[금융해킹 철퇴] 롯데카드發 금융권 보안침해… '징벌적 과징금' 10년 만에 부활 조짐

금융·통신업권 대형 해킹 사고가 이어지자 ‘징벌적 과징금’ 제도가 10년 만에 부활할 조짐이다. SK텔레콤·KT에 이어 롯데카드에서 297만 명의 고객 개인정보가 유출된 초유의 해킹 사고를 계기로 규제 강화를 요구하는 목소리가 커지고 있기 때문이다. 특히 올해 들어 대기업들부터 금융사까지 보안 취약점을 드러내면서 과거와 달리 제도 추진에 한층 강한 드라이브가 걸릴 전망이다.

22일 금융당국과 금융권에 따르면, 최근 금융·통신업권에서 잇따른 대형 보안 사고가 터지면서 ‘징벌적 과징금’ 도입 논의에 속도가 붙고 있다. 정부가 추진 중인 제도의 핵심은 대규모 혹은 반복적인 개인정보 유출을 일으킨 기업에 기존보다 훨씬 강화된 금전적 제재를 부과하는 것이다.

단순히 벌금을 내는 수준을 넘어 기업의 연 매출액에 비례한 과징금을 ‘징벌적’ 수준으로 부과하고, 사전 예방 조치를 얼마나 이행했는지(취약점 제거·암호화·이상 징후 탐지 등)에 따라 감경 또는 가중을 적용하는 방식이 검토되고 있다. 부과된 과징금은 국고 귀속에만 그치지 않고, 별도의 기금을 통해 피해 소비자에게 직접 보상하는 방안도 함께 포함된다. 이와 동시에 CEO·CISO의 책임을 강화해 이사회 보고 의무를 지우고, 내부통제·개인정보 영향평가를 확대하는 등 경영진 차원의 실질적 통제 장치도 마련한다.

‘징벌적 과징금’ 논의가 처음 불거진 건 2014년 카드 3사(KB국민·NH농협·롯데)에서 1억 건 넘는 개인정보가 유출된 사건 이후다. 당시 정부는 손해배상제도 도입까지 검토했지만 기업 부담 우려와 법적 근거의 불확실성 등을 이유로 실제 제도화로 이어지지 못했다. 이후 개인정보보호법과 신용정보법 개정으로 규제가 강화되긴 했지만 기업이 막대한 책임을 지는 수준의 제재 장치는 마련되지 않았다.
이번에는 상황이 다르다. 롯데카드에서 전체 회원 960만 명 중 297만 명의 정보가 털렸고, 이 가운데 28만 명은 카드 비밀번호와 CVC 등 결제정보까지 포함돼 피해의 심각성이 전례 없는 수준으로 불어난 것이다. 대통령이 직접 “보안 사고를 반복하는 기업에는 강력한 제재가 이뤄지도록 조치를 준비하라”고 지시하면서 제도화 가능성에도 힘이 실리고 있다.

권대영 금융위원회 부위원장은 지난 19일 정부서울청사에서 열린 해킹 대응 합동 브리핑에서 “연이어 터지는 금융권 해킹 사태를 엄중히 인식하고 있다”면서 “결과(에 대한) 엄정한 책임을 물을 수 있도록 징벌적 과징금 도입을 신속히 추진하겠다”고 밝혔다.

다만 제도는 시행 이후 발생하는 사건에만 적용되는 만큼 이번 롯데카드 사태에는 소급 적용이 어렵다. 현행 정보통신망법에 따라 부과 가능한 최고 수준의 과징금은 매출액의 최대 3%다. 나이스신용평가에 따르면 롯데카드의 지난해 영업수익(약 2조7000억 원)을 기준으로 270억~800억 원 수준의 과징금이 예상된다. 이는 지난해 순이익(1354억 원)의 최대 60%에 이른다.

업계 한 관계자는 “보안을 생명으로 하는 주요 기업들이 줄줄이 개인정보 유출 사고를 겪으면서 규제 강화를 요구하는 여론도 커지고 있다”면서 “기업들도 제도 동향에 촉각을 곤두세우는 분위기”라고 말했다.


홍석경 글로벌이코노믹 기자 hong@g-enews.com