서울 시내 쿠팡 물류센터 [사진=연합뉴스]

[디지털데일리 왕진화기자] 쿠팡이 개인정보 유출 사고로 6246억원의 과징금을 부과받으면서 제재 수위의 형평성을 둘러싼 논란이 커지고 있다.

혈액형과 재산, 혼인 여부 등 민감정보가 유출된 결혼정보업체 듀오는 12억원, 약 4000만명의 이용자 정보를 국외 이전한 카카오페이는 59억원의 과징금을 받은 것과 비교해 격차가 지나치게 크다는 지적이다.

◆듀오는 12억원·카카오페이는 59억원…과징금 형평성 논란=11일 개인정보보호위원회에 따르면 전날 전체회의에서 쿠팡의 개인정보 유출 사고와 타사 온라인 활동기록 무단 수집 등에 대해 총 6246억8100만원의 과징금이 의결됐다. 이 가운데 개인정보 유출 사고 관련 과징금은 4235억7500만원으로 가장 큰 비중을 차지했다.

이는 지난해 SK텔레콤 유출 사고(2324만명·1348억원)를 크게 웃도는 규모다. 쿠팡에서 유출된 정보는 이름, 이메일, 전화번호, 배송주소록, 최근 주문번호와 약 2600건의 공동현관 비밀번호 등이다. 업계에서는 이름·이메일·전화번호는 일반 개인정보에 해당하고, 주문내역과 배송지, 공동현관 비밀번호 등은 개인식별이 가능한 정보로 분류된다고 설명한다.

반면 과거 결혼정보업체 듀오에서 유출된 정보는 혈액형, 혼인 여부, 재산, 신장과 체중, 원천징수 내역 등 24종에 달했다. 개인정보보호법상 종교, 혈액형, 신체정보 등은 민감정보로 분류되며 일부 주민등록번호도 포함돼 있었다.

업계 일각에서는 유출 규모만 놓고 보면 쿠팡이 압도적이지만, 정보의 민감도와 사생활 침해 수준을 고려하면 듀오 사례와 단순 비교하기 어렵다는 목소리가 나온다. 한 업계 관계자는 “듀오 사례는 개인의 과거와 현재 삶을 대부분 파악할 수 있는 수준의 정보가 포함돼 있었다”며 “유출 정보의 질적 위험도 측면도 함께 고려할 필요가 있다”고 말했다.

과징금 규모 역시 큰 차이를 보인다. 듀오는 12억원의 과징금을 부과받았으며, 약 4000만명의 이용자 정보를 알리페이 등에 제공한 카카오페이 사건은 59억6800만원, 2016년 1030만명의 개인정보가 유출된 인터파크 사건은 44억원 수준이었다.

특히 듀오는 과징금 처분 당시까지 15개월 동안 피해자들에게 유출 사실을 알리지 않았지만 12억원의 과징금에 그쳤다. 반면 쿠팡은 사건 인지 후 고객들에게 유출 사실을 통보하고 전 직원을 특정해 정보 회수에 나서는 등 후속 조치를 진행했다는 점에서 단순 비교가 어렵다는 주장도 나온다.

쿠팡 본사 [사진=연합뉴스]

◆“매출 연동 과징금 한계”…업계, 제도 개선 필요성 제기=업계에서는 이 같은 과징금 격차가 현행 개인정보보호법의 과징금 산정 방식에서 비롯된다고 보고 있다. 현재 개인정보 유출 과징금은 직전 3개년 평균 매출액을 기준으로 최대 3%까지 부과할 수 있도록 설계돼 있다.

쿠팡의 최근 3개년 평균 매출은 약 36조원으로, 법상 최대 부과 한도를 단순 적용하면 과징금 규모는 1조원을 넘길 수도 있었다. 그러나 개인정보위는 전체 매출이 아닌 위반 행위와 직접 관련된 사업 매출만 반영했다. 이에 따라 쿠팡이츠, 쿠팡플레이, 기업간거래(B2B) 등은 제외하고 개인정보 유출이 발생한 이커머스 사업 매출을 중심으로 과징금을 산정했다.

업계 관계자는 “유출 정보의 민감성이나 실제 사생활 침해 위험보다 기업 규모와 매출액에 연동되는 구조”라며 “매출이 작은 기업은 상대적으로 가벼운 처분을 받고, 대기업은 동일한 위반행위에도 훨씬 큰 부담을 지게 된다”고 말했다.

개인정보위는 오는 9월부터 과징금 상한을 매출의 최대 10%까지 확대하는 시행령 적용을 앞두고 있다. 업계에서는 이에 대한 우려도 커지고 있다.

국가별 제도 차이도 존재한다. 유럽연합(EU)과 중국은 매출 연동 과징금 체계를 운영하고 있지만, 미국과 일본, 대만 등은 정액 과징금 또는 사법적 배상 중심 체계를 채택하고 있다.

일본은 개인정보보호법 위반 시 최대 1억엔 수준의 벌금을 부과하고 있으며, 대만은 최대 200만 대만달러의 과태료를 적용한다. 미국은 정부 과징금보다 집단소송과 민사 배상 중심으로 피해 구제가 이뤄지는 경우가 많다.

IT업계 전문가는 “수백만명의 고객 정보를 보유한 기업들은 지속적으로 해킹 표적이 되고 있다”며 “유출 규모와 매출액만을 기준으로 과징금을 산정할 경우 보안 투자 의욕을 저하시킬 수 있다”고 말했다. 이어 “정보의 민감도와 실제 피해 규모, 기업의 회수 노력 등을 종합적으로 고려한 균형 잡힌 제재 체계가 필요하다”고 덧붙였다.