과징금 10% 상향에도 피해자 보상 실종…개인정보 유출 제도 개선 시급

핵심 요약

- 정부가 개인정보 유출 사고 과징금 상한을 매출액 3%에서 10%로 대폭 상향 조정 - 과징금은 국고 귀속되나 정작 피해를 입은 고객에 대한 실질적 보상체계는 여전히 미흡 - 영화 한 편 관람도 어려운 수준의 소액 보상으로 피해자 구제 실효성에 대한 비판 확대

주요 내용

2026년 현재 개인정보보호법 개정으로 개인정보 유출 사고를 일으킨 기업에 대한 과징금 상한이 전체 매출액의 10%까지 확대되었다. 이는 종전 3% 대비 3배 이상 강화된 수치로, 정부의 개인정보 보호 의지를 보여주는 조치로 평가받고 있다. 특히 대규모 유출 사고를 낸 빅테크 기업들에 대한 제재 수위가 실질적으로 높아질 것으로 예상된다.

그러나 이러한 과징금 강화에도 불구하고 실제 피해를 입은 소비자들에 대한 보상체계는 여전히 개선되지 않아 제도의 실효성에 의문이 제기되고 있다. 현행 제도 하에서 과징금은 전액 국고에 귀속되며, 피해자는 별도로 민사소송 등을 통해 손해배상을 청구해야 하는 구조다. 이는 피해자가 직접 입증책임을 지고 소송 비용을 부담해야 함을 의미한다.

실제 개인정보 유출 피해자들이 받는 배상액은 건당 수만 원 수준에 불과해 "최신 영화 한 편도 보기 어려운 수준"이라는 비판이 제기되고 있다. 개인정보 유출로 인한 2차 피해 가능성, 정신적 피해, 개인정보 재발급 등에 소요되는 실질적 비용을 고려할 때 턱없이 부족한 수준이라는 것이 전문가들의 지적이다.

일각에서는 과징금의 일정 비율을 피해자 보상 기금으로 조성하거나, EU의 GDPR처럼 집단소송 제도를 활성화하는 등 피해자 중심의 제도 개선이 필요하다는 목소리가 높아지고 있다. 기업의 경각심 제고도 중요하지만, 실질적 피해 구제가 병행되어야 개인정보 보호 체계가 완성될 수 있다는 주장이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 과징금 상향은 기업의 개인정보 보호 투자를 촉진하는 긍정적 효과가 있으나, 사후 구제체계의 부재는 심각한 제도적 공백이다. 심사 현장에서 많은 기업들이 "과징금을 내면 그만"이라는 인식을 가지고 있으며, 피해자에 대한 신속한 보상체계 구축을 의무화하지 않는 한 근본적 행태 변화를 기대하기 어렵다. 실제 인증심사 시 사고 대응계획을 검토하면 기술적 대응에만 집중할 뿐, 피해자 보상 프로세스는 형식적으로 수립된 경우가 대부분이다.

기업 입장에서는 과징금 리스크 증가에 대응해 개인정보 유출 예방에 더욱 집중해야 한다. 하지만 동시에 만약의 사고 발생 시 신속하고 충분한 피해자 보상체계를 자발적으로 마련하는 것이 장기적으로 기업 신뢰도 제고에 유리하다. 선제적으로 피해자 보상 기준을 명확히 하고, 보험 가입 등을 통해 재무적 준비를 갖추는 것이 리스크 관리 측면에서 바람직하다. 특히 개인정보 처리량이 많은 플랫폼 기업일수록 이러한 대비가 필수적이다.

ISMS-P 심사원 체크포인트

1. 개인정보 유출 사고 대응 및 피해 구제 (ISMS-P 2.9.2)
- 개인정보 유출 사고 발생 시 정보주체에 대한 통지 절차 및 피해 최소화 조치 수립 여부
- 피해자 보상 기준, 절차, 재원 마련 방안(보험 가입 등)의 구체성 검토
- 개인정보보호법 제34조(개인정보 유출 통지 등) 및 제39조의2(손해배상의 보장) 이행 확인

2. 개인정보 보호 책임 및 의사결정 체계 (ISMS-P 2.1.2)
- 최고경영자의 개인정보 유출 사고 대응 및 피해 보상에 대한 의사결정 체계 확립 여부
- 과징금 외에 민사적 손해배상 리스크에 대한 경영진의 인식 수준 및 예산 확보 여부
- 개인정보보호법 제28조(손해배상책임) 관련 기업의 입증책임 전환 조항 이해도 점검

3. 개인정보 처리 위험 관리 및 재무적 대비 (ISMS-P 2.4.1)
- 대규모 개인정보 유출 시나리오별 재무적 영향 평가(과징금+손해배상) 실시 여부
- 개인정보 유출 사고에 대비한 사이버 보험 또는 배상책임 보험 가입 현황
- 개인정보보호법 제39조의13(과징금 부과 기준) 및 시행령 별표 검토

CPPG·ISMS-P 연계 포인트

1. 개인정보 유출 시 과징금 및 손해배상 체계
개인정보보호법 제34조의2에 따른 과징금은 매출액의 10% 이하로 부과되며, 이는 행정적 제재로서 국고에 귀속된다. 반면 제39조에 따른 손해배상은 민사적 구제수단으로, 정보주체가 실제 손해 또는 법정손해액(300만 원 이하)을 청구할 수 있다. 두 제도는 별개로 작동하며, 과징금 부과가 손해배상 책임을 면제하지 않는다는 점이 핵심이다.

2. 입증책임 전환 및 손해액 산정 특례
개인정보보호법 제39조제2항은 개인정보처리자의 고의 또는 과실, 손해 발생 간 인과관계에 대한 입증책임을 개인정보처리자에게 전환시켰다. 또한 제39조의2는 손해액 입증이 어려운 경우 법원이 변론 전체 취지와 증거조사 결과를 참작해 상당한 손해액을 인정할 수 있도록 규정하고 있어, CPPG 시험에서 자주 출제되는 조문이다.