자유기업원 "쿠팡 6247억 과징금, 비례 원칙 따져봐야"

개인정보보호위원회가 쿠팡 개인정보 유출 사건과 관련해 약 6247억원의 과징금을 부과하자, 자유기업원이 "제재 규모가 비례 원칙에 부합하는지 면밀한 검토가 필요하다"고 지적했다.

11일 자유기업원은 논평을 내고 "이번 사건은 대규모 이용자 정보를 보유한 플랫폼 기업에서 발생한 개인정보 유출 사고라는 점에서 결코 가볍게 볼 수 없다"면서도 "과징금 규모가 지나치게 과도할 경우 비례 원칙에 어긋날 수 있다"고 밝혔다.

앞서 개인정보보호위원회는 이날 전체회의를 열고 안전조치 의무 위반과 법적 근거 없는 개인정보 수집 등을 이유로 쿠팡에 과징금 6246억8100만원과 과태료 1680만원을 부과하기로 의결했다. 이는 국내 개인정보 유출 사건 관련 과징금 가운데 역대 최대 규모다.

자유기업원은 "개인정보는 디지털 경제의 핵심 자산이자 소비자 신뢰의 기반인 만큼 기업은 이에 상응하는 보안 책임과 관리 의무를 져야 한다"면서도 "개인정보 보호의 중요성이 곧바로 무제한적이거나 상징적인 제재를 정당화하는 것은 아니다"라고 주장했다.

이어 "행정제재는 여론의 강도나 기업 규모가 아니라 법과 원칙에 따라 이뤄져야 한다"며 "과징금은 단순히 유출 건수만을 기준으로 산정할 것이 아니라 정보의 민감도, 고의성 또는 중과실 여부, 실제 피해와 2차 피해 발생 여부, 사고 인지 및 신고 시점, 사후 대응과 재발 방지 노력 등을 종합적으로 고려해야 한다"고 강조했다.

자유기업원은 쿠팡 측이 사고 인지 시점이 약 5개월로 다른 사례와 비교해 상대적으로 빨랐고, 금융·결제정보나 유심 인증키, 정부 발급 신분증 등 고도의 민감 정보는 유출되지 않았다고 주장하고 있다는 점도 언급했다.

또 전문 업체를 통한 조사 결과 다크웹 등에서 유출 정보의 유통이나 2차 피해 사례가 확인되지 않았고, 회사가 자체적인 정보 회수 노력도 기울였다는 점 역시 고려 대상이 돼야 한다고 부연했다.

자유기업원은 "제재의 목적은 기업을 공개적으로 응징하는 데 있는 것이 아니라 개인정보 보호 수준을 높이고 재발 방지를 유도하는 데 있다"며 "실제 피해 규모와 위반 행위의 성격을 넘어서는 과도한 제재는 기업의 보안 투자 확대보다는 규제 회피와 법적 불확실성만 키울 수 있다"고 평가했다.

그러면서 "이번 결정은 쿠팡 한 기업에 대한 제재를 넘어 향후 디지털 플랫폼과 대규모 이용자 정보를 보유한 기업 전반에 적용될 기준선이 될 수 있다"며 "개인정보보호위원회는 개인정보 보호의 엄정함을 유지하면서도 법적 안정성과 예측 가능성을 훼손하지 않는 합리적인 기준을 제시해야 한다"고 했다.