과징금의 무게, 책임의 기준 [지평 테크레이더]

해킹과 개인정보 유출사고가 업종을 가리지 않고 이어지고 있다. 언론 집계에 따르면 지난 10월 한 달 동안 은행·증권사·대학·항공사·커피전문점 등 25개 기업·기관에서 드러난 개인정보 유출 규모를 단순 합산하면 약 534만 건이다.

지난 9월 11일 시행된 개정 개인정보 보호법은 일정한 중대한 위반행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 의도적·반복적이거나 피해가 중대한 위반에 대한 제재를 강화하고 기업의 사전 보안투자를 유도하려는 취지다. 과징금의 상한이 높아진 만큼, 강화된 제재에 걸맞은 책임의 판단기준도 중요해졌다.

매출액 기준과 비례성

2023년 개인정보 보호법 개정으로 과징금 상한의 기준은 위반행위와 관련된 매출액에서 기업의 전체 매출액으로 확대됐다. 과징금의 기준금액은 전체 매출액에서 사업자가 소명한 위반행위와 관련 없는 매출액을 뺀 뒤 위반행위의 중대성에 따른 비율을 적용해 산정한다.

유럽연합(EU)의 일반개인정보보호법(GDPR)은 위반 유형에 따라 전 세계 연간 매출액의 2% 또는 4% 등을 과징금 상한으로 정한다. 유럽정보보호이사회(EDPB)의 과징금 산정 지침은 위반행위의 유형과 중대성을 고려해 출발금액을 정하고, 기업의 매출액 규모와 가중·감경 사유 등을 반영해 최종 금액을 산정하도록 한다. 전체 매출액에서 관련 없는 매출액을 빼고 중대성에 따른 비율을 곱하는 우리 방식과는 다르다. 산정 구조만 놓고 보면, 위반의 중대성에서 출발해 책임의 정도를 첫 단계부터 반영하는 EU 방식이 책임주의와 비례성 원칙에 좀 더 가깝다고 본다.

매출액은 기업의 규모와 경제적 능력을 나타내지만, 매출이 크다고 위반의 책임이 당연히 무거워지는 것은 아니다. 과징금은 부당이득 환수와 제재의 성격을 함께 가지며, 매출액은 위반행위로 얻은 이익뿐 아니라 기업의 경제적 능력과 제재의 억지력을 반영하는 기준이기도 하다. 그러나 개인정보 보호조치를 소홀히 했다고 그에 상응하는 매출이나 이익이 발생하는 것은 아니다. 대법원은 개인정보를 적절히 보호하지 않은 채 영업에 보유함으로써 얻은 이득을 환수 대상으로 파악하고, 해당 개인정보를 보유·관리하는 서비스의 매출액을 과징금 산정의 기준으로 보았다. 개인정보 유출로 직접 얻은 이익을 특정하기 어려워도 해당 개인정보가 이용되는 관련 서비스의 매출액을 기준으로 과징금을 산정할 수 있다고 본 것이다.

개인정보 유출 과징금은 본래 부당이득 환수만으로 설명하기 어려운 측면이 있다. 산정기준이 전체 매출액으로 확대되고 상한까지 10%로 높아지면서 제재적 성격은 더욱 두드러졌다. 부당이득 환수는 위법행위로 얻은 이익을 기준으로 하지만, 제재는 위반행위의 비난가능성과 책임의 정도에 비례해야 한다. 대법원은 법정 상한 이내라도 과징금이 위반행위에 비해 현저히 과중하면 위법할 수 있다고 판단했다.

개인정보 유출사고에서 기업의 책임은 물건을 도둑맞은 창고 관리자의 책임에 비유할 수 있다. 물건을 훔친 것은 도둑이다. 도난사고가 발생했다는 이유로 국가가 창고 관리자를 제재하는 것은 어디까지 정당할까. 관리자가 필요한 안전조치를 다했는지, 주의의무를 위반했다면 그 정도가 어떠했는지를 따져야 한다. 출입문 점검을 소홀히 한 경우와 잠금장치가 고장 난 사실을 알고도 방치한 경우의 책임은 같을 수 없다.

중대한 과실의 해석

10% 특례가 ‘고의 또는 중대한 과실’을 요건으로 둔 것도 같은 맥락에서 이해할 수 있다. 올해 도입된 특례는 과징금 처분을 받은 날부터 3년 이내에 같은 유형의 위반행위를 반복한 경우, 앞선 위반행위와 이후의 위반행위에 각각 고의 또는 중대한 과실이 있을 것을 요구한다. 고의 또는 중대한 과실로 1000만명 이상에게 피해를 발생시킨 경우에도 적용될 수 있다. 개정법은 개인정보 보호를 위한 예산·인력·설비 투자와 관리체계 운영 등에 대해 기준금액의 최대 40%까지 감경할 수 있도록 하되, 고의 또는 중대한 과실이 있는 경우에는 이러한 감경을 배제했다. 중대한 과실의 인정 여부가 가중제재의 적용과 감경 가능성을 모두 좌우하는 셈이다.

고의적인 위반과 달리 중대한 과실은 일반적인 관리 소홀과의 경계가 명확하지 않다. 판례는 조금만 주의를 기울였더라면 결과를 쉽게 예견하거나 회피할 수 있었는데도 이를 소홀히 하는 등 주의의무를 현저히 위반한 경우를 중대한 과실로 본다. 이때 사고의 경위와 주의의무 위반의 원인·내용, 당시의 구체적인 상황 등을 종합적으로 고려한다.

개인정보 유출사고에서는 이러한 판례상 기준을 구체적으로 어떻게 적용할 것인지가 문제다. 개인정보처리자의 안전조치의무는 기술적·관리적 특성이 있고 외부 공격자의 행위도 개입한다. 위험을 예견할 수 있었는지, 이를 방지할 현실적인 수단이 있었는지, 사고 이전에 어떤 조치를 취했는지 등을 살펴야 한다. 그러나 이러한 사정들은 일반적인 과실을 판단할 때에도 고려되는 요소들이다. 결국 어느 정도의 주의의무 위반을 ‘현저한 위반’으로 볼 것인지가 문제다. 안전조치를 소홀히 했다거나 유출 규모가 크다는 이유만으로 중대한 과실까지 당연히 인정되는 것은 아니다.

기존 판례가 제시한 주의의무의 현저한 위반이라는 기준을 개인정보 유출사고의 특성에 맞게 구체화해야 한다. 기술적 보호조치의 미비가 어느 정도에 이르러야 ‘현저’하다고 보아 중대한 과실에 해당하는지, 사고 이전의 위험 인식과 대응 노력을 어떻게 평가할 것인지에 관해 감독당국의 일관된 판단과 사례가 축적될 필요가 있다. 과징금의 상한을 높이는 것만큼 그 상한을 적용할 책임의 기준을 분명히 하는 일도 중요하다.

[지평 테크레이더]에서는 ­AI, 데이터, 디지털 기술 발전에 따라 급변하는 법·제도 환경을 기업ㆍ기관 실무자가 이해하기 쉬운 형태로 전달하고자 합니다. 최정규 변호사는 지평 IP·IT 그룹장 및 개인정보·데이터·AI팀장으로서, 지식재산, 인공지능, 개인정보·데이터 분야의 자문 및 분쟁 업무를 수행하고 있습니다. 개인정보 분쟁조정위원회 위원으로도 활동하고 있습니다.