개인정보위는 법과 원칙에 따라 위반행위에 비례한 과징금을 산정하고 있습니다.

○ '26.11.2.자 "수천억 과징금 폭탄…개보위 제재 기준 논란"(매경이코노미) 보도와 관련한 사실관계를 설명드립니다.

1. 주요 보도내용

 ○ 해킹을 당한 기업에 대규모 과징금을 부과하는 등 제재에 치중하고 있으며, 불가항력적인 해킹사고까지 기업에 지나치게 부담을 지운다는 우려

     ※ 해킹에 책임을 물어 쿠팡에 6,246억원 부과(1,347억원을 부과한 SK텔레콤의 4.6배)

     ※ "경찰이 집에 도둑이 든 책임을 물어 도둑 대신 집주인을 처벌하는 꼴"이라는 지적

 ○ 실제 피해와 관계없이 매출액에 비례하여 과징금을 부과하는 등 과징금 부과가 형평성에 맞지 않으며, 과징금 부과기준이 명확하지 않음

     ※ 주민등록번호·카드번호 등 유출된 정보의 위험도가 높은 롯데카드에 96억원, 종교·직장·혼인 여부 등 민감한 정보가 유출된 듀오에 12억원에 불과한 금액 부과 지적

 ○ 반면 민간기업에 비해 공공기관에 대한 제재는 미흡하다는 지적

2. 설명 내용

 ○ 개인정보보호위원회(이하 '개인정보위')가 부과하는 과징금은 해킹을 당한 것에 대한 제재가 아니라 국민의 개인정보를 실효적으로 보호하기 위해 개인정보 보호법에서 정한 유출 방지 안전조치의무를 위반한 데 따른 제재입니다.

     ※ 쿠팡에 부과한 6,246억원 중 인증키 관리 등 유출 방지 소홀에 대한 과징금은 4,235억원, 행태정보 무단 수집에 따른 이용자의 권리침해에 대한 과징금은 2,011억원

 ○ 아울러 과징금은 사고 이후의 처벌과 징벌에만 초점을 둔 것이 아니라 개인정보 보호 체계의 강화를 목적으로 하는 제도로서 이를 위해

  - ① 기업이 유출 이전에충분한 예방 투자를 하거나 유출 이후에피해 최소화를 위해 신속 대응한 경우 과징금을 감경하는 제도를 이미 두고 있으며,

  - ② 정보주체의 권리 보호를 위해 개인정보처리자의 책임을 강화하는 방향으로 법정손해배상 제도 개선을 추진하는 제도적 노력도 병행하고 있습니다.

 ○ 한편, 과징금은 법령과 고시에서 정한 산정기준에 따라 유출된 정보의 규모와 유형, 2차 피해 여부, 피해 회복 및 확산 방지 조치 등 개별 사건의 구체적인 사정을 종합적으로 고려하여 체계적으로 부과하고 있습니다.

     ※ 롯데카드 사례의 경우 개인정보위는 신용정보법에서 다루고 있지 않은 주민등록번호 처리 의무 위반에 대해 96억원을 부과하였고, 유출 방지 안전조치의무 위반에 대해서는 금융위원회가 과징금 50억원 및 1.5개월 업무정지 별도 부과

     ※ 듀오의 경우 유출된 정보가 사생활에 미치는 영향이 큰 민감정보인 점을 고려하여 위반행위 중대성을 '매우 중대한 위반행위'로 판단하는 등 엄정히 처분

 ○ 매출액 연동 부분도 기업의 경제적 능력에 상응하는 제재를 통해 위반행위 억지력을 확보하기 위한 것으로, 매출액이 높은 대기업은 중소사업자보다 더욱 높은 책임성이 부여됩니다.

     ※ 대법원은 개인정보 유출 사건에서 과징금이 불법적 경제적 이익 박탈을 위한 부당이득 환수 성격과 위반행위 제재의 성격도 가진다고 판시(2022두68923 판결)

  - 유럽연합(EU)·영국·싱가포르 등 주요국도 제재의 실효성을 고려하여 우리와 유사하게 매출액을 기반으로 과징금을 부과하는 체계를 갖추고 있습니다.

 ○ 공공기관의 경우 2023년 9월부터 최대 20억원, 2026년 9월부터는 중대·반복 위반행위에 대해 최대 50억원까지 과징금을 상향하는 등 과징금 제재 수준을 지속적으로 강화하고 있습니다.

  - 아울러 예산으로 운영되어 민간과 달리 경제적 제재에 한계가 있는 공공기관의 특성을 고려하여 위반행위 전면 공표, 징계권고 강화, 보호수준 평가 연계 확대 등을 통해 책임성을 강화하고 있습니다.

 ○ 앞으로도 개인정보 유출에 대한 엄정한 제재와 기업의 자율적인 개인정보 보호 투자 확대가 조화를 이룰 수 있도록 제도를 운영해 나가겠습니다.