[비즈니스포스트] 지난 7월23일, 개인정보보호위원회가 전원회의를 열어 이용자 활동 기록(이용행태 정보)을 무단 수집해 맞춤형 광고 등에 활용해온 것으로 드러난 틱톡에 103억600만 원의 과징금을 부과하기로 결정했다고 발표했을 때다.

한 법무법인 관계자가 비즈니스포스트에 전화를 걸어 "개인정보보호위가 틱톡 과징금을 산정하면서 국내 매출만을 관련매출로 잡았다. 개인정보보호위 과징금 산정 기준이 고무줄 잣대 같다"고 꼬집었다. 틱톡은 글로벌 사업자이고, 국내 이용자 활동 기록이 국외로 이전돼 글로벌 매출에도 영향을 끼친 것으로 드러났는데도 국내 매출만을 관련매출로 잡아 과징금이 낮게 산정됐다고, 이 관계자는 목소리를 높였다.

이 관계자는 "쿠팡 측이 틱톡 건을 물고 늘어질 수 있다"고도 했다.

이어 8월3일, 개인정보보호위가 KT 통신망 해킹 및 개인정보 유출 건에 대해 539억7900만 원의 과징금을 부과했을 때다.

다른 법무법인 관계자가 비즈니스포스트에 전화를 걸어 같은 주장을 했다. 이용자들이 2억 원 넘는 무단 소액결제 등 금전적 피해까지 당했는데, 과징금이 너무 낮게 부과됐다고 목청을 높였다.

이 관계자는 "SK텔레콤에 1347억9100만 원의 과징금을 부과한 것에 견줘 형평성이 맞지 않는다. SK텔레콤 측이 반발하고, 현재 재판이 진행 중인 (과징금 부과 취소 청구) 행정소송에 악영향을 줄 수도 있다"고 주장했다.

최근 들어 개인정보를 부당 이용하거나 유출한 사업자에 대한 개인정보보호위 과징금 제재 결정이 나올 때마다 '고무줄 잣대', '솜방망이 제재' 논란이 일고 있다. 주로 법률 대리 업체(법무법인) 관계자들이 제기하고(깃발을 들고), 앞서 더 높은 과징금을 맞은 사업자들이 말을 보탠다(북소리를 낸다).

법률 대리 업체가 개인정보보호위 과징금 제재 수준을 클라이언트(법률 대리를 맡긴 사업자)의 기대만큼 낮추지 못한 것에 대한 책임을 개인정보보호위로 떠넘기고, 경쟁 사업자의 과징금이 상대적으로 낮게 산정된 것에 배 아파하는 소리라고 일축할 수도 있다. 하지만 개인정보보호위 과징금 제재의 신뢰도를 훼손할 수 있다는 점에서 대책 마련이 필요하다는 지적이 나온다.

한 개인정보 보호 전문가는 비즈니스포스트와 통화에서 대책 마련과 관련해 "누가 논란을 일으키는지를 찾아내 입막음을 하라는 게 아니다. 개인정보 유출 사업자에 대한 과징금을 발표할 때, 어떤 기준으로 어떻게 산정했는지와 전원회의 심의 과정에서 어떻게 깎였는지를 투명하게 공개해, 의혹이나 논란 자체가 성립되지 않도록 해야 한다"고 말했다.

개인정보보호위는 개인정보 침해 제재 과징금 산정 결과를 두고 고무줄 잣대 내지 솜방망이 제재 논란이 일 때마다 "법과 원칙에 따라 공정하게 산정한다"(송경희 개인정보보호위원장)고 강조한다. 하지만 과징금을 산정하면서 사안의 중대성을 어떻게 판단했고, 관련매출 범위를 어디까지로 잡았으며, 이후 어떤 근거로 얼마만큼 가중·감경했는지는 투명하게 공개하지 않고 있다.

언론 브리핑 과정에서 구체적인 질문이 제기되면 '위원 간에 논의가 있었다'는 말로 눙치고 넘어가길 반복했다.

KT 과징금 산정 결과 발표 때도, 어떻게 산정됐는지를 묻는 기자들의 질문이 이어졌지만, 중대성을 '중대한 위반'이라고 판단했고, 관련매출을 무선통신 매출로 잡았다는 것 정도만 공개했다. 어떤 근거로 얼마나 가중·감경했는지 등은 설명하지 않았다. '위원 간에 치열한 논의가 있었다'는 말로 답을 대신했다. 

