[취재수첩] '거액 과징금'이 정의롭다는 오해

“검찰이 징역 10년을 구형했는데 법원이 3년을 선고했다고 7년을 감경했다고 하지는 않잖아요.”

금융권 고위 관계자는 지난 9일 동양생명 신용정보법 위반 제재 결과를 보고 이렇게 말했다. 당초 금융감독원 제재심 단계에서 1400억원대 과징금이 거론됐지만, 금융위원회 최종 심의 결과 70억원대로 확정됐다.

숫자만 보면 과징금이 20분의 1로 감경됐다는 인상을 받기 쉽다. 특정 금융회사를 봐줬다거나 과징금이 ‘널뛰기’한다는 비판도 나올 법하다. 하지만 1400억원은 금융위가 한 차례 부과했다가 깎은 과징금이 아니다. 금감원 제재심이 제시한 일종의 ‘구형안’이다. 검찰 구형량보다 법원 선고형이 낮다고 해서 판사가 형을 깎았다고 하지 않는 것과 같은 이치라는 얘기였다.

최근 금융권 제재에서 수천억, 조 단위 과징금이 잇따라 거론되면서 제재의 적정성보다 액수 자체에 관심이 쏠리는 사례가 많다. 매출액 기준으로 과징금을 산정하는 제도가 확대돼 회사 규모가 크면 과징금도 천문학적으로 불어날 수 있게 됐다. 문제는 과징금이 거액일수록 엄정한 제재로 받아들여진다는 점이다. 정작 따져야 할 것은 금융사가 무엇을 얼마나 잘못했고, 그로 인해 소비자가 어떤 피해를 봤느냐인데도 말이다.

사실 동양생명이 위반한 신용정보법 개정 당시 국회에서는 과징금이 지나치게 커질 수 있다는 우려가 제기됐다. 2019년 국회 정무위원회 법안심사 과정에서 ‘전체 매출액’을 과징금 산정 기준으로 삼는 것에 대한 지적이 있었다. 위반행위와 관련 없는 매출까지 과징금 산정에 반영되면 ‘자기책임의 원칙’에 어긋날 소지가 있다는 것이었다.

금융권을 비롯해 개인정보 유출 사고가 잇따르는 가운데 유출 사실 자체에 초점을 맞추는 게 타당한지는 돌아볼 필요가 있다. 물론 동의 없는 개인정보 제공은 그 자체로 법 위반이다. 하지만 정보 유출 경위와 예방 노력 여부, 실제 소비자 피해를 종합적으로 따지는 게 우선이다. 미국은 개인정보 관련 불공정행위를 판단할 때 소비자에게 ‘상당한 피해(substantial injury)’가 발생했거나 발생할 가능성이 있는지를 중요하게 본다. 과거 미국에서 개인정보 유출 사고를 경험한 한 금융사 최고경영자(CEO)는 “미국 당국은 ‘소비자가 본 피해가 무엇이냐’부터 묻는다”고 전했다.

인공지능(AI) 시대 개인정보 침해 위험은 갈수록 고도화되고 있다. 얼마 전 국립외교원에서 전현직 외교관의 신상정보 1만 건이 유출되기도 했다. 이런 상황에서 기업에만 거액의 과징금을 물리는 것이 능사가 아니다. 중요한 것은 잘못과 피해에 걸맞은 책임을 묻는 일이다.