[단독] 정보 턴 도둑은 500만원, 털린 회사는 4000억…개인정보 유출 처벌의 역설

정보유출범 처벌 솜방망이
5년간 개인정보 유출 사건서
범죄자 벌금 평균 473만원뿐
기업엔 매출 10% 과징금 공포
일반인도 AI로 해킹하는 시대
기업 처벌 대신 기술지원 필요

기사 이해를 돕기 위한 AI 이미지. [챗GPT]

개인정보를 대규모로 빼돌린 범죄자는 수백만원의 벌금형을 선고받는 반면, 정보를 탈취당한 기업에는 수백억~수천억원의 과징금이 부과되고 있다. 때문에 당국의 제재가 유출범보다 유출당한 기업에 기울어져 있다는 비판이 제기된다.

전문가들은 “개인정보 유출범 처벌을 강화하고, 유출을 당하는 기업에게는 제재보다는 방어기술을 지원하는 ‘투트랙’ 전략을 짜야 한다”고 입을 모은다.

11일 매일경제가 2021~2025년 5년간 개인정보 1000건 이상 유출된 사건(개인정보보호법 위반, 정보통신망법 위반 등) 70건의 판결문을 분석한 결과 유죄가 선고된 피고인 152명(일부무죄 포함) 중 벌금형이 66명(43.4%)으로 절반에 육박했다. 벌금은 개인(59명)이 평균 473만원, 법인(7곳)이 평균 1471만원 수준이었다.

실제로 지난해 인천지법 부천지청 1심 재판부는 모 대학병원 내과 의국장을 지낸 의사 4명이 2018~2019년 수천명의 환자들의 처방내역 수만건을 제약회사의 영업직원에게 제출한 사건에서 이들에게 각각 벌금 800만원을 선고했다. 한편 이들의 범행을 방지하기 위한 대책을 마련하지 못했다는 이유로 학교법인은 1심에서 벌금 1500만원, 2심에서 벌금 1000만원을 선고받았다. 환자 개인정보를 유출한 당사자들보다 이들이 속한 법인이 더 큰 책임을 맡은 셈이다.

뿐만 아니다. 개인정보를 유출당한 기업이나 공공기관은 형사처벌을 받지 않더라도 당국의 제재 대상이 되기 일쑤다.

개인정보보호위원회는 지난 6월 고객정보 유출 사고를 겪은 쿠팡에 안전조치 의무 위반 등을 이유로 약 4236억원의 과징금을 부과했다. 지난해 8월에는 해킹으로 고객 2324만여 명의 정보가 유출된 SK텔레콤에 보안 관리 부실 등의 책임을 물어 약 1348억원의 과징금을 부과했다.

지난달부터는 개인정보보호법이 개정돼 반복되거나 중대한 개인정보 침해가 일어난 기업에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 됐다.

법조계에서는 최근 개인정보를 유출당한 기업이 범행을 방지하지 못했을 경우 최대 매출의 10%까지 과징금을 부과할 수 있게 되면서 이 같은 불균형이 가속화될 수 있다는 우려가 나온다.

고환경 변호사는 “기업에게 관리 미흡 책임을 물어 막대한 과징금을 부과하거나, 기업이 소비자들로부터 단체 소송을 당하게 되면 오히려 기업의 재무상황이 악화돼 해킹 방어 등 재발방지에 힘 쓸 여력이 없어질 수 있다”며 “자체 방어 체계를 갖추기 어려운 중소기업에게 전산망 체계를 구축해주는 등 국가 차원의 기술 지원이 더 필요하다”고 말했다.

개인정보 유출 사고의 책임을 기업에게 전가하는 사이 일반 개인들도 악성 프로그램을 통한 사이버 테러에 쉽게 접근할 수 있게 됐다.

지난 2022년 대구에서는 고등학교 동창 사이인 남성 2명이 도박사이트를 상대로 디도스 공격을 가한 후, 이를 해결해주겠다며 보호비 명목으로 총 1억원 이상을 가로챘다. 1심 재판부는 이들의 죄질이 매우 좋지 않다고 지적하면서도 범행을 반성하고 있고 초범인 점을 고려해 징역형 집행유예를 선고했다.

김선희 변호사(법무법인 율촌)는 “개인정보를 유출하거나 유통한 이들은 법 조문상 형량이 가볍지 않지만 이를 좀 더 효과적으로 집행하고, 범죄수익을 적극 몰수할 필요가 있다”며 “유출을 당한 기업들은 적절한 관리 조치를 운영했다면 과징금을 부과받지 않는 선례도 축적해나가야 한다”고 말했다.