"보안은 비용 아닌 투자"…정부·국회, 뒤늦게 정보보호 강화 속도 [뚫리는 韓, 멈춰 선 보안]

최근 잇따른 해킹 사고로 개인정보 유출이 사회적 문제로 번지는 가운데 한국의 정보보호 투자가 여전히 글로벌 평균의 절반에도 못 미친다는 지적이 제기됐다. 국회와 정부는 징벌적 과징금 등 기업 책임 강화를 위한 제도 개선에 속도를 내고 있다.

11일 과학기술정보통신부가 발표한 ‘2024년 정보보호 공시 현황 분석 결과’에 따르면 국내 기업의 IT 예산 대비 정보보호 투자 비중은 평균 6.1%에 그쳤다. 대부분 기업이 10% 미만에 머무는 반면 미국(26%), 독일(24%), 영국(23%) 등 주요국은 한국의 두세 배 수준이다.

투자는 부족한데 사고는 늘어나자 국회와 정부는 직접적인 압박 카드로 과징금 강화를 꺼내 들었다. 이재명 대통령은 4일 수석보좌관회의에서 “개인정보 보호를 위한 보안 투자를 불필요한 비용으로 간주하는 잘못된 인식이 이런 사태의 배경은 아닌가 되짚어 봐야 한다”며 “보안 사고를 반복하는 기업들에 대해서는 징벌적 과징금을 포함한 강력한 대처가 이뤄지도록 조치를 신속히 준비하라”고 지시했다. 개인정보위는 이 대통령이 이 같은 지시를 내린지 7일 만에 반복 사고 기업에 대한 제재 강화와 투자 유도를 강화하는 대책을 내놓은 것이다.

국회도 기업 책임 강화를 위한 입법 작업에 속도를 내고 있다. 이훈기 더불어민주당 의원은 10일 해킹 등으로 인한 대규모 개인정보 유출사고에 징벌적 과징금을 부과할 수 있도록 하는 ‘개인정보보호법’ 개정안을 대표 발의했다. 개정안에는 개인정보보호법 위반에 대한 과징금 상한을 기존 매출액의 3%에서 4%로 상향하는 내용이 담겼다.

전문가들은 징벌적 과징금 논의에 앞서 개인정보보호법과 신용정보법의 이원화된 규제를 먼저 정비해야 한다고 지적한다. 개인정보가 유출되더라도 신용정보가 포함되면 현행법상 적용 법률은 신용정보법으로 바뀌며 이 경우 과징금 상한은 50억 원에 그친다. 실제 SGI서울보증보험 해킹 사고에서도 13.2TB에 달하는 민감 정보가 유출됐다는 주장이 제기됐지만 신용정보법이 적용되더라도 부과 가능한 과징금 상한은 최대 50억 원에 불과하다.

반면 SKT의 유심 해킹 사태와 같이 개인정보보호법이 적용될 경우 매출액의 3% 이내에서 부과 할 수 있으며 실제 1348억 원의 과징금이 부과됐다. 유사한 개인정보 유출 사고임에도 법 적용에 따라 과징금 규모가 수십 배 차이 나는 셈이다.

김승주 고려대 정보보호대학원 교수는 “신용정보법과 개인정보보호법의 분리 적용을 해소하지 않은 채 징벌적 과징금만 도입하면 기업 입장에서도 형평성 논란이 불가피하다”며 “두 법을 일원화하는 작업을 선행해야 한다”고 지적했다.