[서울=뉴스핌] 신정인 송기욱 기자 = 개인정보 유출 사고가 금융권과 기업, 공공기관에서 지속적으로 발생하면서 피해자에 대한 실질적인 구제 방안을 마련해야 한다는 목소리가 커지고 있다.

개인정보보호법 개정으로 중대한 개인정보 유출 사고에 대한 과징금 상한이 전체 매출액의 최대 10%까지 높아졌지만 기업·기관에 부과된 과징금은 국고로 귀속될 뿐 피해자에게 직접 지급되는 것은 아니다.

이에 여야가 잇따라 피해구제기금 설치와 손해배상 책임 강화를 포함한 관련 법안을 발의한 가운데 국정감사에서도 공공기관의 개인정보 유출 책임과 피해구제 제도의 실효성 문제가 제기됐다. 

◆국고로 귀속되는 과징금 문제…여야서 '피해자 구제기금' 설치 법안 발의

27일 정치권에 따르면 이훈기 더불어민주당 의원과 조정훈 국민의힘 의원은 개인정보 유출 피해자를 지원하기 위한 기금 설치 법안을 각각 발의했다.

김용만 민주당 의원도 개인정보 유출 피해자의 손해배상 입증 부담을 줄이고 기업의 배상 책임을 강화하는 내용의 법안을 내놨다.

지난 9월 11일부터 시행된 개정 개인정보보호법은 고의 또는 중대한 과실로 대규모 개인정보 유출을 일으키거나 일정 기간 내 위반 행위를 반복한 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다.

다만 최대 10% 과징금은 모든 개인정보 유출 사고에 일률적으로 적용되는 것이 아니라 법에서 정한 요건을 충족하는 위반 행위에 적용된다.

문제는 과징금이 기업의 위법 행위에 대한 제재금이라는 점이다. 과징금은 국고에 귀속되기 때문에 피해자가 유출 사고로 입은 손해를 직접 보상받는 것과는 별개다.

피해자가 기업을 상대로 손해배상 청구 소송을 제기하더라도 구체적인 손해와 유출 사고 사이의 인과관계를 입증해야 하는 데다 소송에 시간과 비용이 드는 만큼 실질적인 구제에 한계가 있다는 지적이다.

◆피해·보호기금, 구체적 운용 방식·지원 기준 논의 과제   

이에 이훈기 의원은 지난 6월 15일 개인정보침해 피해자 보호기금 설치를 골자로 한 개인정보보호법 개정안을 대표 발의했다.

개인정보보호법 위반으로 거둔 과징금과 가산금, 과태료를 재원으로 기금을 조성해 피해자 상담과 법률·소송 지원, 분쟁조정, 2차 피해 예방과 피해구제 지원에 활용하도록 하는 내용이다.

조정훈 의원도 지난 12일 개인정보침해 피해구제기금 신설을 골자로 하는 개인정보보호법과 국가재정법 개정안을 대표 발의했다.

개인정보보호위원회가 별도의 피해구제기금을 설치·운영하고 개인정보 유출로 손해를 입었지만 기업과 기관으로부터 배상받지 못한 피해자에게 구조금을 지급할 수 있도록 하는 것이 핵심이다.

기금은 정부출연금과 개인정보 보호법에 따른 과징금과 구상금, 기금 운용수익금을 재원으로 조성하도록 했다.

구조금은 유출된 개인정보의 종류와 민감도, 피해 발생 가능성, 피해자의 연령과 취약성을 고려해 산정하는 내용이 담겼다.

두 법안은 개인정보 유출 피해자에게 실질적인 구제수단을 제공한다는 취지는 같다. 다만 기금의 구체적인 운용 방식과 지원 기준을 둘러싼 논의가 필요하다. 기금 지원과 기업의 민사상 배상 책임 사이의 관계를 정립하는 것도 과제다.

◆"피해 일으킨 기관이 직접 책임져야"…법정손해배상 강화 추진

피해구제기금 설치와 함께 피해자가 기업으로부터 배상받기 어려운 구조를 개선하기 위한 입법도 추진되고 있다.

손명수 민주당 의원은 개인정보 유출 사고와 관련해 "피해 보상과 구제도 중요하지만 무엇보다 사고 예방이 우선돼야 한다"며 "유출 사고가 발생한 뒤에는 2차 피해를 막기 위해 피해 확산 경로를 신속히 차단해야 한다"고 했다.

피해 구제와 관련해 손 의원은 "피해가 발생하면 무과실 책임 원칙에 따라 구제가 이뤄져야 하고 피해를 일으킨 기관이 책임을 져야 한다"며 "국회 정무위원회에서도 이같은 방향으로 논의를 이어가고 있다"고 밝혔다.

