신정법 과징금 '전체 매출 3%' 잣대 손질…금융위, 별도 산정기준 마련 착수

[녹색경제신문 = 최정윤 기자]

신용정보법을 어긴 금융회사에 매겨지는 과징금이 위반의 무게에 맞춰 계산되는 방향으로 바뀐다. 금융업권 전체에 똑같이 적용돼 온 산정 방식 대신 신용정보법만의 별도 기준이 만들어지고, 세 단계뿐이던 부과기준율도 한층 촘촘해진다. 최근 동양생명 제재를 계기로 산정 체계를 둘러싼 논란이 커진 가운데 나온 조치다.

16일 <녹색경제신문> 취재를 종합하면, 금융위원회는 이날 정부서울청사에서 유영준 디지털금융정책관 주재로 '신용정보법 과징금 산정기준 개선 태스크포스(TF)' 회의를 열고 현행 제도의 문제점과 개선 방향을 논의했다. 회의에는 금융감독원과 은행연합회, 여신금융협회, 생명보험협회, 손해보험협회, 금융투자협회가 참석했다.

이번 논의의 출발점은 2020년 2월 신용정보법 개정이다. 당시 개인신용정보의 안전한 활용을 뒷받침한다는 취지로 과징금 부과 대상이 정보 누설·유출에서 부당 제공·이용, 가명정보 부정처리 등으로 넓어졌고, 부과 상한도 '관련 매출액의 3%'에서 '전체 매출액의 3%'로 크게 올라갔다.

그러나 상한만 높아졌을 뿐 신용정보법 위반의 특성을 담아낼 별도 산정기준은 마련되지 않았다. 지금은 모든 금융업권에 공통으로 쓰이는 '금융기관 검사 및 제재에 관한 규정'에 따라 과징금을 계산한다.

이 규정은 위반 동기와 방법, 부당이득과 피해 규모, 시장 영향, 위반 기간·횟수 같은 일반적인 항목으로 중대성을 따진 뒤 법정상한액에 50%·75%·100% 가운데 하나의 부과기준율을 곱해 기본과징금을 산출하고, 여기에 가중·감경을 더해 최종 금액을 정하는 구조다.

문제는 산정의 출발점이 되는 기준금액이다. 같은 금융법이라도 은행법·보험업법은 문제가 된 거래 금액만 떼어내 과징금의 출발점으로 삼는다. 기준금액 자체가 위반 규모에 묶여 있으니 기준율이 세 단계뿐이어도 결과가 크게 어긋나지 않는 구조다. 반면 신용정보법은 위반과 무관한 영업까지 포함된 전체 매출액을 기준으로 삼는 탓에, 가벼운 위반이라도 기본과징금이 지나치게 불어날 수 있다는 지적이 꾸준히 제기돼 왔다.

이 같은 구조적 한계는 최근 동양생명 사례에서 그대로 드러났다. 금감원이 현행 규정에 따라 약 1400억원으로 산정한 과징금이 금융위 의결을 거치며 약 70억원으로 확정되자, 두 기관 사이의 격차를 두고 산정 체계 자체에 문제가 있는 것 아니냐는 논란이 일었다.

개인정보를 다루는 다른 법제와 나란히 놓고 보면 신용정보법의 잣대는 눈에 띄게 거칠다. 국내 개인정보보호법은 개인정보의 종류와 정보주체가 입은 피해·영향을 중대성 판단에 반영하고, 경미한 위반에는 1~30%의 부과기준율을 적용한다.

유럽연합(EU) 일반개인정보보호법(GDPR)은 전 세계 매출액을 기준으로 삼되 정보처리 범위와 정보주체 수, 피해 정도 등을 고려해 낮은 수준의 침해에는 0~10%의 기준율을 둔다. 금융소비자보호법 역시 경미한 위반에 1~30%의 기준율을 적용하고 있다.

이날 참석자들은 제재의 투명성과 예측 가능성, 합리성을 높이려면 신용정보법 특성을 반영한 독자적인 산정기준이 필요하다는 데 뜻을 같이했다. 어떤 성격의 정보가 얼마나 많은 사람에게서 새어 나갔고 실제 피해는 어느 정도였는지를 중대성 판단에 넣고, 세 칸뿐인 부과기준율도 더 잘게 나누는 방안이 검토된다.

가중·감경 기준도 함께 손본다. 금융회사가 정보 침해를 사전에 막기 위해 기울인 노력이나 소비자 피해 회복에 적극적으로 나선 점은 감경 요소로 반영하되, 사회적 파장이 큰 중대 위반에는 엄중한 과징금을 물릴 수 있도록 가중 기준을 정비한다는 방침이다. 경미한 위반의 부담은 낮추고 중대한 위반은 무겁게 다루는 쪽으로 제재의 균형을 맞추겠다는 취지다.

금융당국은 "금융업권 등 다양한 의견을 수렴해 투명하고 합리적인 과징금 산정기준을 마련한 뒤 관련 규정 개정을 조속히 추진할 계획"이라고 밝혔다.