개인정보보호위원회가 올해 8월까지 기업에 부과한 과징금이 7590억원을 넘었다. 출범 첫해인 2020년 68억원의 112배다. 이 돈이 국고에 들어오려면 4~5년을 기다려야 한다. 기업들이 소송을 걸어서다. 오는 11일부터는 3년 안에 같은 위반을 되풀이하거나 1000만명 이상 피해를 낸 경우 매출의 10%까지 부과하는 징벌적 과징금이 시행된다.
6일 개인정보위가 머니투데이에 확인해준 연도별 과징금 합계는 △2020년 68억원 △2021년 82억원 △2022년 1018억원 △2023년 232억원 △2024년 612억원 △2025년 1678억원 △2026년(8월 기준) 7589억원 등이다. 고객 3755만명의 정보가 샌 쿠팡 건 6247억원이 올해 총액의 82%를 차지한다. 모두 의결 기준으로 과태료는 빠진 금액이다.
7월 말 기준 처분에 반발해 진행 중인 소송은 17건이다. 1심 판결이 난 구글·메타(2건)·삼성전자·카카오·카카오페이 등 6건은 모두 개인정보위가 이겼지만 패소한 기업들이 모두 항소했다. 개인정보위가 생긴 뒤 2024년 말까지 50억원 넘는 과징금 10건 중 6건이 소송으로 갔다. 소송 대신 개인정보위에 "다시 봐 달라"는 이의신청은 한 건도 없었다.
소송은 오래 걸린다. 2022년 9월 시작된 구글(692억원)과 메타(308억원)의 소송은 4년이 지난 지금도 2심에 머물러 있다. 2020년 페이스북에 부과한 과징금 67억원이 적법하다고 대법원에서 확정되기까지 4년 3개월 걸렸다. 골프존 사건(75억원)은 처분 2년이 지나도록 1심에 있다. 올해 1월 소송을 낸 SK텔레콤(1348억원) 사건과 소송을 예고한 쿠팡 사건은 2030년쯤에야 결론이 날 전망이다.
법원에서 처분이 뒤집히면 받은 돈을 이자까지 붙여 돌려줘야 한다. 개인정보위 처분이 법원에서 취소되거나 깎여 확정된 사례는 위메프(18억5200만원)·KT(7000만원)·이스트소프트(1억1200만원) 3건이다. 돌려준 원금만 20억3400만원이고 여기에 연 3.1%의 이자가 붙는다. 셋 다 2020년 개인정보위가 생기기 전 방송통신위원회가 매긴 과징금을 넘겨받아 다툰 사건이다.
기업이 소송을 포기하지 않는 이유는 크게 두 가지다. 뒤집힌 전례가 있고, 과도한 과징금을 그대로 수용하면 배임이 되기 때문이다. 위메프는 2018년 11월 이벤트 페이지 설정 오류로 고객 20명의 정보가 다른 이용자 29명에게 노출돼 과징금 18억5200만원을 부과받았다. 대법원은 쇼핑몰 전체 매출을 기준으로 과징금을 매긴 것 자체는 적법하다고 보면서도, 오류가 하루짜리였고 주민등록번호와 비밀번호는 새지 않은 점을 들어 "제재적 성격이 지나치게 강조돼 위법성의 정도에 비해 과중하게 산정됐다"고 판단했다. 2023년 10월 과징금 처분 취소가 확정됐다.
해외에는 소송으로 가기 전 분쟁을 끝내는 장치가 있다. 미국에서는 개인정보 제재가 소송이 아니라 합의로 끝난다. 컬럼비아로리뷰 논문은 연방거래위원회(FTC)의 개인정보 관련 제소 154건 가운데 합의 없이 끝난 사건이 6건뿐이었다고 집계했다. 개인정보위에는 기업이 스스로 고칠 방안을 내면 제재를 감면해 주는 동의의결 제도가 없었다. 지난 7월에야 도입을 공식화했다.
과징금은 국고로 들어간다. 정보가 샌 피해자는 보상을 받으려면 따로 민사소송을 내야 한다.