[현장] 쿠팡·SKT 수천억 과징금?…“형벌적 제재, 절차적 정당성 필요”

▲행정법이론실무학회, 정보통신정책학회, 서울대학교 공익산업법센터는 21일 서울 프레스센터에서 '위반행위에 대한 행정제재의 효율성과 정당성'이라는 주제로 공동 학술대회를 개최했다. 사진 = 김윤호 기자.

최근 대형 플랫폼과 통신사의 개인정보 유출 사고에 대한 정부의 과징금 부과가 잇따르는 가운데, 학계가 현행 과징금 제도의 법적 정당성과 예측가능성을 높일 수 있도록 제도를 재설계할 필요가 있다고 제언했다.

행정법이론실무학회·정보통신정책학회·서울대학교 공익산업법센터는 21일 서울 한국프레스센터에서 '위반행위에 대한 행정제재의 효율성과 정당성'을 주제로 공동학술대회를 열고 개인정보 유출 등에 부과되는 과징금의 법적 성격과 절차적 정당성, 산정 기준 등을 놓고 논의를 진행했다.

이번 학술대회는 최근 플랫폼 기업 규제가 강화되고 개인정보 유출 사고에 대한 대규모 과징금 부과 사례가 잇따르면서 행정제재의 적정성과 법적 정당성이 새로운 쟁점으로 떠오른 가운데 마련됐다. 특히 과징금이 행정법상 의무 이행을 확보하기 위한 수단을 넘어 기업 활동과 국제 통상환경에도 영향을 미치는 만큼, 법적 안정성과 예측가능성을 높일 수 있는 보다 정교한 제도 설계가 필요하다는 데 논의가 집중됐다.

실제 개인정보 유출 사고에 대한 제재 규모는 빠르게 커지고 있다. 학술대회 자료집에 따르면 올해 내부자 해킹으로 약 3755만명의 개인정보가 유출된 쿠팡에는 국내 최대 규모인 6246억원의 과징금이 부과됐다. 앞서 지난해 약 2300만명의 개인정보가 유출된 SK텔레콤에도 1347억원의 과징금이 부과된 바 있다.

현행 개인정보보호법은 전체 매출액의 3%까지 과징금을 부과할 수 있도록 하고 있다. 여기에 개인정보보호법 개정으로 반복적이거나 대규모 피해를 초래한 중대한 위반행위에 대해서는 전체 매출액의 최대 10%까지 부과할 수 있는 징벌적 과징금 제도가 도입돼 오는 9월 시행을 앞두고 있다.

▲21일 서울 중구 한국프레스센터에서 열린 '위반행위에 대한 행정제재의 효율성과 정당성' 공동학술대회에서 제1·2발제 좌장을 맡은 이희정 고려대 법학전문대학원 교수가 토론을 진행하고 있다. 사진 = 김윤호 기자.

이원우 서울대학교 공익산업법센터장은 개회사를 통해 “개인정보 유출에 대한 실효성 있는 대응은 필요하지만, 과징금이 수천억원 규모의 징벌적 제재로 확대되는 상황에서는 형벌에 준하는 절차적 통제와 책임주의, 비례원칙을 함께 고민해야 한다"며 “좋은 규제는 강한 규제가 아니라 공익 보호와 예측 가능성, 책임 원칙이 균형을 이루는 규제"라고 강조했다.

첫 번째 발제를 맡은 송시강 홍익대 법과대학 교수는 '법률상 의무 위반에 대한 행정제재의 위헌성에 관한 연구'를 주제로 과징금 제도의 헌법적 한계를 짚었다.

송 교수는 최근 과징금이 사실상 징벌적 제재로 기능하는 사례가 늘고 있다며 법률유보원칙과 적법절차원칙, 재판청구권 측면에서 현행 제도를 재검토할 필요가 있다고 주장했다. 특히 행정기관이 부과하는 과징금이 형사처벌에 준하는 성격을 갖게 된 만큼, 법관의 재판을 거치지 않는 행정제재를 정당화할 수 있는 요건도 보다 엄격하게 살펴야 한다고 설명했다.

그는 “법률상 의무 위반에 대한 행정제재가 정당성을 갖기 위해서는 소추기관과 심판기관의 분리, 대심적 절차의 보장이 필요하거나 법관의 전권 심사에 의한 통제가 이뤄져야 한다"고 말했다.

▲21일 서울 중구 한국프레스센터에서 열린 '위반행위에 대한 행정제재의 효율성과 정당성' 공동학술대회에서 제3발제 좌장을 맡은 박현정 한양대 법학전문대학원 교수가 토론을 진행하고 있다. 사진 = 김윤호 기자.

이처럼 과징금의 절차적 정당성이 쟁점으로 떠오른 가운데, 이어진 발제에서는 현행 과징금 산정 체계의 구조적 한계도 집중적으로 논의됐다.