개인정보보호위 측에서는 이른바 '영업비밀'이라 상세히 공개하기 어렵다고 할 수도 있다. 피심인 측이 악용할 수 있다고 주장할 수도 있다. 대신 논란과 의혹이 이어지며 '주먹구구', '밀실', '로비', '불공정' 이미지가 쌓이는 것을 감수해야 한다.

법도 문제다.

개인정보보호위는 2023년 산업 발전 지원 및 업계 민원을 명분으로 개인정보보호법을 개정했다. 개인정보 유출 관련 형사 처벌 조항을 없애거나 처벌 수위를 낮추는 대신 경제 벌을 강화했다. 경제 벌이 강력하다는 것을 보여주는 취지로 '매출액의 3%까지'란 과징금 상한 조항도 도입했다.

지난해 4월 SK텔레콤 가입자 개인정보 대량 유출 건이 터졌을 때, 매출액의 3%를 단순 적용해 5천억 원 가까운 과징금이 부과될 수 있다는 전망이 나왔던 배경이다. 같은 맥락에서 쿠팡 개인정보 유출 건에 대한 과징금이 1조 원을 넘을 수 있다고 점쳐지기도 했다.

하지만 이 법 시행령에선 개인정보 침해 과징금을 '관련매출'로 산정하도록 하고 있다. 또한 위반 행위에 대한 중대성 판단에 따라 과징금 산정의 기준이 되는 금액이 달라지고, 이후 여러 단계의 절차와 추가 판단을 거쳐 과징금을 감경하거나 가중할 수 있게 하고 있다.

개인정보보호법 시행령 '과징금의 산정기준과 산정절차'(별표 1의5)의 '과징금의 산정단계에 따른 산정방식과 고려 사유'를 보면, 과징금은 기준 금액을 산정하는 첫 단계에서 이미 푹 꺾인다.

'기준 금액은 위반행위와 관련이 없는 매출액을 제외한 매출액에 위반 행위의 중대성에 따라 부과기준율을 곱해 산출한다'고 전제한 뒤, 매우 중대한 위반행위는 2.1% 이상~2.7% 미만, 중대한 위반행위는 1.5% 이상~2.1% 미만, 보통 위반행위는 0.9% 이상~1.5% 미만, 약한 위반행위는 0.03% 이상~0.9% 미만의 부과기준율을 적용하라고 하고 있다.

위반행위의 중대성 판단에 따라 과징금 기준금액이 크게 달라지는 셈이다. SK텔레콤과 쿠팡의 경우, 이 단계에서 이미 수천억원이 왔다갔다 했다.

이후 수차례의 감경과 가중 단계를 거친다.

먼저 위반 행위의 기간과 횟수, 위반 행위로 인해 취득한 이익의 규모, 개인정보처리자의 업무 형태 및 규모를 고려해 고시 기준에 따라 기준금액의 100분의 90의 범위에서(90%까지) 감경하거나 가중할 수 있다. 1차 조정이다.

이어 개인정보보호위와의 협조 등 위반행위를 시정하기 위한 조치 여부, 위반행위로 인한 피해의 회복 및 피해 확산 방지 조치의 이행 여부, 개인정보 보호 인증 및 자율적인 보호활동 등 개인정보 보호를 위한 노력, 위반 행위의 주도 여부, 위반행위 사실의 자진신고 여부에 따라, 고시 기준에 따라 1차 조정을 거친 금액의 100분의 50 범위에서(50%까지) 추가로 감경하거나 가중할 수 있다. 2차 조정이다.

그리고 다시 위반 행위자의 현실적 부담 능력, 경제위기 등으로 위반 행위자가 속한 시장·산업 여건이 현저하게 변동되거나, 지속적으로 악화된 상태인지 여부 등에 따라 2차 조정한 과징금의 100분의 90 범위에서(90%까지) 추가로 더 감경할 수 있다. 3차 조정이다.

개인정보보호위 과징금은, 조사국이 개인정보보호법 시행령의 과징금 산정 기준과 가감 근거를 바탕으로 여러 시나리오별 과징금 부과안을 산정해 전원회의에 상정하면, 위원들이 개인정보보호위 조사 결과에 대한 피심인 측의 의견을 들은 뒤 비공개 논의를 벌이는 절차를 거쳐 확정된다.

피심인 측에선 일반적으로 법률 대리를 맡은 법무법인 변호사가 참석해 위원들을 상대로 읍소와 형평성 주장을 이어간다.

개인정보보호위 전·현직 직원들의 말을 들어보면, 개인정보보호법 시행령에는 가중·감경을 할 수 있게 돼 있으나 실제로는 감경 쪽에 무게가 실린다.

