"유심 유출은 1300억, 카드번호는 96억"…개인정보 유출 과징금 '형평성 논란'

정보 민감도는 롯데카드가 더 심각한데, 솜방망이 제재 논란

'매출액 산정 범위'와 '특별법 우선 원칙'이 가른 운명

"제재 기준 보다 명확해야" 업계 지적도

[서울=뉴시스] 추상철 기자 = 송경희 개인정보보호위원회 위원장이 11일 오후 서울 종로구 정부서울청사에서 열린 개인정보보호위원회 전체회의를 주재하고 있다. 2026.03.11. [email protected]

[서울=뉴시스] 신효령 기자 = 개인정보보호위원회(이하 개보위)가 롯데카드 개인정보 유출 사고에 대해 부과한 과징금을 두고 '제재 형평성' 논란이 일고 있다.

개보위는 약 297만명의 개인정보를 유출한 롯데카드에 대해 96억원 규모의 과징금을 부과하기로 결정했다고 12일 밝혔다. 하지만 이를 두고 업계에서는 지난해 SK텔레콤이 받은 1300억원대 제재와 비교해 형평성에 어긋난다는 지적을 내놓고 있다.

유출된 정보의 '질적 위험도'는 롯데카드가 훨씬 높음에도 불구하고, 법적 해석의 차이로 인해 벌금 규모는 오히려 크게 낮아졌기 때문이다.

정보 민감도는 '롯데카드', 과징금 폭탄은 'SKT'?

논란의 핵심은 유출된 정보의 성격과 제재 금액의 괴리다. 지난해 10월 개보위는 약 2700만 명의 유심(USIM) 정보 등을 유출한 SKT에 역대 최대인 1348억원의 과징금을 부과했다.

반면 이번 롯데카드 사건의 과징금은 96억2000만원으로, SK텔레콤의 약 14분의 1 수준에 불과하다.

단순 유출 규모만 보면 SK텔레콤이 9배 가량 많지만, 정보의 민감도를 따지면 이야기가 달라진다. SK텔레콤의 경우 유심 인증키와 단말기 식별번호가 주를 이뤘으나, 롯데카드는 주민등록번호, 전화번호, 카드번호, 유효기간, 심지어 CVC(카드보안코드) 번호까지 유출됐다. 이는 보이스피싱, 스미싱은 물론 실제 카드 복제와 같은 직접적인 금융 범죄로 이어질 수 있는 치명적인 정보들이다.

금융당국 제재 합쳐도 '솜방망이' 비판 직면

이처럼 현격한 차이가 발생한 이유는 개보위의 과징금 산정 방식과 법적 적용 기준 때문이다.

개인정보보호법상 과징금은 전체 매출(위반 행위와 관련없는 매출액 제외)의 3% 이하로 매긴다. 규제 당국이 관련 매출 범위를 어떻게 보느냐에 따라 과징금 금액이 크게 달라질 수 있다.
 
개보위는 SK텔레콤 사건의 경우 서비스 전반에 관련된 위반행위로 판단해 전체 이동통신 매출(LTE·5G)을 기준으로 과징금을 매겼다. 반면 롯데카드는 사고가 발생한 '온라인 결제 서비스'라는 특정 영역으로 매출 범위를 한정해 산정했다.

특별법 우선 원칙이 적용된 것도 양사간 과징금 격차가 벌어진 이유다. 금융 정보는 일반법인 개인정보보호법보다 특별법인 신용정보법이 우선 적용된다. 이 때문에 개보위는 '주민번호 처리 위반' 사안에만 집중했고, 나머지 금융정보 유출에 따른 보안 조치 위반은 금융당국(금융위·금감원)의 소관이라며 판단을 넘겼다. 현재 개인신용정보 유출에 따른 안전조치 의무 위반 여부는 금융당국이 별도로 조사하고 있다.

롯데카드 해킹사고로 약 297만명의 개인 신용정보가 유출됐지만, 개보위는 주민번호가 유출된 약 45만명에 대해서만 과징금을 부과했다.

SK텔레콤의 경우 사고의 전체 중대성과 사회적 파장을 폭넓게 반영해 과징금을 부과한 반면, 롯데카드는 신용정보법이 우선한다는 명분으로 전체 유출사고 중 일부 행위만 떼어내는 형태로 제재 수위가 정해진 셈이다.

문제는 금융당국이 추가 제재에 나서더라도 전체 벌금 액수가 크게 늘어나지 않는다는 점이다. 현행 신용정보법상 안전조치 의무 위반에 대한 과징금 상한액은 50억원에 불과하다. 금융당국이 법정 최고액을 부과한다고 가정해도 롯데카드가 내야 할 총액은 약 147억원 수준이다.

결국 금융 범죄에 직결되는 핵심 정보가 대량 유출됐음에도 법적 허점과 좁은 해석 탓에 '솜방망이 처벌'에 그치게 됐다는 비판이 나온다. 업계에선 이번 롯데카드 사태를 계기로 신용정보법과 개인정보 보호법 간의 처벌 수위 불균형을 해소해야 한다는 목소리가 커질 전망이다.


◎공감언론 뉴시스 [email protected]