1953만명 개인정보 털린 티빙⋯역대 4번째 규모에도 예상 과징금은 고작 ‘수십억’

▲티빙 CI.

대규모 개인정보를 유출한 CJ ENM의 온라인동영상서비스(OTT) 플랫폼 티빙의 추후 예상 과징금 규모가 피해자들의 공분을 사고 있다. 티빙의 개인정보 유출 사고의 규모가 역대 4번째에 달하지만 정작 현행법상 해당 기업에 부과될 수 있는 과징금은 최대 122억원, 현실적으로는 수십억원에 그칠 것으로 보이면서다. 유출 정보의 피해 규모나 민감도보다는 회사의 덩치에 따라 과징금을 산정하는 현행법의 실효성을 두고 지적이 나온다.

23일 이정헌 더불어민주당 의원실이 개인정보보호위원회와 과학기술정보통신부로부터 제출받은 자료에 따르면 최근 발생한 티빙 해킹 사건의 최종 피해 규모가 1953만명으로 공식 확인됐다. 이는 △쿠팡(약 3756만명), △싸이월드·네이트(약 3500만명), △SK텔레콤(약 2324만명)에 이은 역대 네 번째 규모다.

그러나 이러한 초대형 유출 규모에도 정작 티빙에 부과될 예상 과징금은 턱없이 낮게 추산되고 있다. 현행 개인정보보호법상 과징금 부과 기준이 ‘전체 매출액의 3% 이하’로 규정돼 있어서다. 지난해 티빙의 연간 매출액이 약 4060억원대 수준이라는 점을 감안하면 법정 최고 한도를 전액 적용하더라도 상한선은 최대 122억원 수준에 불과하다.

더욱이 과거 과징금 산정 선례를 보면 실제 처분 수위는 이보다 훨씬 더 낮아질 가능성이 크다. 개인정보보호위원회가 과거 쿠팡 등의 정보 유출 사태에 적용했던 감경 기준과 산정 방식을 대입할 경우 티빙의 실제 과징금은 48억원 안팎까지 쪼그라들 수 있다는 관측이 나온다. 이달 11일 쿠팡은 전체 과징금 6247억원 중 개인정보 유출로 약 4235억을 부과받았는데, 이는 3개 사업연도 평균 매출 약 36조원의 1.18%에 해당해서다. 2000만명에 가까운 국민의 핵심 식별정보가 통째로 털린 대가 치고는 기업이 짊어져야 할 법적ㆍ경제적 책임이 너무 가볍다는 비판이 쏟아지는 이유다.

이처럼 규모와 처벌의 불균형이 발생하는 이유는 현행법이 피해자 수나 유출된 정보의 민감도가 아닌 오직 ‘기업의 전체 매출액’만을 기준으로 과징금을 제한하고 있어서다. 매출 규모가 수조원대에 달해 수천억원대 과징금 부과를 앞두고 긴장감이 고조된 KT나 SK텔레콤 등 대형 통신사 사례와 비교하면 상대적으로 매출 규모가 작은 플랫폼 기업의 경우 보안 불감증으로 인한 대형 사고를 내더라도 법망을 비껴가는 사각지대가 발생하게 된다는 우려다.

이에 뿔난 소비자들은 단순한 공분을 넘어 집단행동에 나섰다. 이미 온라인 커뮤니티와 법조계를 중심으로 피해자 10만명 이상이 모여 티빙을 상대로 한 대규모 집단 손해배상 청구 소송을 준비 중이다. 법적 과징금이 약한 만큼 민사상 책임을 통해 기업의 과실을 엄중히 묻겠다는 취지다. 과징금 산정 규모를 두고 실효성이 커지자 정부에서도 천만명 이상 등 대규모 개인정보 유출 시 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 개인정보보호법을 개정했으나 개정법이 9월 11일부터 시행되는 만큼 티빙 해킹 사고에는 적용되지 않는다.

보안 업계 한 전문가는 “현행 매출액 기준 과징금 제도는 회원 수가 많고 유출 규모가 커도 매출이 적은 기업에는 일종의 면죄부처럼 작용할 수 있는 위험이 있다”며 “유출 건수와 피해 심각성을 연동해 과징금을 처벌할 수 있는 법 개정이 필요하다”고 말했다.