개인정보보호위원회가 쿠팡 개인정보 유출 사고 등에 대해 역대 최대 규모인 6000억원대 과징금을 부과하면서 업계 안팎에서 형평성 논란이 일고 있다.

대규모 개인정보 유출 사고에 대한 책임을 물어야 한다는 점에는 이견이 크지 않지만, 비슷한 개인정보 침해 사례와 비교했을 때 과징금 규모가 과도한 것 아니냐는 지적이 제기되고 있다.

11일 개인정보보호위원회는 쿠팡의 개인정보 유출 등 위반 행위에 대해 총 6246억8100만원의 과징금을 부과한다고 밝혔다.

세부적으로는 개인정보 유출 사고와 관련해 4235억7500만원, 타사 온라인 무단 수집 행위와 관련해 2011억600만원, 쿠팡풀필먼트서비스(CFS)에 2억4800만원이 각각 부과됐다. 

이 가운데 개인정보 유출 사고에 대한 과징금이 대부분을 차지했다.

송경희 개인정보보호위원회 위원장이 11일 서울 종로구 세종대로 정부서울청사에서 쿠팡 및 계열사의 개인정보 유출 및 침해 제재처부 의결 발표를 하고 있다. 위원회는 쿠팡에 총과징금 6,246억 8,100만 원, 과태료 1,680만 원을 부과하고, 쿠팡 플필먼트 서비스의 개인정보처리 위반 등에 대해서는 과징금 2억 4,800만 원 부과 의결했다 / 뉴스1

이번 처분은 기존 국내 최대 규모였던 SK텔레콤 개인정보 유출 사고 과징금 1348억원을 크게 웃도는 수준이다. 

글로벌 기준으로 보더라도 외부 해킹이나 내부자 유출 사고에 부과된 제재금 가운데 이례적으로 높은 수준이라는 분석이 나온다.

쟁점은 처분의 비례성과 형평성이다. 업계에서는 지난해 제재를 받은 카카오페이 사례가 비교 대상으로 다시 거론되고 있다. 

개인정보보호위원회 조사에 따르면 카카오페이는 2018년 4∼7월, 2019년 6월∼2024년 5월 이용자 동의 없이 이용자별 고유번호, 충전 잔고 등 24종의 개인정보 약 542억건을 애플의 수탁사인 알리페이에 자동 전송한 것으로 드러났다.

전송은 사실상 매일 이뤄졌으며, 애플에 카카오페이를 결제 수단으로 등록한 이용자가 전체의 20% 미만이었음에도 안드로이드 이용자 등 서비스 미사용자 정보까지 함께 넘어간 것으로 조사됐다.

전송된 정보에는 휴대전화 번호, 이메일 주소, 충전 잔고, 최근 1주일간 결제 및 송금 건수 등 금융 거래와 관련된 정보도 포함됐다.

업계에서는 이를 두고 "기업이 사업적 필요를 이유로 고객 정보를 조직적으로 해외 이전한 중대 사안"이라는 지적이 나왔다. 그러나 카카오페이에 부과된 과징금은 59억원에 그쳤다.

반면 쿠팡의 경우 회사 몰래 내부자의 계획적 유출 정황이 제기된 상황이다. 

그럼에도 과징금 규모는 카카오페이의 100배를 넘어선다. 이에 "고의적·조직적 국외 이전보다 내부자 유출 사고에 더 무거운 제재가 내려진 것이 타당하냐"는 비판이 제기되고 있다.

일부 온라인 여론에서도 비슷한 반응이 이어지고 있다.

기사의 이해를 돕기 위한 자료사진 / 뉴스1

11일 주요 포털사이트 관련 기사 댓글에는 "고객 정보를 무단으로 해외에 넘긴 기업은 수십억원대 과징금을 받았는데, 내부자 유출 사고가 발생한 기업에는 수천억원대 과징금이 부과되는 것은 납득하기 어렵다"는 취지의 의견이 올라왔다.

또 다른 누리꾼은 "유출 규모가 컸던 통신사 사고보다도 과징금이 몇 배나 큰 것은 과도하다"고 지적했다.

시민단체 자유기업원도 이날 '쿠팡 개인정보 유출 제재, 책임은 묻되 비례원칙에 따라야 한다'는 논평을 통해 "대규모 이용자 정보를 보유한 플랫폼 기업에서 발생한 개인정보 유출 사고라는 점에서 결코 가볍게 볼 수 없다"면서도 "과징금 규모가 지나치게 과도하면 비례 원칙에 어긋날 수 있다"고 밝혔다.

전문가들과 업계 관계자들은 이 같은 논란의 배경으로 현행 개인정보 보호법상 과징금 산정 방식의 한계를 지목한다.

현행법은 개인정보 보호법 위반 행위에 대해 직전 3개년 평균 매출액의 최대 3%까지 과징금을 부과할 수 있도록 하고 있다. 기업 규모가 클수록 과징금이 커지는 구조다.

업계 관계자는 "유출된 정보의 민감도나 실제 사생활 침해 위험보다 기업의 외형적 매출 규모에 과징금이 크게 연동되다 보니 처분의 체감 형평성 문제가 발생한다"고 말했다.

이어 "중소·중견기업이 신체정보, 종교, 재산 등 민감한 정보를 유출하더라도 매출 규모가 작으면 상대적으로 가벼운 처분에 그칠 수 있다"며 "반대로 대기업은 2차 범죄 악용 가능성이 상대적으로 낮은 일반 식별 정보가 유출돼도 수백억에서 수천억원대 과징금을 물 수 있다"고 지적했다.

기사의 이해를 돕기 위한 자료사진 / 뉴스1

실제 결혼정보업체 듀오의 경우 유출 규모는 43만명으로 쿠팡보다 작았지만, 종교·신체·체중·혈액형 등 민감한 정보가 포함됐다는 점에서 사안의 질적 위험성이 작지 않다는 지적이 나왔다. 

다만 위반행위 발생 직전 3년간 평균 매출액이 413억원 수준이어서 과징금은 12억원대로 산정됐다.

개인정보 보호 강화라는 정책 방향 자체에는 공감대가 있지만, 정보의 민감도와 고의성, 피해 가능성, 기업의 관리 책임 정도를 종합적으로 고려하는 정교한 산정 체계가 필요하다는 목소리가 커지는 이유다.

또 다른 업계 관계자는 "개인정보 보호는 반드시 강화돼야 하지만 유출 정보의 민감도, 고의성, 피해 가능성, 기업의 관리 책임 등을 종합적으로 따져야 한다"며 "과징금 산정이 지나치게 기계적으로 이뤄질 경우 개인정보 보호라는 본래 취지보다 대기업 제재 논란이 더 부각될 수 있다"고 말했다.