개인정보유출 손배시 기업이 '책임없음' 입증 추진…업계는 우려

정부와 여당이 개인정보 유출시 기업의 손해배상 책임을 강화하는 내용을 담은 개인정보보호법 2차 개정 추진에 속도를 내고 있다.

대규모 유출 사고에 따른 피해 구제를 강화하겠다는 취지지만 산업계에서는 기업 부담이 과도해질 수 있다는 우려도 나온다.

8일 정치권과 업계에 따르면 더불어민주당 김용민·박범계·한정애 의원이 각각 발의한 개인정보보호법 개정안을 중심으로 2차 입법 논의가 진행되고 있다.

개정안의 핵심은 법정손해배상 요건에서 '고의 또는 과실' 요건을 삭제하고 기업의 '책임 원칙'을 명확히 하는 것이다.

현행법은 개인정보 유출 사건에서 기업이 고의 또는 과실이 없음을 입증하면 책임을 면할 수 있도록 규정하고 있다.

이 때문에 기업이 통상 요구되는 주의 의무를 이행했다고 주장할 경우 개인이 이를 반증하기 어려워 실질적인 피해 구제가 쉽지 않다는 지적이 꾸준히 제기돼 왔다.

개인정보위 관계자는 "정보주체는 유출 경위나 피해와의 인과관계를 입증할 자료를 확보하기 어려운 경우가 많았다"며 "개정안은 손해 발생 여부와 유출과의 인과관계 등에 대한 입증 부담을 기업이 보다 폭넓게 지도록 하려는 것"이라고 말했다.

개정안에는 이 밖에도 유출된 개인정보의 불법 유통 처벌 신설, 증거보전 명령제 도입, 조사 비협조나 시정명령 미이행 시 이행강제금 부과 등의 내용이 담겼다.

현행법은 기업·기관 또는 임직원 등 내부자가 개인정보를 불법 취득하거나 누설·제공·이용·유출하는 행위를 금지하고 형사처벌하도록 규정하고 있다.

반면 외부 개인이 해당 정보가 유출된 개인정보임을 알면서도 이를 구매하거나 제공받거나 다른 사람에게 유포하는 행위에 대해서는 별도의 형벌 규정이 없다.

개정안은 이러한 공백을 보완해 '누구든지' 유출된 개인정보임을 알면서도 이를 구매하거나 제공·유포하는 행위를 명확히 금지하고 형벌 규정을 신설했다.

또 개인정보 유출 사고 조사 과정에서 기업이 자료 제출에 비협조적인 경우 실효적인 제재 수단이 부족하다는 지적을 반영해 조사나 시정명령을 이행하지 않을 경우 이행강제금을 부과할 수 있도록 했다.

대규모 개인정보 유출 사고가 발생했을 때 피해 확산을 막기 위한 긴급 보호조치 명령도 도입된다.

개인정보위 관계자는 "대규모 개인정보 유출 사고가 이어지면서 제도 개선 필요성이 제기되고 있다"며 "개정안이 최대한 신속히 국회를 통과하도록 하는 것이 목표"라고 말했다.

정부는 앞서 개인정보보호법을 개정해 고의·중과실로 대규모 개인정보 유출이 발생할 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 '징벌적 과징금 특례'도 도입했다. 해당 개정안은 오는 9월 시행될 예정이다.

이처럼 개인정보 보호 규제가 잇따라 강화되면서 정보통신기술(ICT) 업계에서는 규제 부담이 커질 수 있다는 우려도 나온다.

예측이 어려운 불법 사이버 공격이 늘어나는 상황에서 완벽한 보안을 전제로 기업에 책임을 묻는 것은 현실과 괴리가 있다는 지적이다.

한국인터넷기업협회 관계자는 "기술이 계속 발전하는 환경에서 그에 따른 위험까지 기업이 모두 책임지라는 것과 다르지 않다"며 "결국 유출 사고가 발생하면 기업 책임이 있는 것으로 간주하는 것과 마찬가지"라고 지적했다.

chacha@yna.co.kr