자유기업원 "쿠팡 개인정보 유출 제재, 비례 원칙 고려해야"

개인정보보호위원회가 쿠팡 개인정보 유출 사건과 관련해 역대 최대 수준인 6,246억8,100만원의 과징금과 1,680만원의 과태료를 부과하면서 제재 수위의 적정성을 둘러싼 논란이 제기되고 있다.

자유기업원은 11일 ‘쿠팡 개인정보 유출 제재, 책임은 묻되 비례원칙에 따라야 한다’는 제목의 논평을 통해 “이번 사건은 대규모 이용자 정보를 보유한 플랫폼 기업에서 발생한 개인정보 유출 사고라는 점에서 결코 가볍게 볼 수없다”면서 “그러나 과징금 규모가 지나치게 과도하면 비례 원칙에 어긋날 수 있다”고 강조했다.

자유기업원은 과징금 산정 과정에서 다양한 요소가 종합적으로 고려돼야 한다고 지적했다.

구체적으로 유출 정보의 민감도, 고의 또는 중과실 여부, 실제 피해 및 2차 피해 발생 여부, 사고 인지 및 신고 시점, 사후 대응과 재발 방지 노력 등을 함께 반영해야 한다는 설명이다.

특히 쿠팡이 제시한 일부 감경 사유에 대해서도 검토 필요성을 언급했다.

자유기업원은 “쿠팡 측이 사고 인지 시점이 약 5개월로 비교적 빠른 편이었고, 금융·결제 정보나 유심 인증키, 신분증 등 고도의 민감 정보는 유출되지 않았다고 주장하고 있다”며 “다크웹 유통이나 2차 피해가 확인되지 않았고, 정보 회수 조치도 진행됐다는 점 역시 고려 요소가 될 수 있다”고 밝혔다.

다만 이러한 사정이 기업 책임을 면제하는 근거는 아니라고 선을 그으면서도, 제재 수위 결정 과정에서는 비례성과 형평성이 반영돼야 한다고 강조했다.

자유기업원은 또 법정 최고 수준의 과징금을 요구하는 일부 여론에 대해 “행정제재가 여론에 의해 좌우될 경우 예측 가능성과 법적 안정성이 훼손될 수 있다”고 지적했다.

제재의 목적은 기업에 대한 응징이 아니라 개인정보 보호 수준 제고와 재발 방지에 있다는 점도 강조했다.

아울러 이번 사건을 계기로 개인정보 보호 규제체계의 전환 필요성도 제기했다.

기존 제도가 동의 절차, 고지 의무 등 사전 규제 중심으로 운영돼 온 만큼, 향후에는 사고 발생 이후 책임성과 대응을 중심으로 평가하는 사후 규제 체계로의 전환이 필요하다는 주장이다.

이와 함께 정부 역할도 확대돼야 한다고 봤다.

자유기업원은 개인정보 유출과 사이버 위협이 국가 디지털 인프라와 직결되는 문제인 만큼, 위협 정보 공유, 침해 대응 체계 구축, 보안 취약점 점검, 중소·중견기업 지원 등 민관 협력 기반의 보안 거버넌스 구축이 필요하다고 제언했다.

이번 논평은 쿠팡에 대한 제재를 넘어 향후 플랫폼 기업 전반에 적용될 규제 기준과 정책 방향에 대한 논의로 이어질 전망이다.