상장協 "정보보호 공시 의무화, 기업에 과도한 부담"

단순 매출액으로 기준 삼아 부적절

[아시아경제 이민우 기자] 정보보호산업법 개정안에 따라 매출 500억원 이상인 상장사가 정보보호 공시 의무대상이 되는 경우 과도한 부담이 된다는 지적이 나왔다.

한국상장회사협의회는 이 같은 의견을 전날 과학기술정보통신부에 제출했다고 20일 밝혔다.

앞서 지난 8월11일 정보보호산업법 시행령 일부개정령안이 입법예고되면서 ▲기간통신사업자, 집적정보통신시설 사업자, 상급종합병원, 클라우드컴퓨팅서비스 제공자 ▲유가증권시장·코스닥시장 상장법인 중 전년도(전 사업연도) 매출액이 500억원 이상 ▲전년도 말 기준 직전 3개월간의 일일평균 이용자 수가 10만명 이상은 정보보호 공시 의무대상이 됐다.

상장협은 이를 시급성, 파급력이 고려되지 않은 과도하게 확장된 의무 부과라고 지적했다. 매출 500억원 이상인 상장법인은 전체 상장사의 약 63%에 해당하며 매출액 500억원 이상 상장사 중 약 4분의 1은 중소기업이라는 설명이다.

당초 계획된 안에는 정보통신서비스를 제공하여 매출을 발생시키는 기업에 한정됐으나 개정안에서는 단순 매출액 기준으로 의무를 부과하게 된 점을 꼬집었다. 상장협은 "선정기준이 크게 달라진 이유가 불분명하며, 기업의 의무만 확대할 뿐 수집한 정보를 어떻게 관리·활용할지 구체적 계획 수립 여부는 알 수 없다"고 비판했다.

정보보호산업법 시행령 일부개정령안의 정보보호 의무공시 대상 기준(제공=한국상장회사협의회)

상장회사의 ESG(환경·사회·지배구조) 공시 의무화 차원이라면 공개 내용, 방법, 공개시기, 의무화 일정 등에 대해 통합적인 검토가 우선돼야 한다고도 강조했다.

상장협은 "미국, 일본과 같은 주요국에서는 ‘가이던스’ 또는 ‘가이드라인’으로 정보 공개를 권장하고 있을 뿐 어디까지나 기업의 자율적 판단에 맡기고 있다"며 "개별 법령에서의 공시 의무화 및 공시대상 선정은 반드시 필요한 경우에 한하여 최소화될 필요가 있다"고 주장했다. 또한 "개인정보보호법상 정보 유출 시 기업 제재를 강화하면서도 예방 목적의 정보 공개를 의무화해 이중 규제로 작용한다는 점도 고려돼야 한다"고 덧붙였다.

이민우 기자 letzwin@asiae.co.kr