“해킹 2년 새 66% 폭증… 징벌적 과징금, 피해 예방 걸림돌”

작성일 09-03

<div id="layerTranslateNotice" style="display:none;"></div>  <strong class="summary_view" data-translation="true">이성엽 고려대 기술정책센터장 인터뷰<br>SKT 과징금 1348억 ‘역대 최대’… 제도 취지·실효성 논란<br>“부당이득 없는 기업엔 정액 과징금 필요”<br>AI 시대 맞는 법·제도 재편 강조</strong> 
        <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
         <section dmcf-sid="PYZawIKGIz">
          <p contents-hash="ec03afd71c17968e50c64a0ea973f937e748f804ee390bc77df853ea81e74971" dmcf-pid="QyHoEsBWD7" dmcf-ptype="general"> [이데일리 윤정훈 기자]대한민국이 유례없는 해킹 사태에 흔들리고 있다. 올해 들어서만 GS리테일(1월), SK텔레콤(4월), YES24(6월), 롯데카드(8월) 등 매달 대형 기업과 공공기관이 잇따라 침해사고를 겪으며 국민 불안이 고조되는 양상이다.</p>
          <p contents-hash="1805a68e27e689a72cc81de7024529e368ace0d48f9582974b72b04779a6a62e" dmcf-pid="xWXgDObYOu" dmcf-ptype="general"><strong>해킹 공격 2년 전 대비 66% 증가</strong></p>
          <p contents-hash="698e5e33c41e617e86b70daff59c37f87dcecb013213d6943a9e50049636e59a" dmcf-pid="yMJFq2rRsU" dmcf-ptype="general">한국인터넷진흥원(KISA) 통계에 따르면 올해 상반기 집계된 개인정보 유출 사고는 총 1034건. 이 가운데 절반이 넘는 51%가 정교하게 진화한 해킹 공격에 의한 것으로 나타났다. 불과 2년 전인 2023년과 비교하면 66% 급증한 수치다.</p>
          <p contents-hash="2066e0c5e8782a947ddda71f24e73cc7f389e8c14fd29dfa970e63cc48eba22e" dmcf-pid="WRi3BVmeIp" dmcf-ptype="general">문제는 제도적 장치가 강화됐음에도 피해 규모가 줄지 않는다는 점이다. 현행법은 SK텔레콤 사례처럼 해킹 피해 기업에 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정한다. 그러나 이는 기업이 침해 사실을 신속히 공개하고 당국에 협조할 유인을 떨어뜨린다는 역설적 비판이 제기되고 있다.</p>
          <figure class="figure_frm origin_fig" contents-hash="17692c10eaa85d8314b2f3b5af0cde3a496c6e3a918258847102859244435fb7" dmcf-pid="Yen0bfsdD0" dmcf-ptype="figure">
           <p class="link_figure"><img alt="이성엽 고려대 기술법정책센터장이 이데일리와 인터뷰하고 있다(사진=이영훈 기자)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/03/Edaily/20250903174048395kpom.jpg" data-org-width="437" dmcf-mid="8TvQnNtsOB" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/03/Edaily/20250903174048395kpom.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            이성엽 고려대 기술법정책센터장이 이데일리와 인터뷰하고 있다(사진=이영훈 기자)
           </figcaption>
          </figure>
          <div contents-hash="783d35b0cafaf8ea1e7d0535f1c9657b00d61abdf756291dd2d2a83ac09da25d" dmcf-pid="GdLpK4OJD3" dmcf-ptype="general">
           이성엽 고려대 기술법정책센터장(기술경영전문대학원 교수)은 3일 이데일리와의 인터뷰에서 “과징금의 본질은 ‘부당이득 환수’에 있다”며 “부당이득을 취했다고 보기 어려운 기업에 매출액을 기준으로 과징금을 부과하는 것은 제도의 취지와 맞지 않는다”고 지적했다.
