개인정보 유출 대가 눈덩이…과징금 1조 넘었다

개인정보보호위원회가 개인정보 유출과 부당한 개인정보 이용 등과 관련해 부과한 대규모 과징금이 1조 원을 넘어선 것으로 나타났다. 특히 최근 2년간 전체 과징금의 86% 이상이 집중된 데 이어 징벌적 과징금 제도까지 시행되면서 기업의 개인정보 보호책임이 한층 무거워질 전망이다.

14일 데이터뉴스가 개인정보보호위원회의 2020년 통합 출범 이후 제재 내용을 분석한 결과, 100억 원 이상 과징금을 부과받은 사례는 12건으로 집계됐다. 이들 사례의 과징금은 총 1조204억6696만 원이다.

개인정보보호위원회는 2020년 8월 여러 기관에 흩어져 있던 개인정보 보호 기능을 통합해 독립 중앙행정기관으로 출범했다. 이후 개인정보 침해 사건을 직접 조사하고 시정명령과 과징금 등 제재를 내리고 있다.

처음으로 100억 원이 넘는 과징금이 부과된 것은 2022년 9월이다. 개인정보보호위원회는 당시 구글과 메타에 각각 692억4100만 원과 308억6000만 원을 부과했다.

구글은 이용자에게 명확히 알리지 않고 다른 웹사이트 방문·이용 정보를 수집해 맞춤형 광고에 활용한 것으로 조사됐다. 메타 역시 페이스북 이용자의 외부 웹사이트·애플리케이션 활동 정보를 충분한 동의 없이 수집·이용한 사실이 적발됐다.

메타는 2024년 11월에도 이용자 98만 명의 종교관, 정치관, 동성과 결혼 여부 등 민감정보를 수집·분석해 맞춤형 광고에 활용한 혐의로 216억1300만 원의 과징금을 부과받았다.

역대 최대 과징금은 올해 6월 쿠팡에 부과된 6246억8100만 원이다. 쿠팡은 안전조치 의무를 제대로 이행하지 않아 3756만 건의 개인정보가 유출되고, 적법한 동의 없이 이용자 1117만 명의 온라인 활동 기록을 수집한 데 대해 제재받았다. 쿠팡에 부과된 금액은 12건 전체 과징금의 61.2%를 차지한다.

SK텔레콤이 뒤를 이었다. 개인정보보호위원회는 지난해 8월 악성코드 침투로 가입자 2324만 명의 유심(USIM) 인증키와 개인정보가 유출된 SK텔레콤에 1347억9100만 원을 부과했다. 단일 사건 과징금이 1000억 원을 넘어선 첫 사례였다.

대규모 과징금은 최근 들어 뚜렷하게 늘었다. 100억 원 이상 과징금 12건 가운데 8건(66.7%)이 2025년 이후 부과됐다. 이들 8건의 과징금은 총 8836억6500만 원으로, 전체의 86.6%에 달한다.

올해 1월부터 8월까지 부과된 100억 원 이상 과징금도 6건, 7354억2300만 원에 달했다. 전체 과징금의 72.1%를 차지한다.

개인정보 유출 규모가 커진 데다 과징금 산정 체계가 강화된 것이 대규모 제재 증가에 영향을 준 것으로 풀이된다.

2023년 9월 시행된 개정 개인정보보호법은 과징금 상한 산정의 출발점을 ‘위반행위와 관련된 매출액’에서 ‘전체 매출액’으로 바꿨다. 다만 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외해 기준금액을 산출한다.

개정 전에는 당국이 위반행위와 직접 관련된 매출을 특정해야 했지만, 개정 후에는 전체 매출을 기준으로 삼고 사업자가 위반행위와 무관한 매출임을 입증해야 제외받을 수 있도록 구조가 바뀌었다

지난 11일부터 시행된 징벌적 과징금 제도도 기업의 부담을 키울 수 있는 요인이다. 반복적이거나 고의·중과실에 따른 대규모 개인정보 유출에는 과징금 상한을 전체 매출액의 3%에서 10%로 높일 수 있게 됐다.

강동식 기자 lavita@datanews.co.kr