개인정보 유출사고 시 정통망법 따른 최대 과징금 3% 적용했더니...
기업 CEO, 보안사고 예방 위해 CISO 등 권한 강화 및 투자 확대 필요


[보안뉴스 김경애] 해킹 등에 의한 개인정보 유출사고에 따른 경제적 피해가 기하급수적으로 늘어나고 있다. 빅데이터, 클라우드, IoT 등 ICT 기술은 하루가 다르게 발전하고 있는 반면, 기업에서의 개인정보보호에 대한 관심과 투자는 아직 턱없이 부족한 탓이다. 발전하는 기술 속도에 맞춰 더욱 철저히 보호해야 할 개인정보와 기밀정보들이 보안위협에 노출되면서 고스란히 기업과 이용자의 피해로 이어지고 있는 상황이다.

이에 정부는 지난해 카드사 사태와 잇따른 개인정보 유출사고로 인해 개인정보보호법을 비롯해 정통망법, 신용정보보호법 등에 개인정보 유출시 처벌조항과 과징금 등 관련 규제를 한층 강화하고 있다.

일례로 개인정보보호법의 경우 오는 2016년 7월 25일부터 징벌적 손해배상제도(제39조)가 본격 시행됨에 따라 개인정보 유출시 실제 피해액의 3배 이내를 배상해야 하며, 300만원 이하의 과징금이 부과된다.

또한, 신용정보보호법도 이용자의 정보가 유출되면 금융사가 피해액의 최대 3배를 배상하는 조항과 3%의 과징금을 부과하는 내용을 지난 3월11일 신설됐다.

정통망법도 마찬가지다. 정통망법 제64조의3(과징금의 부과 등)에 따라 개인정보 무단수집과 이용, 제3자에게 제공, 동의 받지 않은 개인정보 취급위탁, 개인정보 훼손 및 유출 등의 위반이 있을 경우 매출액 3% 이하의 과징금을 부과하는 조항이 개정돼 지난해 11월 29일부터 시행 중이다.

이에 본지는 개인정보 유출시 과징금을 부과하는 3가지 법률 가운데 우선 정통망법을 기준으로 정통망법 적용을 받는 통신 3사와 포털 3사의 매출액을 기준으로 최대 3%의 과징금 금액을 산출해 봤다. 산정기준은 금융감독원 전자공시 2014년 재무정보 기준으로 매출액을 적용했다.



개인정보 유출사고를 가정해 유출 기업에서 부담할 수 있는 최대 과징금 금액을 산정했더니 ‘억’ 소리가 절로 났다.

우선 KT의 경우 자산총계 24조9202억96백만원이며 매출액은 17조4358억3백만원이다. 만약 개인정보 유출사고가 발생해 최대 3%의 과징금을 적용받을 경우 무려 5230억7409만원이 부과될 수 있다.

LG유플러스는 자산총계 11조9863억4천만원이며, 매출액은 10조9849억28백만원으로 집계돼 3% 과징금이 부과될 경우 무려 3295억4784만원을 지불해야 한다.

SK텔레콤은 자산총계 22조7124억6200만원이며, 매출액은 13조126억44백만원으로 과징금 3%를 적용할 경우 3903억7932만원이 부과된다.

통신사에서 보유하고 있는 고객정보를 제대로 관리하지 못했다가 유출사고로 이어질 경우 웬만한 중견기업 1년 매출에 해당하는 금액을 과징금으로 낼 수도 있다는 얘기다.

다음으로 국내 대표 포털사에도 적용해봤다. 네이버의 경우 자산총계 2조7284억4436만원이며, 매출액은 1조6371억6천4959000원이다. 개인정보가 유출돼 최대 3%의 과징금을 적용하면 무려 491억1494만8770원이 부과될 수 있다.

카카오는 자산총계 2조7558억3075만2445원이며, 매출액은 4878억464만원으로, 3% 과징금을 적용하면 146억3413만원이 부과된다.

네이트는 자산총계 1761억6826만3978원이며, 매출액은 939억960만원이다. 역시 매출액에 3% 과징금을 적용할 경우 28억1728만원에 이른다.

특히, KT와 네이트의 경우 개인정보 유출사고로 이미 유무형의 막대한 피해를 경험하기도 했다. 이처럼 개인정보 유출사고가 발생할 경우 기업에서 부담해야 할 금액은 어마어마하다. 외국의 경우는 국내보다 더욱 강력하다. 개인정보 유출시 최대 10%를 과징금으로 부과하고 있다. 국내의 경우 이보다 훨씬 못 미치는 수준으로, 이마저도 지난해 법률 개정으로 1%에서 3%로 상향조정된 것이다.

이렇듯 강력한 과징금 등 점점이 강화되는 규제에도 불구하고 개인정보보호 및 보안의 중요성에 대해 인식하지 못하는 기업 CEO와 임원진들이 상당수에 이른다. ‘설마 우리 회사가 해킹 피해를 입겠어?’라는 막연한 인식 하에 CISO(정보보호최고책임자)나 CPO(개인정보보호최고책임자)들의 권한 및 역할 확대와 보안투자에 소극적인 모습을 보이고 있다.

그러나 기업을 타깃으로 한 해킹은 현재 해킹을 당했거나 아직 알지 못하거나 두 가지만 존재한다는 말처럼 지금도 수많은 기업 웹사이트가 해킹돼 악성코드 유포지 및 경유지로 악용되거나 개인정보가 유출되고 있는 상황에 처해 있다.

더욱이 해킹 및 개인정보 유출 사고가 알려질 경우에는 투자가 턱없이 부족했고, 별다른 권한조차 없었던 CISO나 CPO, 그리고 보안조직에게 책임을 묻는 일에만 익숙해져 있다.

특히, 막대한 매출을 거두고 있는 대기업에 개인정보 유출사고가 발생할 경우 앞서 살펴본 것처럼 천문학적인 금액의 과징금과 이보다 더 큰 경제적 피해, 그리고 기업이미지 실추 등 매우 심각한 타격을 입게 된다. 이에 기업 CEO들은 CISO와 CPO들이 보다 강력하게 보안업무를 추진할 수 있도록 더욱 많은 권한과 역할을 부여하는 등 큰 힘을 실어주는 동시에 책임은 함께 질 수 있는 풍토 조성에 앞장서야 할 것으로 보인다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>