수천만 명에 달하는 대규모 고객 계정 유출 사고를 낸 쿠팡과 SK텔레콤 등 대기업 대부분이, 피해자 구제를 위해 법적으로 의무화된 '개인정보유출 배상책임보험'을 최소한의 금액으로만 가입해 온 것으로 드러났다. 이는 사실상 대규모 피해 발생 시 실질적인 배상이 거의 불가능한 수준이어서, 기업들이 법의 허점을 이용해 책임을 회피하고 있다는 비판이 거세다. 손해보험업계에 따르면, 3,370만 개의 고객 계정 유출 사고를 낸 쿠팡은 현재 메리츠화재의 배상책임보험에 보장 한도 10억 원으로만 가입되어 있다. 2,300만 명의 정보가 유출된 SK텔레콤 역시 현대해상에 가입한 보험의 보장 한도가 10억 원에 불과하다. 이는 향후 소송을 통해 기업의 배상 책임이 인정되더라도 보험사를 통해 지급될 수 있는 총금액이 최대 10억 원에 그친다는 의미다. 한 손해보험업계 관계자는 "사고 규모에 비춰 10억 원으로는 사실상 보상이 거의 불가능한 수준이라, 보험 접수 자체가 큰 의미가 없다"고 꼬집었다.

 

이처럼 어처구니없는 상황이 발생하는 근본적인 원인은 현행 개인정보보호법이 규정한 '최소 가입 한도'가 현실과 동떨어지게 너무 낮게 설정되어 있기 때문이다. 현행법은 전년도 매출액 10억 원 이상, 정보주체 수 1만 명 이상인 기업을 대상으로 의무적으로 관련 보험에 가입하도록 하고, 기업 규모에 따라 최소 가입 한도를 차등화하고 있다. 하지만 문제는 그 기준이 터무니없이 낮다는 점이다. 예를 들어 정보주체 수가 100만 명이 넘고 매출액이 800억 원을 초과하는 대기업조차도 법적으로 요구되는 최소 보험 가입 한도는 10억 원에 불과하다. 한 보험업계 관계자는 "정보 유출 사고가 한번 발생하면 피해자가 수십만에서 수천만 명에 달할 만큼 심각성이 커지는 현실을 고려할 때, 총 10억 원의 보험금은 피해자에게 충분한 배상을 하기에 매우 부족한 수준"이라고 지적하며, "제한된 보험 한도로 인해 오히려 유출 사고를 낸 기업이 배상을 회피하거나 지연시키는 부작용까지 발생한다"고 비판했다.

 

상황이 이렇자, 손해보험업계와 손해보험협회 등은 조만간 개인정보보호위원회(개보위)에 대규모 정보 보유 기업에 대한 최소 보험가입금액을 대폭 상향해야 한다는 내용의 제도 개선을 공식적으로 건의할 계획이다. 이들이 제시하는 개선안의 핵심은, 정보주체 수가 1,000만 명 이상이거나 매출액이 10조 원을 초과하는 초대형 기업의 경우 최소 가입 한도를 현재의 10억 원에서 1,000억 원 수준으로 100배 상향해야 한다는 것이다. 이는 대규모 유출 사고 발생 시 최소한의 피해자 구제가 가능하도록 기업의 사회적 책임을 강제해야 한다는 취지다. 사실상 솜방망이에 불과한 현행 제도를 뜯어고쳐, 기업들이 더 이상 법의 뒤에 숨어 책임을 회피하지 못하도록 만들어야 한다는 목소리가 커지고 있다.

 

더 큰 문제는 법이 정한 최소한의 의무조차 지키지 않는 기업이 대다수라는 충격적인 현실이다. 손해보험업계는 보험 미가입 기업에 대한 과태료 부과 등 당국의 적극적인 행정이 절실하다고 주장한다. 개인정보보호법은 의무보험에 가입하지 않을 경우 시정조치 명령을 내리고, 이를 따르지 않으면 3,000만 원 이하의 과태료를 부과하도록 하고 있다. 그러나 주무 부처인 개보위는 의무보험 가입 대상을 파악하기 어렵다는 이유 등으로 현재까지 과태료를 처분한 사례가 단 한 건도 없는 것으로 나타났다. 올해 6월 말 기준, 관련 보험 가입 건수는 약 7천 건에 불과하다. 개보위가 추정하는 의무 가입 대상 기업이 최소 8만 3천 개에서 최대 38만 개에 달하는 것을 고려하면, 실제 가입률은 2~8% 수준에 그치는 참담한 실정이다. 사실상 법이 사문화된 것이나 다름없다는 비판이 나오는 이유다.