과도한가, 부족한가? SKT에 부과된 1,348억 원 1% 과징금의 진실

전 국민의 절반에 달하는 2,300만 명의 개인정보가 유출된 SK텔레콤 유심 해킹 사태. 개인정보보호위원회(개인정보위)는 이 사고에 대해 역대 최대 규모인 1,348억 원의 과징금을 부과했다.

하지만 이 '역대급' 과징금을 둘러싼 논란은 잦아들지 않고 있다. 시민단체는 '솜방망이 처벌'이라 비판하는 반면, 일각에서는 과도한 처분이라는 목소리가 나온다. 과연 SK텔레콤에 부과된 이 과징금은 적절한가? 그 배경과 쟁점들을 심층적으로 분석한다.

논란의 시작 '전체 매출' 아닌 '관련 매출' 기준

개인정보보호법 제64조의2에 따르면, 개인정보 유출 사고 발생 시 위반 사업자에게 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. SK텔레콤의 지난해 무선통신사업 매출은 약 12조 7,700억 원으로, 이를 기준으로 하면 최대 3,831억 원의 과징금이 나올 수 있다는 관측이 제기됐다. 그러나 개인정보위는 그보다 훨씬 적은 1,348억 원을 부과했다.

이는 개인정보위가 과징금 산정 시 '전체 매출액'이 아닌 '위반 행위와 관련 있는 매출액'만을 기준으로 삼았기 때문이다.

개인정보보호위원회 고학수 위원장은 지난 27일 전체회의에서 "회사 전체 매출액 중 이번 사태와 관련이 없는 매출액을 제외하고, 통신 관련, 특히 LTE와 5G네트워크 등과 연관된 매출, 개인 고객 관련 매출만을 기준으로 산정했다"고 설명했다.

이는 법률과 시행령에 명시된 과징금 산정 기준을 따른 것이다.

"솜방망이" vs "형평성 위배" 엇갈리는 주장

개인정보위의 이 같은 결정에 대해 시민사회와 전문가들의 평가는 극명하게 엇갈린다.

시민단체 참여연대는 28일 성명을 통해 이번 과징금이 SK텔레콤 무선통신사업 매출의 1% 수준에 불과하다고 지적했다. 이들은 "전 국민의 절반이 넘는 민감 개인정보가 유출됐음에도 기본적인 암호화 조치조차 하지 않은 사안의 중대성을 고려하면 매우 적은 수준"이라며, "중대하고 악의적인 개인정보 유출사고에 대해서는 최소한 전체 매출의 4% 이상으로 과징금 상한을 높여야 한다"고 주장했다.

또한 해외 주요국(중국·캐나다 5%, EU GDPR·영국 ICO 4%)에 비해 우리나라의 과징금 상한이 낮아 재발 방지 역할을 하기에 부족하다고 비판했다.

반면, 과징금이 과도하다는 주장도 제기된다.

고려대학교 정보보호대학원 김승주 교수는 같은 날 자신의 페이스북을 통해 "영리 목적으로 이용자 동의 없이 개인정보를 활용한 구글에 692억 원의 과징금을 부과했던 사례가 있는데, 해킹 피해를 입은 SK텔레콤에 이보다 훨씬 큰 과징금을 부과하는 것은 형평성에 맞지 않는다"고 지적했다.

SKT, 행정소송 나설까? 법원의 판단은?

현재 SK텔레콤은 개인정보위의 과징금 부과 결정에 대해 행정소송을 검토 중인 것으로 알려졌다. SK텔레콤 측은 "이번 결과에 대해 무거운 책임감을 느낀다"면서도 "향후 의결서를 면밀히 검토해 대응 방침을 정하겠다"고 밝혀, 과징금의 법적 정당성이나 산정 방식에 대해 이의를 제기할 가능성을 시사했다.

법원은 과징금 부과 처분이 재량권의 범위를 일탈하거나 남용했는지 여부를 판단할 때, 위반 행위의 내용, 공익 침해의 정도, 그리고 당사자가 입게 될 불이익 등을 종합적으로 고려한다. 대법원은 이미 개인정보 보호조치 의무 위반에 대한 과징금 액수를 정할 때 "위반행위의 원인과 유형, 유출된 개인정보의 규모, 유사 사례에서의 과징금 액수 등을 종합적으로 고려해야 한다"고 판시한 바 있다.

이번 과징금 논란은 단순히 금액의 적정성 문제를 넘어, 개인정보 보호에 대한 우리 사회의 인식과 제도를 되돌아보는 중요한 계기가 되고 있다.

과연 법원은 이번 SK텔레콤 과징금 부과에 대해 어떤 판단을 내릴지, 그리고 이 판결이 앞으로의 개인정보 보호 정책에 어떤 영향을 미칠지 관심이 집중된다.