개인정보보호위원회가 개인정보 유출에 대한 고강도 처벌 방안을 마련했다. 고의 또는 중대한 과실로 개인정보를 반복 유출하거나 1000만 명 이상에게 해를 입힌 기업에 전체 매출액의 최대 10%를 과징금으로 내야 한다. 기업들의 보안 의식에 경종을 울리겠다는 취지는 이해할 수 있다. 그러나 제재 수위가 기업의 생존을 뒤흔들 정도로 설계됐다는 점에서 부작용에 대한 우려가 앞선다.
10% 상한선은 글로벌 수준과 비교해도 과하다는 지적을 피하기 어렵다. 개인정보 보호에 엄격하다는 유럽연합(EU)의 GDPR(개인정보보호법)은 과징금 상한선을 전세계 매출액의 최대 4%로 규정한다. 과거 빅테크 길들이기 과정에서 제정된 중국의 개인정보보호법(PIPL)조차 매출액의 5%까지만 부과한다.
과징금 부과액을 높임에 따라 기업이 선제적으로 보안 투자를 확대할 것이라는 기대도 있다. 하지만 처벌의 강도를 높인다고 실효성이 높아지는 것은 아니다. 과도한 규제는 단순히 경각심을 높이는 차원을 넘어 기업에 치명적인 리스크로 작용할 수 있다.
유통이나 플랫폼 기업의 경우 마진율은 낮고 매출 규모는 큰 게 보통이다. 영업이익률이 2~3%대에 불과한 기업이 전체 매출의 10%를 과징금으로 내야 한다면 회사의 존립 자체가 위태로워질 수 있다. 과징금 규모를 정할 때 고의·중과실 여부, 피해 규모, 사후 수습 노력 등을 고려한다고 하지만 그때그때 여론과 담당자의 신념에 따라 주먹구구식 잣대가 적용될 수 있다는 게 문제다.
해킹 기술이 고도화하는 가운데 대기업조차 개인정보 유출 시도를 모두 차단하기 어려운 게 현실이다. 규제에 상응하는 보안 인프라를 구축할 여력이 없는 기업이 데이터 기반 사업 자체를 포기하는 사태도 속출할 수 있다. 기업들이 보안 사고를 자진 신고하고 신속하게 수습하기보다 유출 사실을 내부적으로 은폐할 가능성도 있다. 대규모 행정소송에 따른 행정력 낭비와 사회적 비용 발생도 불가피하다.
개인정보 보호를 위한 투자가 확대돼야 함은 분명하다. 하지만 기업의 자발적 투자를 끌어내지 못하는 과도한 처벌 중심의 규제는 개인정보 보호라는 본래 목적마저 훼손할 수 있다. 실질적인 피해에 대응하는 합리적인 제재 기준과 함께 사고를 예방하고 신속하게 신고·수습할 수 있는 제도적 유인이 필요하다.
