[박나룡 칼럼] 개인정보 침해사고 과징금 3%, 충분하지 않다

국내와 해외 간 과징금 역차별 발생 우려
전체 매출액 기준 EU GDPR 4%, 영국 4%, 중국 5%, 캐나다 5%

개인정보보호위원회가 개인정보보호법 2차 개정을 추진하면서 개인정보 침해 사고가 발생한 기업에 대해 총 매출액의 3% 이하에 해당하는 금액을 과징금으로 부과할 수 있도록 강화한 것을 두고 ‘과하다’, ‘적당하다’ 등 다양한 의견들이 나오고 있다.

기존 법령에는 ‘위반행위 관련’ 매출액의 3%를 과징금으로 부과할 수 있도록 하고 있지만, 실질적인 과징금 제재 수준이 솜방망이 수준이고, 충분하지 않다고 느끼는 국민이 다수를 차지하는 상황에서 시의적절한 개정 추진이라고 볼 수 있다.

개인정보전문가협회(KAPP)의 Data Privacy : Trends & Insights 2021 Survey Report에 188명을 대상으로 설문조사한 내용에 따르면, 기업 활동을 위축시키는 요소로서 ‘복잡하고 중복된 규제(개인정보, 위치정보, 신용정보 규제의 중복 등)’가 56.4%를 차지하고, ‘법 위반행위에 대한 과도한 제재(형사처벌, 과징금 등)’는 23.4%를 차지하고 있어 실제 기업 활동을 위축시키는 것은 위반에 대한 제재보다는 복잡한 규제에 있다는 것을 나타내고 있다.

또한, 개인정보보호를 위해 도입·강화되어야 하는 사항으로 41.2%가 ‘과징금액 상향 등 법위반에 대한 제재 강화’를 선택했다는 사실은 기존의 개인정보 담당자나 임직원들에게 과도하게 적용되던 형사처벌보다, 과징금 상향을 통한 개인정보처리자(기업 등)의 인식을 개선하도록 유도하는 것이 더 필요하다는 것을 잘 보여준다.

개인정보보호위원회는 전체 매출의 3%이하(매출액이 없거나, 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우:20억 원 이하)라는 의미를 고의적으로, 반복적인 위법 행위가 발생했을 때 부과할 수 있는 최고 금액으로 명시한 것이고, 고의·중과실, 중대성, 필수적·추가적 가중·감경 등을 통해 적절한 과징금 부과기준을 수립하고 있다.

전체 매출액을 기준으로 과징금을 산정하고 있는 다른 국가의 사례를 살펴보면, EU GDPR은 중대한 규정 위반에 대해 2,000만 유로 또는 전 세계 매출의 4%에 해당하는 금액의 과징금을 부과할 수 있고, 영국은 정보위원회(ICO)의 과징금 부과 권한을 강화하여 과징금 액수를 1,700만 파운드 또는 전 세계 매출의 4%에 해당하는 금액으로 상향하고 있다.

중국은 법규 위반 시 전체 매출액의 최대 5%를, 캐나다는 소비자개인정보보호법(CPPA)을 위반한 기업에 대해 전체 매출의 최대 5%까지 과징금을 부과하도록 하고 있다.

이는, 국내 기업이 유럽에서는 전체 매출의 4%를, 캐나다에서는 전체 매출의 5%를 과징금으로 부과 받을 수 있는 반면에, 해외 기업은 국내에서 전체 매출의 3%이하만 과징금으로 부과 받을 수 있어 제재의 상호 비례 원칙에도 어울리지 않는다.

따라서, 국내 기준도 글로벌 기준과 동일한 비율로 과징금을 상향하여 제재의 역차별을 방지할 필요가 있다.

기존의 임직원에 대한 과도한 형사처벌 중심의 제재를 개인정보처리자에 대한 경제벌 중심으로 전환하는 과정에서 과징금의 비율을 기존보다 상향하여 전체 매출액의 3%기준을 제시했지만, 이 기준을 글로벌 과징금 부과 비율과 정보주체인 국민의 정서에 부합하는 수준으로 보기에는 어려운 수준이다.