과징금 산정 방식 역시 주요 쟁점으로 떠올랐다. 전체 매출액을 기준으로 과징금을 산정할 경우 위반행위와 직접 관련이 없는 사업부문의 매출까지 반영될 수 있는 데다, 외부 해킹 등 제3자의 행위가 개입된 사고에서 기업의 책임 범위를 어디까지 인정할 것인지도 논란이 될 수 있다는 지적이다.

김태오 국립창원대 법학과 교수는 '과징금의 본질 및 기능의 재구조화'를 주제로 발표하며 개인정보 유출 과징금을 중심으로 현행 제도의 본질과 기능을 분석했다. 그는 부당이득이 발생하지 않는 개인정보 유출 사고에도 매출액을 기준으로 과징금을 산정하는 현행 체계의 문제점을 지적했다.

김 교수는 “개인정보 유출 사고는 유출된 사업자가 어떤 부당이득을 얻는다고 보기 어렵다"며 “그럼에도 매출액을 산정의 기초로 과징금을 부과하다 보니 사건의 본질과 현행 과징금 체계가 부합하지 않는다는 문제 제기가 가능하다"고 말했다.

이어 “해킹의 경우 해커 행위를 사업자의 행위로 귀속시킬 수 있는지에 대한 문제도 있다"며 “단순히 의무 위반이 있고 결과가 발생했다는 이유만으로 과징금을 부과하는 구조에는 한계가 있다"고 지적했다.

배기철 경희대 법학전문대학원 교수도 개인정보보호법상 과징금 제도의 현황과 개선방안을 발표하며 현행 제도의 문제점을 짚었다.

배 교수는 안전조치의무 위반과 개인정보 유출은 법적 성격이 다른 행위임에도 현행 제도는 이를 충분히 구분하지 않은 채 유출 결과를 중심으로 제재하는 경향이 있다고 지적했다.

그는 “현행 개인정보 유출 관련 과징금 제도는 안전조치의무 위반과 개인정보 유출 사이의 인과관계가 인정되지 않는 경우에도 유출이라는 결과만으로 책임을 부과하는 문제가 있다"고 말했다.

아울러 해킹기법이 고도화되는 상황에서 과징금 규모만 지속적으로 키우는 방식의 실효성에도 의문을 제기했다.

배 교수는 “오늘날 기술 수준과 해킹기법의 발전을 고려하면 개인정보를 완벽하게 보호하는 것은 현실적으로 불가능하다"며 “이런 상황에서 해킹사고가 발생할 때마다 과징금 규모와 제재 수준만 계속 강화하는 방식이 개인정보 유출사고 예방에 실질적인 효과가 있는지 근본적인 의문이 든다"고 말했다.

이어 단기적으로는 현행 제도의 틀을 유지하면서 과징금 산정 기준을 합리화하고, 장기적으로는 결과책임 중심의 규율체계를 행위자의 고의·과실과 책임 정도를 반영하는 자기책임 원칙 중심으로 전환할 필요가 있다고 제안했다.

▲21일 서울 중구 한국프레스센터에서 열린 '위반행위에 대한 행정제재의 효율성과 정당성' 공동학술대회 종합토론에는 홍대식 서강대 법학전문대학원 교수와 김성환 아주대 경제학과 교수, 정훈 청주대 회계학과 교수, 주동진 경희대 법학전문대학원 교수, 최명지 인하대 법학전문대학원 교수가 참여했다. 좌장은 이원우 서울대 공익산업법센터장이 맡았다. 사진 = 김윤호 기자.

이어진 종합토론에는 홍대식 서강대 법학전문대학원 교수, 김성환 아주대 경제학과 교수, 정훈 청주대 회계학과 교수, 주동진 경희대 법학전문대학원 교수, 최명지 인하대 법학전문대학원 교수가 참여해 행정제재의 정당성과 실효성, 개인정보보호법상 과징금 제도의 개선 방향 등을 논의했다.

토론자들은 개인정보 보호의 실효성을 확보해야 한다는 데는 공감하면서도, 제재의 비례성과 책임원칙 역시 함께 고려해야 한다는 데 의견을 같이했다. 특히 과징금 규모를 일률적으로 높이기보다 기업의 귀책 정도와 위반행위의 관련성을 종합적으로 따져 제재 수준을 결정해야 한다는 데 공감대가 형성됐다.

김성환 아주대 경제학과 교수는 “단순히 제재 수준을 크게 높인다고 해서 문제의 원인이 해결되는 것은 아니라는 현실을 먼저 인식할 필요가 있다"며 “기업의 데이터 활용에 따른 사회적 비용은 적절히 내부화하되, 제재 역시 기업의 유인체계를 바로잡을 수 있는 적정 수준에서 설계될 필요가 있다"고 강조했다.

김윤호 기자 kyh81@ekn.kr