          </div>
          <p contents-hash="d8c4ac2abaec2af2cb5832240b923f6852321cf5be626d7b91e011d59aeae304" dmcf-pid="HJoU98IiEF" dmcf-ptype="general">최근 개인정보보호위원회가 SK텔레콤에 부과한 과징금은 약 1348억원으로, 위원회 설립 이후 최대 규모다. 이 교수는 이번 처분에 대해 “기업들이 개인정보 보호의 중요성을 인식하고, 정보보호를 경영상 주요 리스크로 고려할 계기가 된 점은 긍정적”이라면서도 “실제 정보 유출로 인한 피해나 위험 규모와 과징금 수준이 비례하는지 여부는 논란이 있을 수 있다”고 평가했다.</p>
          <p contents-hash="667b45a66638942c6480b37490cfff3d2dd84b6614f18ae2ab1dae4abff70f2f" dmcf-pid="Xigu26CnOt" dmcf-ptype="general">이어 “부당이득이 없는 사안은 매출액을 기준으로 하지 말고 정액 과징금 방식으로 가야 한다”며 “개인정보 유출로 인한 개인 피해는 민사상 손해배상으로, 고의적 정보 유출은 반사회적 행위로서 형사처벌로 다뤄야 한다”고 강조했다.</p>
          <p contents-hash="46e8c8203822c45b460f08af4692930a50ca0c408d931f8098fed279379f9f16" dmcf-pid="Zacb6RTNI1" dmcf-ptype="general">실제로 신용정보법은 금융회사의 해킹 사고에 대해 최대 50억원까지 정액 과징금을 규정한다. 반면 개인정보보호법은 매출액을 기준으로 산정해 ‘징벌적 성격’이 강하다는 점에서 기업 부담을 키우고 있다는 비판이 제기된다.</p>
          <figure class="figure_frm origin_fig" contents-hash="3bf263a020b7fd5c414db0ea148e9ca9d6094fa938fd802a609780605c49dd02" dmcf-pid="5NkKPeyjw5" dmcf-ptype="figure">
           <p class="link_figure"><img alt="[이데일리 이미나 기자]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/03/Edaily/20250903174049695vycy.jpg" data-org-width="670" dmcf-mid="6kBIWZe7mq" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/03/Edaily/20250903174049695vycy.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            [이데일리 이미나 기자]
           </figcaption>
          </figure>
          <div contents-hash="2af741a647ea732bd7c810b05e8978138f95a4a954e4c47293e322b876d7eaa6" dmcf-pid="1jE9QdWAsZ" dmcf-ptype="general">
           <strong>해킹기술 고도화로 안전조치 해도 유출 위험...피해예방에 초점맞춰야</strong>
          </div>
          <p contents-hash="186f227d1c53135ff69c2478b2312f31682e4b991ddc40cbc9dccf95dea7db1c" dmcf-pid="tAD2xJYcDX" dmcf-ptype="general">과징금이 지나치게 높을 경우 기업들의 보안 투자와 자진 신고를 위축시킬 수 있다는 지적이 나온다.</p>
          <p contents-hash="d1704a27cb1664cfa074af7bc0291b3409e1a8965664fa11a2c1ee28685eeed2" dmcf-pid="FcwVMiGkIH" dmcf-ptype="general">이 교수는 “AI 기술 발전으로 해킹이 고도화되면서 기업이 아무리 안전조치를 취해도 정보유출 위험은 커지고 있다”며 “보안 투자와 사후 피해 방지 노력을 다했음에도 막대한 과징금을 부과받는다면, 기업들은 자진 신고 대신 은폐를 택할 가능성이 있다”고 우려했다.</p>
