고의 없어도 개인정보 유출땐 손배 강화… ‘제2 쿠팡 논란’ 막는다

동아일보

당정 “유출 입증 책임 기업에 부여
실질적 배상 이뤄지도록 제도 강화”
조사 비협조땐 이행강제금 부과
정보 불법유통 가담 제3자도 처벌

앞으로 기업의 개인정보 유출 사건이 발생하면 기업 스스로 “과실이 없다”는 것을 입증해야 손해배상 책임에서 벗어나게 된다. 개인정보보호위원회의 조사 권한도 강화해 기업의 개인정보 유출 책임을 좀 더 명백하게 드러낼 수 있게 하기로 했다. 대규모 개인정보가 유출되는 ‘제2의 쿠팡 사태’를 방지하기 위해 기업의 책임을 강화하기 위한 것.

● “기업 스스로 개인정보 유출 책임 없음 밝혀내야”

더불어민주당과 개인정보보호위원회는 4일 국회에서 당정협의회를 열고 개인정보 유출 사건에 대한 기업의 책임을 강화하는 개인정보보호법 개정안을 논의했다. 민주당 측에선 한정애 정책위의장, 박상혁 강준현 의원이 참석했고, 정부 측에서는 송경희 개보위원장, 양청삼 개보위 사무처장 등이 참석했다. 한 의장은 이날 모두발언에서 “최근 대규모 개인정보 유출 사고가 반복되면서 국민이 느끼는 불안과 우려가 매우 커지고 있다”며 “잦아지는 유출 사고에 대응할 법 제도에 대한 재검토가 필요하다”고 말했다.

당정은 개인정보 유출 사건이 발생할 시 사건 입증 책임을 기업에 부여하기로 했다. 현행 개인정보보호법 39조 1항에 규정된 ‘개인정보처리자(기업 등)는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다’는 단서 조항을 삭제하는 방식이다. 그간 이 조항에 근거해 기업이 사건에 고의가 없다는 것만 입증하면 피해자들은 제대로 보상을 받지 못했다. 박 의원은 “현행 제도에는 고의·과실이라는 요건이 있어 피해자가 충분히 보상받을 수 없었다”며 “사건에 대한 입증 책임을 기업이 지도록 해 실질적인 배상이 이뤄지도록 법정 손해배상제도를 강화할 것”이라고 설명했다.

개보위의 조사 권한도 실질적으로 확대된다. 개인정보 유출 사건이 발생했을 때 기업이 조사에 협조를 하지 않거나 시정 명령을 이행하지 않을 경우 이행강제금을 부과할 수 있도록 한 것. 해킹 등으로 유출된 개인정보가 다크웹 등에서 불법 유통되며 발생하는 2차 피해를 막기 위한 규정도 개인정보보호법에 신설된다. 유출된 개인정보임을 알면서도 이를 구매하거나 제공·유포하는 행위까지 처벌 대상으로 명확히 해 해커뿐 아니라 불법 유통에 가담한 제3자까지 책임을 묻겠다는 취지다.

개인정보 보호 시스템이 취약한 중소기업의 부담이 커질 수 있다는 우려는 사전 예방 중심의 지원책으로 보완하겠다는 방침이다. 양 사무처장은 “사전 예방적 투자를 하거나 모의 해킹 등으로 보안 체계를 강화한 기업에는 과징금을 감경해 주는 법안이 국회에 계류돼 있다”며 “내년에는 중소기업 지원 프로그램을 대폭 강화할 것”이라고 했다.

● 與野 앞다퉈 유출 방지 대책 마련

야당도 개인정보 유출 사건 대책 마련에 나서고 있다. 국민의힘 강명구 의원은 3일 개인정보 처리자가 유출 사건에 대한 대응 조치를 하지 않거나 조치가 미흡하다고 판단되는 경우 개보위가 개인정보 유출 사실과 대응 조치에 대한 안내를 어떻게 해야 하는지 규정하도록 개인정보보호법 개정안을 발의했다.

정치권이 개인정보 피해 방지에 앞다퉈 나서고 있는 것은 지난해부터 대규모 개인정보 유출 피해가 잦아지면서다. 지난해 4월 서버 해킹으로 SK텔레콤 가입자 약 2696만 명의 유심(USIM) 인증정보, 전화번호 등 개인정보가 외부로 유출됐다. 이어 쿠팡에서는 2025년 6월부터 11월 사이 약 3370만 명에 달하는 고객 계정 정보가 무단 접근으로 유출되기도 했다.

이후 대규모 개인정보 유출 사건이 반복되는 데 반해 기업이 사실상 책임을 지지 않거나, 배상과 제재 수준이 지나치게 낮았던 사례가 반복돼 왔다는 지적이 나왔다. 개보위에 따르면 최근 5년간 공공·민간 부문에서 유출된 개인정보는 총 8854만3632건에 달한다. 그러나 이 기간 부과된 과징금은 877억2732만 원, 과태료는 24억9880만 원에 그쳤다. 건당으로 환산해 평균 과징금을 따지면 1019원 수준에 불과하다.

송 위원장은 “개인정보 유출 사건이 발생하는 경우 국민 눈높이에 상응하는 엄정한 제재와 실효적 손해배상이 이뤄지도록 할 것”이라며 “공공·민간의 사전적 투자 보호를 촉진하고 선제적 예방 점검을 강화해 유출 사건 발생을 최소화할 계획”이라고 말했다.