[기자수첩]잦아진 개인정보 유출사고, 배상 보험 현실화해야

해킹은 진화하는데 기업 보험가입은 법정 최소 수준
기업·보험사·정부 모두 소극적…피해는 소비자 몫

[이데일리 김형일 기자] 금융권의 롯데카드에서 시작해 KT와 SK텔레콤 등 통신사, 유통업체 쿠팡, 온라인동영상서비스(OTT) 업체 티빙까지 개인정보 유출 사고가 잇따르고 있다. 수천만명의 고객 정보를 보유한 기업들이 해킹 공격 대상이 되면서 개인정보 유출 사고는 대형화하는 추세다. 문제는 사고 규모는 커지는데 이를 대비하는 체계는 그 속도를 따라가지 못하고 있다는 점이다.

(사진=챗GPT)

최근 개인정보 유출 사고가 발생한 티빙은 이를 단적으로 보여준다. 1300만명의 회원을 보유한 티빙은 개인정보배상책임보험 기본담보를 10억원 한도로 가입한 것으로 확인됐다. 이는 현행 개인정보보호법 시행령상 최고 가입 구간에 해당하는 수준이다. 법은 지켰지만 대규모 개인정보 유출 사고에 충분히 대비했다고 보기는 어렵다.

물론 티빙만의 문제는 아니다. 현행 제도는 정보주체 수와 매출액에 따라 개인정보배상책임보험 가입금액을 규정하고 있다. 정보주체 100만명 이상, 매출액 800억원 초과 기업의 가입금액은 10억원이다. 수천만명의 개인정보를 보유한 플랫폼 기업도, 100만명 수준의 기업도 사실상 같은 구간에 묶여 있다.

개인정보배상책임보험 제도가 도입된 지 10년 가까운 시간이 흘렀지만 현실은 크게 달라지지 않았다. 국가데이터처의 ‘2025 한국의 사회동향’에 따르면 지난해 사이버 침해사고 신고 건수는 1887건으로 전년보다 47.8% 증가했다. 해킹 수법은 갈수록 정교해지고 개인정보 유출 사고는 산업 전반으로 확산하고 있다. 반면 상당수 기업은 여전히 법이 정한 최소 기준 수준으로만 보험에 가입하고 있다.

취재 과정에서 만난 전문가들의 이야기는 비슷했다. 기업은 보험을 리스크에 대비한 방비책보다 비용으로 인식하고, 보험사는 대형 사고 위험 때문에 보장 확대에 신중하다는 것이다. 일부 기업은 보안 강화에 드는 선제적 비용보다 사고 이후 배상 비용이 더 적다고 판단하기도 했다. 개인정보를 핵심 자산으로 활용하면서도 이를 보호하기 위한 투자와 대비는 충분하지 않은 셈이다.

더 큰 문제는 책임 체계마저 현실과 충돌하고 있다는 점이다. 개인정보 유출 사고 규모는 갈수록 커지고 있지만 대규모 손해배상과 과징금이 현실화될 경우 기업 경영에 심각한 타격을 줄 수 있다는 우려도 나온다. 실제 티빙은 지난해 698억원의 영업손실을 기록했다. 개인정보 보호 강화 필요성에는 공감하지만 과도한 제재가 기업을 흔들 수 있다는 고민도 함께 존재한다.

결국 제재를 강화하면 기업이 흔들릴 수 있고, 반대로 제재 수위를 낮추면 개인정보 보호 유인이 약해지는 딜레마가 반복된다. 문제는 그 과정에서 소비자 피해 구제가 뒷순위로 밀릴 수 있다는 점이다. 개인정보 유출 사고가 발생할 때마다 기업 부담 논란은 반복되지만 피해자 보호 논의는 상대적으로 부족하다.

이 같은 문제는 사후 제재 중심 대응의 한계를 보여준다. 사고 이후 책임을 묻는 것만으로는 부족하다. 사고 이전에 충분한 대비가 이뤄질 수 있도록 제도를 설계하는 것이 더 중요하다. 개인정보배상책임보험 역시 같은 관점에서 접근할 필요가 있다.

수천만명의 개인정보를 보유한 기업과 100만명 수준 기업을 사실상 같은 기준으로 묶어두는 것이 과연 합리적인지 묻지 않을 수 없다. 개인정보 유출 사고는 이미 산업 전반의 리스크가 됐지만 이를 대비하는 보험 체계는 여전히 과거 기준에 머물러 있다.

개인정보는 이미 기업의 핵심 자산이 됐다. 개인정보를 활용해 부가적인 수익을 창출하는 시대가 도래했다. 그에 걸맞은 책임과 대비 체계도 갖춰져야 한다. 개인정보배상책임보험이 단순한 의무보험을 넘어 실질적인 안전망으로 기능할 수 있도록 현실에 맞는 제도 개선이 필요한 시점이다.