자유기업원 “쿠팡6250억 과징금? 책임 묻되 비례원칙에 따라야”

개인정보보호위원회가 쿠팡 개인정보 유출 사건에 대해 역대 최고 수준인 약 6250억 원을 과징금을 부과한 것을 두고 자유기업원이 11일 “과징금 규모가 지나치게 과도하면 비례 원칙에 어긋날 수 있다”고 지적했다. 이날 위원회가 위원회가 쿠팡에 부과한 과징금은 국내 개인정보 유출 사건에 대한 과징금 규모로 역대 최대 규모며, 지금까지 세계 각국 행정당국이 기업에 부과한 개인정보 유출 과징금 중에서도 최대 액수다.

이날 자유기업원은 논평을 통해 “이번 사건은 대규모 이용자 정보를 보유한 플랫폼 기업에서 발생한 개인정보 유출 사고라는 점에서 결코 가볍게 볼 수 없다”면서도 이같이 밝혔다.

앞서 오전 개인정보위는 전체회의를 열고 쿠팡에 대해 안전조치 의무 위반과 법적 근거 없는 개인정보 수집 등을 이유로 과징금 6246억8100만 원과 과태료 1680만 원을 부과하는 제재안을 심의·의결했다.

이에 대해 자유기업원은 “개인정보는 디지털 경제의 핵심 자산이자 소비자 신뢰의 기초이기 때문에 기업이 이용자의 개인정보를 수집·활용해 서비스를 제공하는 만큼, 그에 상응하는 보안 책임과 관리 의무를 부담해야 한다”면서도 “다만 개인정보 보호의 중요성이 곧바로 무제한적·상징적 제재를 정당화하는 것은 아니다”라고 지적했다.

특히 자유기업원은 “행정제재는 여론의 강도나 기업 규모가 아니라 법과 원칙에 따라 이루어져야 한다”면서 “과징금은 유출 건수만을 기준으로 산정돼서는 안 되며, 유출 정보의 민감도, 고의 또는 중과실 여부, 실제 피해와 2차 피해 발생 여부, 사고 인지 및 신고 시점, 사후 대응과 재발 방지 노력 등을 종합적으로 고려해야 한다”고 강조했다. 이것이 법치주의와 비례 원칙에 부합하는 제재 방식이라는 이유다.

자유기업원은 이번 사안에서 쿠팡 측이 △사고 인지 시점이 5개월로 타사 사례와 비교해 상대적으로 빨랐고 △금융·결제 정보나 유심 인증키, 정부 신분증과 같은 고도의 민감 정보는 유출되지 않았다는 점을 감경 사유로 주장하고 있다고 짚었다. 또한 △전문 업체를 통한 확인 결과 다크웹 등에서 유출 정보의 유통이나 2차 피해가 확인되지 않았고, △자체적인 정보 회수 노력도 기울였다는 입장도 감안돼야 한다고 지적했다.

그러면서 자유기업원은 “제재의 목적은 기업을 공개적으로 응징하는 데 있는 것이 아니라, 개인정보 보호 수준을 높이고 재발 방지를 유도하는 데 있다. 실제 피해와 위반 행위의 성격을 넘어선 과도한 제재는 기업의 보안 투자 확대보다 규제 회피와 법적 불확실성만 키울 수 있다”고 평가했다.

자유기업원은 “이번 결정은 쿠팡 한 기업에 대한 제재를 넘어 향후 디지털 플랫폼과 대규모 이용자 정보를 보유한 기업 전반에 적용될 기준선이 될 수 있다”면서 “개인정보보호위원회는 개인정보 보호의 엄정함을 분명히 하되, 법적 안정성과 예측가능성을 훼손하지 않는 합리적 기준을 제시해야 한다”고 밝혔다.