[기고] 개인정보 유출 사건 대응과 선진국의 길
지난해 11월 발생한 쿠팡의 대규모 개인정보 유출사고로 큰 사회적 파장이 있었다. 많은 이용자가 탈팡을 선택했고, 정치권과 정부의 질책 역시 지금까지 이어지고 있다. 여기에 덧붙여 최근에는 쿠팡의 부인에도 불구하고 미국 의회 로비 의혹까지 제기되면서, 개인정보 유출사고가 이제는 통상은 물론 우리의 안보에까지 부정적인 영향을 미친다는 언론보도도 있다. 무엇이 이렇게 문제를 복잡하게 한 것인가? 쿠팡의 개인정보 유출사고에 우리가 너무 많은 분노를 쏟아 부었기 때문은 아닌가 생각해 본다. 개인정보 유출 사건에 대해서는 법이 정한 기준에 따라 엄정하게 대응하면 될 일이다. 그러나 엄정함과 과도함은 구별돼야 한다. 국민에게 피해를 주면 회사가 망해야 한다는 것은 엄정함인가 분노인가? 엄정함에 대한 판단은 어디까지나 위험에 비례해야 한다. 그것이 중세 시대의 수많은 자의적인 마녀재판의 희생을 넘어 근대 사회가 만들고 지켜온 법의 원칙이다. 유출 사건은 단순히 유출 건수 등의 숫자만이 아니라 유출된 정보의 성격, 정보주체에게 미칠 수 있는 실제 위험, 그에 대한 회사의 후속조치 등을 함께 살펴보아야 한다는 의미다. 특히 쿠팡 사례처럼 내부자가 기존 권한과 시스템 지식을 악용한 경우를 일반적인 대규모 외부 해킹 사건과 같은 잣대로 평가해 회사가 망할 정도의 고액 과징금을 부과하는 것은 정책적으로도, 국제적 시각에서도 신중할 필요가 있다. 이는 최소한 우리가 법치주의 선진국이라는 증거이다. 글로벌 규제 흐름을 보자. 미국은 연방법 차원에서 데이터 유출에 대해 우리식의 매출액에 연동된 과징금 부과 체계를 두고 있지 않다. 주법 역시 이름과 결합된 사회보장번호, 금융정보, 의료정보 등 특정 민감 식별정보가 연루된 경우를 중심으로 규제 구조를 설계하고 있고 실제 제재 여부도 정보의 유형, 정보주체에 대한 위험성, 기업의 책임 정도 등을 종합해 판단한다. 2022년 캘리포니아의 'Vigil v. Muir Medical Group' 사건에서도 내부 직원이 의료정보를 다운로드해 반출한 사실은 있었지만 별도의 행정 제재는 이뤄지지 않았고, 민사소송에서도 제3자의 실제 열람이나 공통된 손해를 뒷받침할 근거가 부족하다는 이유로 집단소송 진행이 허용되지 않았다. 우리 개인정보보호 체계의 전범이 되고 있는 EU도 별반 다르지 않다. GDPR 체계는 신고 요건은 폭넓게 설정되어 있지만, 실제 과징금 부과 여부와 수준은 훨씬 더 실질적인 요소를 중심으로 판단한다. 핵심은 기업의 고의·과실, 사고 후 대응의 신속성과 충실성, 정보주체에게 발생할 수 있는 위험의 정도 등이 핵심적인 고려요소다. 건강정보, 정부 식별정보, 결제정보처럼 신원도용이나 경제적 피해로 직결될 수 있는 고위험 정보가 아니라면 과징금 필요성과 규모는 제한적으로 평가되는 경향이 있다. 위의 국제적인 기준에 비춰 보면 쿠팡 사건을 일반적인 대규모 해킹 사건과 동일 선상에서 평가하는 것은 적절하지 않다. 쿠팡 사건의 경우 결제정보, 계정 비밀번호, 주민등록번호 등 고위험 정보가 포함되지 않았고, 사고 인지 이후 공격에 사용된 기기를 회수하는 등 신속한 대응이 이뤄졌으며, 그 결과 현재까지 사기·신원도용 같은 2차 피해 여부도 확인되지 않았다. 이러한 점을 고려하면, 이 사건은 정보의 유형과 정보주체에 대한 실제 위험성을 중심으로 보다 엄격하게 구별해 평가할 필요가 있으며, 국제적 기준에 의할 때도 중한 과징금보다는 상대적으로 낮은 위험 수준으로 평가될 가능성이 높다. 더 우려스러운 것은 이러한 국제적 기준과 동떨어진 결과가 통상과 투자분쟁에 미칠 영향이다. 국제투자분쟁(ISDS)에서 반복적으로 문제되는 것은 단순한 국내법 위반 여부가 아니다. 국가의 조치가 자의적이거나 과도하지 않았는지, 유사 사례와 비교해 차별적이지는 않았는지, 절차적으로 공정했는지 여부가 핵심이다. 2012년 'Occidental v. Ecuador' 사건은 투자자 측의 계약∙법 위반 사정이 일부 있었더라도 국가가 가장 가혹한 제재를 선택해 투자 전체를 박탈한 것은 비례원칙에 반해 과도하다는 이유로 국가의 손해배상책임을 인정한 사례다. 2000년 'Metalclad v. Mexico' 사건 역시 규제당국의 불투명하고 예측 불가능한 행정처분 집행으로 인해 투자자가 정상적인 사업 운영을 하지 못하게 된 것을 문제 삼은 사례다. 두 사건 모두, 국가가 제재나 규제를 행사할 수는 있지만 그 수단과 강도가 비례적이고 예측 가능해야 한다는 점을 보여준다. 결국 과도하고 불균형한 제재는 국내 행정처분을 넘어 국제분쟁의 불씨가 될 수 있다. 이 점에서 최근 대규모 유출사고로 사회적 파장이 컸던 이동통신사 사례도 참고가 될 수 있다. 외부 해킹으로 인해 고위험 유심정보가 유출돼 2차 피해 우려가 컸던 위의 사건보다 내부자 악용에 의해 일반 정보가 문제된 쿠팡 사건에 더 무거운 제재가 내려진다면, 이는 국내적으로도 비례성과 형평성에 반할 뿐 아니라 대외적으로도 자의적·차별적 규제로 비칠 수 있다. 지금 필요한 것은 회사가 망할 정도의 보여주기식 고액 과징금이 아니라 위험의 실질, 국제적 형평, 절차적 정당성을 함께 반영한 냉정한 판단이다. 유사하거나 더 중대한 선례와 비교해 형평을 잃은 제재가 이뤄진다면 이는 국내적으로도 비례원칙 논란을, 대외적으로도 차별적 규제라는 의심을 낳을 수 있다. 과징금은 '분노의 숫자'가 아니라 위험과 책임을 반영한 '선진국형 법치주의 원칙의 결과'여야 한다.
