고객정보 유출했는데 과징금은 매출 기준?…금융당국, 신용정보법 기준 손질

50·75·100% 부과기준율 세분화…정보 유형·피해 규모 반영

[프라임경제] 금융당국이 신용정보법 위반에 따른 과징금 산정체계를 손질한다. 현재 50·75·100% 세 단계로 나뉜 부과기준율을 세분화하고, 개인신용정보의 유형과 정보주체의 피해 규모 등을 반영해 위반 정도에 비례한 과징금을 부과할 수 있도록 별도 기준을 마련한다.

금융당국이 고객정보 유출 등 신용정보법 위반에 대한 과징금 산정기준을 손질하고 부과기준율 세분화에 나선다. ⓒ 챗GPT 생성 이미지

금융위원회는 16일 유영준 디지털금융정책관 주재로 금융감독원과 금융협회 등이 참여한 '신용정보법 과징금 산정기준 개선 태스크포스(TF)' 회의를 열고 이같은 개선 방향을 논의했다고 밝혔다.

현행 신용정보법은 개인신용정보 누설·유출이나 부당 제공·이용, 가명정보 부정처리 등에 대해 전체 매출액의 3%를 과징금 부과 상한으로 두고 있다. 지난 2020년 2월 법 개정 당시 과징금 부과 대상을 확대하면서 부과 상한도 기존 '관련 매출액의 3%'에서 '전체 매출액의 3%'로 높였다.

문제는 신용정보법 위반에도 금융업권 전반에 적용되는 '금융기관 검사 및 제재에 관한 규정'을 그대로 적용하고 있다는 점이다. 현행 규정은 위반행위의 동기와 방법, 부당이득 규모, 피해 규모, 시장 영향, 위반 기간·횟수 등을 중심으로 중대성을 평가한다.

과징금은 전체 매출액의 3%인 법정상한액에 위반행위의 중대성에 따라 50·75·100%의 부과기준율을 적용해 기본과징금을 산정한 뒤 가중·감경하는 방식이다. 전체 매출액을 기준으로 삼으면서도 부과기준율이 세 단계에 그쳐 구체적인 위반 정도에 비례한 과징금 산정이 어렵다는 게 금융당국의 판단이다.

신정법·EU GDPR·개보법 등 과징금 산정체계. ⓒ 금융위원회

최근 동양생명 제재 과정에서도 현행 과징금 산정체계를 둘러싼 논란이 불거졌다. 금융감독원 제재심 단계에서 약 1400억원 규모로 산정됐던 신용정보법 위반 과징금이 금융위 의결 과정에서 약 70억원으로 대폭 낮아지면서, 최초 산정액과 최종 부과액 간 큰 격차가 발생했다.

다른 금융법은 과징금 산정 방식에서 차이가 있다. 은행법은 신용공여 한도를 초과한 금액, 보험업법은 설명의무를 위반한 보험계약의 수입보험료 등 위반행위와 직접 관련된 금액을 기준으로 한다. 반면 신용정보법은 위반행위와 직접 관련이 없는 부분까지 포함한 전체 매출액을 기준으로 삼는다.

개인정보보호법과 유럽연합(EU) 일반개인정보보호법(GDPR)은 개인정보 관련 위반행위의 특성도 보다 세부적으로 반영하고 있다. 개인정보보호법은 개인정보의 유형과 정보주체의 피해 규모·영향 등을, GDPR은 정보주체 수와 피해 정도, 개인정보 유형 등을 중대성 평가에 고려한다.

부과기준율도 차이가 있다. 개인정보보호법은 경미한 위반행위에 1~30%, GDPR은 낮은 수준의 침해에 0~10%의 부과기준율을 적용한다. 금융소비자보호법 역시 지난해 별도 과징금 부과기준을 마련해 경미한 위반에 1~30%의 부과기준율을 적용하고 있다. 반면 현행 신용정보법은 가장 낮은 단계의 부과기준율도 50%다.

이에 금융당국과 금융협회는 신용정보법 특성을 반영한 별도의 과징금 산정기준이 필요하다는 데 의견을 모았다. 위반행위의 중대성을 평가할 때 개인신용정보의 성격과 유형, 정보주체의 규모와 피해 등을 반영하고 현행 부과기준율도 보다 세분화하는 방안을 검토한다.

또한 사회적으로 영향이 큰 중대한 위반행위에는 엄중한 과징금을 부과하는 한편 금융회사의 개인신용정보 침해 예방과 소비자 피해 회복을 유도하기 위한 가중·감경 방안도 함께 논의했다.

금융위 관계자는 "금융당국은 금융업권 등의 폭넓은 의견을 수렴해 투명하고 합리적인 과징금 산정기준을 마련하고, 관련 규정 개정을 조속히 진행할 계획"이라고 말했다.