개인정보보호위 전직 직원은 비즈니스포스트와 만나 "세금과 과징금의 공통점은, 깎아주는 것에 대해서는 누구도 이의를 제기하지 않는다는 것이다. 위원 모두가 공정 산정 의지를 갖고 있지 않는 한 가중은 이뤄지기 어렵거나 최소화된다. 대형 법무법인이 법률 대리를 맡고 있는 건은 더욱 그렇다"고 말했다.

특히 개인정보보호위 과징금 산정 기준과 절차 조항에는 추상적 용어들이 수두룩하다. 개인정보보호위 실무자와 위원들의 자의적 판단 범위가 '태평양 바다'만큼이나 넓다는 말까지 나온다.

과징금 산정방식과 고려 사유 조항에만도 '매우 중대한', '중대한', '보통', '약한', '현실적인', '현저하게' 등 임의적 판단을 가능하게 해주는 용어들이 넘쳐난다. 실무자와 위원들의 판단에 따라 과징금이 널뛰기를 할 수 있는 구조인 셈이다.

피심인 측에서 보면, 그만큼 공략 구멍이 넓다는 얘기다.
  2023년 LG유플러스에 대한 과징금 산정액이 900억 원대로 전망되다 69억원에 그쳤고, 5천억 원까지 전망됐던 SK텔레콤 과징금이 1347억원으로 쪼그라든 것을 두고, 어떤 배경이 있지 않았나 '의심'하게 만들기에 충분하다. 1조 원대로 점쳐졌던 쿠팡 과징금이 4236억 원에 그친 것을 두고 '미국 정치권 압박에 굴복' 뒷말과 함께 '솜방망이 제재' 평가가 나오는 것도 같은 배경이다.

더 낮아진 틱톡·KT 과징금을 두고는 또다른 논란이 제기된다.

틱톡 과징금을 두고는 '중국 눈치보기', KT 과징금을 두고는 '체신마피아 작품' 뒷말도 들린다. 틱톡 본사가 싱가포르에 있지만 중국계 기업으로 간주되고, KT 법률 대리를 맡았던 법무법인 세종에 과학기술정보통신부(옛 체신부) 관료 출신들이 많이 가 있는데다 위원장을 포함해 개인정보보호위 핵심 간부들이 과기정통부 출신이라는 점을 공격하는 것이다.

개인정보보호위 실무자 측에서는 억울할 수 있다. 억울함을 풀려면, 아니 애초에 고무줄 잣대 논란이 불거지지 않게 하려면, 과징금을 어떤 기준으로 어떻게 산정했는지를 투명하게 공개하면 된다. 설명 의무 차원에서라도 설명해야 한다. 그러지 않으면 아무리 "법대로, 원칙대로 했다"를 강조해도 의심은 남을 수밖에 없다.

정부 고위 관료들이 퇴직 뒤 대형 법무법인으로 옮겨 '로비 창구 구실을 한다'는 의심을 받고 있는 부분도 해소될 필요가 있다. 요즘 해킹 및 개인정보 유출 건 법률 대리 업계에서 '탁월한 능력자'로 평가받아 일거리가 몰리고 있는 한 대형 법무법인에는 과기정통부 관료 출신들이 대거 포진해 있고, 초대 개인정보보호위원장도 고문으로 영입돼 있다.      

개인정보보호위는 전원회의 속기록을 공개하고 있다. 하지만 비공개 회의 내용은 삭제돼 있다. 공개 회의 내용도 '기업비밀 포함' 등의 이유로 상당부분 삭제된 상태로 공개된다. 과징금 산정 과정은 물론 가감 정도와 근거를 짐작하기 어렵다.

그나마도 시간이 꽤 지난 뒤에야 공개된다. 지난 6월10일 이뤄진 쿠팡 과징금 제재 전원회의 속기록은 두 달을 훨씬 넘겨, 여론의 관심이 사그라진 뒤에야 공개됐다.

쿠팡 개인정보 유출 과징금 제재 심결 전원회의 속기록을 보면, 조사방해에 따른 가중률은 당초 20%에서 10%로 낮춰지고, 시정완료·피해보상·개인정보보호 노력 등에 따른 감경률은 40%에서 50%로 높아졌다. 정회 중 별도로 이뤄진 논의 내용은 담겨있지 않다. 조사방해 가중률이 20%에서 10%로 낮춰지고, 시정·피해보상 등에 따른 감경률은 40%에서 50%로 높아진 배경도 알 수 없다. 김재섭 선임기자