징금은 125건의 사고에 대해 총 8772억원, 과태료는 405건에 대해 249억원이 부과됐다. 사건당 평균으로 따지면 과징금은 약 7억원, 과태료는 약 617만원 수준이다.

그러나 실제 유출 건수로 환산하면 개인정보 1건당 평균 과징금은 고작 1019원에 불과하다는 게 민 의원 주장이다.

연도별로 보면 2021년 1건당 과징금은 41원, 2022년 200원에 불과했으며, 2023년 1063원, 2024년 8302원으로 급등했다. 올해 들어 7월까지는 2743원 수준으로 집계됐다.

민병덕 “국내 제재 한계”

현행 개인정보보호법은 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 하고 있으며, 매출액 산정이 어려운 경우 최대 20억원까지만 부과할 수 있다. 이로 인해 대규모 유출 사고에도 건당 제재액은 사실상 미미한 수준에 그치고 있다는 게 민병덕 의원 주장이다.

반면 유럽의 일반개인정보보호법(GDPR)은 위반 시 전년도 전 세계 매출액의 4% 또는 2천만 유로(약 325억원) 중 더 큰 금액을 과징금으로 부과한다. 실제로 아마존은 2021년 룩셈부르크 당국으로부터 GDPR 위반으로 7억4600만 유로(약 1조2천252억 원)의 과징금을 부과받았다.

민 의원은 “최근 SK텔레콤 유심 정보 유출에 이어 KT에서도 개인정보 유출로 소액결제 피해가 발생하면서 규제 실효성 논란이 커지고 있다”며 “유럽 수준의 과징금 부과와 함께 집단소송제·징벌적 손해배상제 도입 등 강력한 제재 수단을 마련해야 한다”고 강조했다.

“과징금 높으면 신고 줄어든다”…기업들 ‘사고 은폐’ 악순환 우려

그러나 높은 과징금이 오히려 사이버 침해 사고 신고를 위축시킨다는 반론도 나온다. 실제로 국내 기업 10곳 중 8곳은 해킹을 당해도 외부에 알리지 않는 것으로 조사됐다. 이미지 훼손, 고객 이탈, 매출 감소 등 경영상 타격이 크다는 이유다.

과기정통부와 한국정보보호산업협회(KISIA)의 ‘2024 정보보호 실태조사’에 따르면 지난해 침해 사고를 신고한 기업은 19.6%에 불과했다. 전년 대비 11.1%포인트 늘었지만 여전히 낮은 수준이다.

전문가들은 기업이 투명하게 사고를 공개해도 실질적 이익이 거의 없고, 과징금과 평판 악화만 뒤따르는 구조가 문제라고 지적한다. 최근에는 실제 유출이 없었는데도 해커의 허위 주장만으로 기업 이미지가 큰 타격을 입은 사례도 있었다.

해외는 ‘면책 인센티브’로 신고를 장려한다. 미국은 10월부터 시행되는 ‘사이버 사고 신고법(CIRCIA)’에 따라 72시간 내 보고 시 일정 부분 법적 책임을 면제한다. 영국도 GDPR 체계에서 신속 신고와 적절한 후속 조치가 확인되면 과징금을 대폭 감경한다.

보안 업계 관계자는 “신속한 신고와 사례 공유가 사회 전체의 보안 역량을 높인다”며 “정부가 익명 신고 시스템과 피해 기업 보호 정책을 강화해야 한다”고 말했다. 그는 “사이버 공격은 누구나 당할 수 있는 일”이라며 “투명 대응을 뒷받침할 법적·사회적 환경 조성이 시급하다”고 강조했다.