이 기사는 2024년 12월 09일 08:21 thebell 에 표출된 기사입니다.

개인정보보호법 개정으로 2020년 8월 개인정보보호위원회(이하 개인정보위)의 기능이 강해지면서 제재 수위가 높아지고 있다. 드물던 10억원 이상 과징금도 빈번하게 부과되기 시작했고 국내 기업을 대상으로 한 첫 100억원대 과징금이 부과되기도 했다. 행정안전부, 방송통신위원회, 금융위원회 등으로 분산돼 있던 조직을 개인정보위로 통합한 영향이다.

올해는 3월 법 2차 개정으로 기업에게 부과할 수 있는 과징금의 총액도 기존보다 크게 늘었다. 개인정보위가 공정거래위원회와 같이 기업들이 주의해야 할 규제기관으로 거듭나는 중이다.

◇빈번해진 수십억 과징금

과거 개인정보보호법 위반으로 10억원대 이상 과징금을 부과받는 것은 국내에서는 매우 드문 일이었다. 통합 개인정보위가 출범하기 전 개인정보보호법 위반으로 국내 기업이 받은 과징금 중 두 번째로 높은 금액대는 2019년 위메프다. 위메프는 2017년부터 2018년까지 2년 연속 가입자 정보 유출을 겪으며 18억원의 과징금을 부과받았다. 이마저도 위메프가 취소소송을 제기해 승소했다.

가장 규모가 큰 것은 2016년 인터파크다. 인터파크는 당시 1000만명 이상 개인정보 유출로 인해 방송통신위원회로부터 44억원의 과징금을 부과받았다.

인터파크가 안고 있던 '역대 최대 과징금액'이라는 불명예는 2020년 메타가 이어받게 됐다. 메타는 당시 페이스북 로그인을 통해 다른 사업자 서비스를 이용할 때 본인 정보를 비롯해 친구 개인정보까지 제공한 것이 발견돼 67억원의 과징금을 받았다. 이후 2022년 구글이 692억원, 메타가 308억원의 과징금을 부과받으며 최대 과징금액은 훌쩍 높아졌다.


국내 기업을 대상으로 한 제재 중 최고액은 좀처럼 경신되지 않았는데, 지난해 LG유플러스가 68억원의 과징금을 부과받으면서 국내 기업 중 가장 강한 제재를 받은 기업이 됐다.

◇2016년 48억 → 2023년 68억 → 2024년 75억, 151억

LG유플러스가 인터파크의 불명예를 이어받기까지 걸린 시간은 7년이다. 하지만 다음 경신은 1년도 채 걸리지 않았다. 지난해 랜섬웨어 공격에 의해 221만명의 개인정보 유출이 발생한 골프존이 올해 5월 9일 75억원의 과징금을 부과받았기 때문이다.

사고 발생 당시 관심은 개인정보 유출보다는 서비스 이용 불가에 집중됐다. 골프존 서비스를 이용하지 못하게 됨에 따라 가맹점과 이용자의 불편이 이어졌기 때문이다. 이에 골프존은 "랜섬웨어로 인한 서버 디스크 파손으로 모든 서비스에 어려움을 겪고 있다. 순차적으로 서비스를 정상화하겠다"고 입장문을 발표하기도 했다. 랜섬웨어로 인한 영업 차질에 더해 과징금 부과라는 이중고를 겪은 모습이다.

골프존의 기록이 깨진 것은 금방이다. 5월 23일 개인정보위는 카카오에게 151억원의 과징금을 부과했다. 카카오는 국내 기업 중 개인정보보호법 위반으로 100억원 이상의 과징금을 부과받은 최초 기업이 됐다. 해커가 오픈채팅방의 취약점을 이용해 참여자 정보를 미리 획득하고, 카카오톡의 친구추가 기능과 불법 프로그램을 이용해 정보를 획득한 뒤 회원일련번호와 결합해 개인정보를 만들어 판매한 건이다.

해당 처분과 관련 카카오는 처분 발표 직후 "임시ID는 숫자로 구성된 문자열이라 어떤 개인정보도 포함돼 있지 않다. 해커가 결합해 사용한 '다른 정보'는 카카오에서 유출된 것이 아니다"라고 반박했다.

카카오는 지난 11월 1일에는 개인정보위를 상대로 과징금 불복 행정소송을 진행했다. 소송 결과에 따라 과징금은 취소될 수 있다.