같은 당 김용만 의원은 지난 2월 12일 개인정보 보호법 개정안을 대표 발의했다. 개인정보 유출 사고에서 피해자가 구체적인 손해액을 입증하기 어려운 경우에도 1인당 300만원 이하의 법정손해배상을 인정할 수 있도록 하는 내용이 핵심이다.

법정손해배상은 피해자가 실제 손해액을 증명하기 어려운 경우 법원이 법률로 정한 범위에서 배상액을 인정하는 제도다.

◆여당 지도부, 개인정보 피해구제 강화 나서 

김 의원 개정안은 일정한 요건 아래 기업의 고의와 과실이 없더라도 배상 책임을 지도록 하는 내용을 담았다. 다만 개인정보 유출을 막기 위해 필요한 조치를 다했거나 정보주체에게 책임이 있는 경우에는 예외를 두도록 했다.

민주당 지도부도 개인정보 유출 피해구제 강화를 강조하고 있다.

김민석 대표는 지난 12일 최고위원회의에서 "금융권 등 여러 분야에서 해킹과 개인정보 유출이 잇따르고 있다"며 "인공지능(AI)과 사이버 공격 기술의 발전에 맞춰서 더 철저한 대응체계를 구축해야 한다"고 강조했다.

김 대표는 "(민주당은) 재발 방지책과 피해자 구제 절차 강화를 포함한 대안을 모색하면서 국민의 개인정보 보호와 피해 구제에 주력하겠다"고 말했다.

민주당 지도부 관계자는 "정무위와 정부에서도 각별히 신경을 쓰고 있고 지도부 차원에서도 후속 조치 방안을 다각도로 각별하게 챙겨 보려고 하고 있다"고 말했다.

◆공공기관 유출 772만건…집단분쟁조정 실효성도 도마

야당인 국민의힘은 국정감사에서 공공기관의 개인정보 유출 책임과 피해 보상 문제를 집중적으로 제기했다.

조정훈 의원은 지난 21일 국회 정무위 국감에서 2022년부터 올해 8월까지 공공기관에서 발생한 개인정보 유출 사고가 128건, 유출 규모는 772만건에 달한다고 지적했다. 다만 이 기간 부과된 과징금은 45억원에 그쳤다.

조 의원은 공공기관도 민간기업과 마찬가지로 개인정보 유출에 따른 책임을 져야 한다고 강조하며 사고 발생에 대비한 배상 재원 확보 필요성을 지적했다.

공공기관의 개인정보 유출에 따른 손해배상 책임을 강화하고 사고 발생 때 배상 재원을 확보하기 위한 사이버보험 가입 의무화를 비롯한 제도 개선 방안을 강조했다.

다수 피해자의 공동 소송과 피해구제 절차를 개선하기 위한 집단소송제 도입과 개인정보 침해사고 관련한 자료 은닉·폐기의 조사방해 행위에 대한 제재 강화도 입법 과제로 논의되고 있다.

◆피해구제 실효성 의문…개인정보위 제재 수단 강화 방침 

기존 피해구제 제도의 실효성도 문제로 지적됐다.

김상훈 국민의힘 의원이 개인정보보호위원회로부터 제출받은 자료에 따르면 2020년 8월 개인정보위 출범 이후 올해 5월 말까지 집단분쟁조정 사건 4건 가운데 실제 조정이 성립된 사례는 단 1건도 없었다. 3건은 조정이 불성립됐고 나머지 1건은 절차가 진행 중이었다.

대표적으로 지난해 에스케이(SK) 텔레콤 개인정보 유출 사건에서는 피해자 3998명에게 각각 30만원을 배상하라는 조정안이 나왔지만 기업 측이 이를 수락하지 않았다.

집단분쟁조정은 개인정보 침해 피해자 50명 이상이 공동으로 신청할 수 있는 제도다. 조정이 성립되면 재판상 화해와 동일한 효력이 발생하지만 당사자 중 한쪽이 거부하면 조정이 무산될 수 있다.

개인정보보호위는 과징금 상향을 포함한 제재 수단을 활용해 엄정 대응하겠다는 방침이다.

송경희 개인정보보호위원장은 지난 13일 국회 정무위원회 국감에서 대규모 개인정보 유출 사고가 잇따르는 데 대해 책임감을 표명하고 징벌적 과징금을 비롯한 제재 수단을 활용해 엄정 대응하겠다고 강조했다.

allpass@newspim.com