          <p contents-hash="d6412f5e4afeb73d418cf170487140bf69579fd3e080263c6bc8d744ad2d5c56" dmcf-pid="3krfRnHEDG" dmcf-ptype="general">물론 기본적인 안전조치를 소홀히 한 기업에 대한 제재는 불가피하다. 그러나 책임을 다한 기업까지 일률적으로 ‘매출액 기준’으로 제재하는 방식은 사회 전체의 보안 수준을 높이기보다는 규제 준수를 위한 형식적 절차에만 매몰되는 역설을 낳을 수 있다는 지적이다.</p>
          <p contents-hash="85e588a71164dde48dd753f272ee95d62ef6ff5b31a4c5e08f06fc253eada944" dmcf-pid="0Em4eLXDmY" dmcf-ptype="general">한국인터넷진흥원(KISA)의 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 제도 보완도 필요하다고 강조했다. 그는 “인증을 통과한 기업에서조차 해커 공격으로 정보유출이 발생한다는 것은 심사 기준이 시대 변화에 맞게 업데이트되지 않았거나 심사가 부실했다는 반증”이라며 “기준을 보다 빠른 주기로 개정하고, 사이버 침해 관련 정보를 기업과 신속히 공유하는 체계를 마련해야 한다”고 말했다.</p>
          <p contents-hash="0b67a68d2998eb432d490d6d31e282ed9c840a1d01c45734d6c58f82e58d31b4" dmcf-pid="pDs8doZwDW" dmcf-ptype="general">AI 기술의 발전이 프라이버시 침해의 가능성을 급격히 증가시키면서 기존 개인정보보호법을 재편해야 한다고 요구도 커지고 있다.</p>
          <p contents-hash="7ac0496c7400a348d7c0c4884503dc2c12cc35d5cabbb88040fbd3f78a4c2274" dmcf-pid="UwO6Jg5rry" dmcf-ptype="general">이 교수는 “향후 프라이버시 보호의 패러다임을 프라이버시 중심 설계(PbD)의 의무화, 프라이버시 강화 기술(PETs)의 도입 등 기술적 접근을 통한 사전 예방해야 한다”며 “더불어 국가가 기업의 개인정보처리실태를 점검해 기업의 개인정보처리의 안전성과 신뢰성을 보장하는 데이터 보호 국가책임제 등 적극적 개입을 통한 실질적 보호라는 두 축으로 변경하는 것이 필요하다”고 설명했다.</p>
          <p contents-hash="928212c6d08a645f829434a22f30f58636d141aac8f06fd983e8bcc6bd6531d1" dmcf-pid="urIPia1mrT" dmcf-ptype="general">다만 AI전환(AX) 시대에 과도한 개인정보 보호로 인해 AI 산업의 발목을 잡지 않기 위해 예외나 특례를 인정할 수 있도록 ‘AI 혁신을 위한 개인정보보호 특례법(가칭)’ 제정이 필요하다고도 했다.</p>
          <p contents-hash="dcd63189e73614ff36374b8219729c01d3eae9c758091ffb7bcf5ac07d26ceeb" dmcf-pid="74QH0zA8sv" dmcf-ptype="general">개인정보보호위원회에 대해서는 독립규제위원회로서 권한과 역할을 강화하는 방향으로 가야한다고 조언했다.</p>
          <p contents-hash="b5c0ed5682d1a548ce580f1cf4e12f6ea9a4db1714f1ba6bc769977298da77e8" dmcf-pid="z8xXpqc6sS" dmcf-ptype="general">이 교수는 “독립규제기관으로서 독립성, 공정성, 투명성, 전문성 향상이 필요하다”며 “공공기관 등에 대한 개인정보 규제 강화, 조사 및 제재 처분의 대심적 기능 강화, 인력 확대 및 전문성 강화, 집행력 강화를 위한 개인정보보호원 신설이 고려돼야 한다”고 말했다.</p>
          <p contents-hash="adefdc6aaa81a3006be445b44e3689aee2b42324e20eee858da89372396661e2" dmcf-pid="q6MZUBkPwl" dmcf-ptype="general">윤정훈 (yunright@edaily.co.kr) </p>
         </section> 
        </div> 
        <p class="" data-translation="true">Copyright © 이데일리. 무단전재 및 재배포 금지.</p>

등록된 댓글이 없습니다.

로그인한 회원만 댓글 등록이 가능합니다.

먹튀폴리스

“해킹 2년 새 66% 폭증… 징벌적 과징금, 피해 예방 걸림돌”

멤버랭킹

관련자료

멤버랭킹