쿠팡 6200억 과징금에 가려진 한국 사이버보험의 명암

한국 이커머스 업계를 뒤흔든 사상 최대 규모의 과징금 처분이 기업들의 보안 의식과 재무적 안전장치 사이의 현격한 간극을 드러냈다.

글로벌 보험 전문 매체인 인슈어런스 비즈니스(Insurance Business)의 7월 31일(현지시각) 보도에 따르면, 한국 개인정보보호위원회는 대규모 개인정보 유출 사태를 일으킨 쿠팡에 역대 최고액인 6246억 8100만 원의 과징금을 부과했다.

이는 현재 대형 데이터 보유 기업들에 요구되는 법정 최소 사이버 배상책임보험의 가입 한도인 10억 원을 크게 웃도는 수치다. 당국이 천문학적인 제재를 가하는 동안 피해 구제를 위한 실질적 안전망인 보험 제도의 개선 속도가 더딘 상황이 이어지면서, 한국기업들의 사이버 리스크 대응 체계 전반을 점검해야 한다는 목소리가 커지고 있다.

개인정보보호위원회가 쿠팡에 부과한 6246억 8100만 원의 과징금은 기본적인 안전관리 체계 미비로 인해 약 3750만 명의 개인정보가 유출된 사태와, 1117만 명에 달하는 이용자의 온라인 활동기록을 무단 수집한 행위에 대한 책임을 물은 결과다.

SK텔레콤이 기록했던 기존 최고 과징금 규모를 경신한 이번 조치는, 고의나 중과실이 인정될 경우 기업 매출액의 최대 10%까지 과징금을 부과할 수 있도록 강화된 개인정보보호법의 엄중함을 보여주었다.

그러나 개인정보보호법 시행령상 매출액 800억 원 이상, 정보 주체 100만 명 이상의 조건을 충족하는 기업이 의무적으로 가입해야 하는 개인정보보호 배상책임보험의 최저한도는 10억 원으로 설정되어 있다.

수천만 명의 피해자를 낳은 쿠팡 역시 법정 최저선인 10억 원 규모의 책임 보험만 가입했던 것으로 파악됐다. 제재 수위가 수백억 원에서 수천억 원 규모로 급증한 반면, 이를 뒷받침할 의무보험 제도는 현실을 충분히 반영하지 못하고 있다는 지적이 나오는 배경이다.

거대 플랫폼의 해킹 리스크에 비해 법이 강제하는 최소 보장 한도가 지나치게 낮아 실효성이 떨어진다는 비판이 업계 안팎에서 제기되고 있다.

당국은 의무 가입 대상 기업의 범위를 조정하는 방안을 검토하고 있으며, 이를 두고 정책 방향성에 대한 논란이 이어지고 있다.

개인정보보호위원회는 의무 가입 기준을 현행 매출액 10억 원 이상 및 정보 주체 1만 명 이상에서, 매출액 150억 원 이상 및 정보 주체 100만 명 이상으로 상향 조정하는 방안을 추진 중이다. 당국은 대상 기업을 식별하기 어렵고 기업들의 제도 인지도가 낮다는 점을 개정 검토의 배경으로 들고 있다.

그러나 업계에서는 의무 가입 대상이 대폭 축소될 경우 영세 기업과 중소기업들이 사각지대에 놓일 수 있다고 우려한다. 중소기업일수록 대형 사고 발생 시 자체 자금으로 피해를 감당하기 어려워 파산 위기에 직면할 가능성이 크기 때문이다.

보험 업계는 대형 사고의 규모에 발맞춰 기업 규모별로 보험 가입 최저한도를 10억 원에서 최대 100억 원 이상으로 세분화해야 한다고 제안한다. 실제로 일부 손해보험사들이 전담 조직을 신설하며 관련 상품을 강화하고 있는 시장의 흐름과도 대비되는 대목이다.


이번 사태는 한국 자본시장과 플랫폼, 전자상거래, 대규모 데이터를 보유한 기업들에 사이버 보안이 단순한 비용 지출이 아닌 생존을 좌우하는 핵심 재무 변수임을 명백히 증명했다.

한국 주요 플랫폼과 이커머스 관련 기업들은 쿠팡 사태를 계기로 투자심리 위축과 리스크 비용 급증이라는 부담을 마주하고 있다. 특히 강력해진 과징금 리스크와 현실성 떨어지는 보험 제도가 맞물리면서, 기업들은 유사시 예상치 못한 재무적 충격에 노출될 수밖에 없다.

글로벌 시장과 비교할 때 한국 사이버보험 시장의 규모는 제한적인 수준에 머물러 있다. 글로벌 재보험 중개사 갤러리 리(Gallagher Re)의 데이터에 따르면, 한국의 사이버 보험료 총액은 약 300만 달러로 글로벌 전체의 0.02% 수준에 불과하다. 경제 규모가 비교적 작은 싱가포르의 약 3900만 달러나 태국의 약 500만 달러와 비교해도 낮은 수치다.

증권가 일각에서는 이러한 규제 공백과 처벌 강화 기조가 전 산업군의 보안 관련 투자 비용 증가로 이어져 단기적으로 수익성에 부담을 줄 수 있다고 분석한다. 다만 장기적으로는 철저한 리스크 관리 체계를 갖춘 기업만이 시장의 신뢰를 얻을 수 있는 환경으로 산업 체질이 바뀔 것이라는 전망도 나온다.


사이버 위협이 고도화되고 피해 규모가 커지는 가운데, 낡은 규제 틀에 의존하는 행정은 시장을 보호하는 데 한계가 있다는 지적이 힘을 얻고 있다. 관련 업계 전문가들은 단순한 의무 면제나 규제 완화보다는 보유 데이터의 양과 기업 규모에 비례하는 현실적인 보험 가입 기준을 마련해야 한다고 입을 모은다.

당국의 처벌 수위만 높이고 실질적인 구제 수단을 보완하지 않는다면, 대형 데이터 유출 사고가 재발했을 때 시장이 받을 충격은 해소되기 어렵다. 기업들 역시 소극적인 법 준수를 넘어 실효성 있는 사이버 리스크 관리 체계를 구축하는 데 투자를 아끼지 않아야 할 시점이다.


진형근 글로벌이코노믹 기자 jinwook@g-enews.com