[기고] 규제 철학이 규제 품질을 결정한다

조동근 명지대 경제학과 명예교수

사회과학에서는 자연과학과 달리 모든 조건을 완벽하게 통제할 수 없어 '실험'이 용이하지 않다. 하지만 사회과학에서도 '자연실험'이 일어날 수가 있다. 정책이나 법의 차이 같은 요인이 '같은 집단을 서로 다른 조건'에 놓이게 했다면 '하나의 실험환경'을 만든다. 그러면 하나의 실험환경에 대해 서로 다른 정책효과를 정량화할 수 있게 된다.

쿠팡Inc의 한국법인과 대만법인이 판박이 '개인 정보유출 사고'를 당했다. '판박이'로 규정한 것은 공격자와 수법이 모두 동일하고 유출된 개인정보도 똑같으며 사고발생 시기도 같았기 때문이다. 완벽한 '자연실험' 조건이 충족된 것이다.

하지만 한국과 대만 규제 당국의 행정제재는 전혀 달랐다. 한국 정부는 한국 쿠팡에 4235억 7500만원의 과징금을, 대만은 대만 쿠팡에 6500만원(150만 대만달러)의 과징금을 부과했다.

물론 두 나라의 개인정보 피해유출규모는 달랐다. 한국이 약 3755만건, 대만이 약 20만건이다. 그러나 1건당 과징금을 비교하면 한국은 1만1259원, 대만은 318원으로 두 나라의 건당 과징금 차이는 '35배'에 달한다.

왜 이런 차이가 발생했나. 규제의 철학과 잣대가 달랐기 때문이다. 대만 당국은 '20만명의 정보가 유출됐으니 대형사고다'라고 단순 판단하지 않았다. 대신 '침해의 실질적 위험과 결과'를 함께 봤다.

대만 당국은 유출 정보로 재산이나 2차 피해가 발생하지 않은 점에 주목했다. 이름·전화번호·주소 등은 민감도가 낮은 정보로 인식했다고 한다. 이러한 이유로 쿠팡 사건을 법률상 '중대한 사안'으로 판단하지 않았다. '정보의 민감도·2차 피해 여부·사후조치' 등을 종합해 과징금을 부과한 것이다.

하지만 한국의 규제당국은 헛짚고 있다. 개인정보보호법은 과징금 상한을 '전체 매출액의 3%'로 규정하고 있다. 매출의 3%는 천문학적인 숫자다. 정부가 지난 6월 쿠팡에 부과한 전체 과징금은 6246억8100만원으로 한국 쿠팡 2025년 매출액 45조4555억원의 1.37%이다. 그것도 모자라 개인정보위는 지난 9월 과징금의 상한을 매출액 10%로 상향했다. 이는 비이성적인 조치다.

매출액을 기준으로 하다보니 민감정보 유출에 손을 놓고 있다. 가입자의 연봉, 학력, 종교 등 민감한 정보 43만건이 유출된 모 결혼정보업체에 부과한 과징금은 12억원이 전부다. 성형 시술 내역 등 초민감 정보 20만여건이 유출된 한 의료 플랫폼에 부과될 과징금도 22억원에 그칠 것이란 지적이다.

한국 정부는 정보유출 기업 크기에 방점을 찍는다. 하지만 매출액은 소비자가 입은 피해와 직접적인 관계가 없다. 똑같은 보안상 과실로 100만명의 이름과 전화번호가 유출됐는데, 과징금이 매출에 비례한다면 '침해의 정도에 대한 제재'라기보다 '기업의 경제적 규모에 대한 제재'인 것이다.

과징금 액수를 결정하는 중심 기준은 침해행위의 중대성과 실질적 피해여야 한다. 행정제재가 '큰 기업이기 때문에 큰 벌금을 낸다'는 논리를 앞세우면 과징금은 일종의 '규모세'로 변질될 우려가 있다. 규제의 철학과 기준이 규제의 품질을 낳는다.

조동근 명지대 경제학과 명예교수

※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지