개인정보보호법 과징금 제도의 구조적 결함과 개선 필요성

개인정보보호법의 과징금 제도는 모든 위반 유형을 '전체 매출액의 3%'라는 단일 기준으로 평가하고 있어 위반의 중대성과 과징금 액수 간 비례성을 담보하지 못하고 있다. 2022년 구글(약 692억 원)과 메타(약 308억 원)에 부과된 과징금과 알리익스프레스(약 20억 원)의 사례, 2025년 쿠팡 유출 사고(약 4236억 원)와 SK텔레콤 유출 사고(약 1348억 원)의 차이는 현행 체계가 개인정보 침해의 실질적 위험이 아닌 사업자의 매출 규모에 좌우됨을 보여준다.

문제의 근본 원인은 동의 없는 정보 처리(고의적 부당이득)와 정보 유출(결과책임)을 구분하지 않는 데 있다. 매출액 기준은 영리 기업뿐 아니라 대학·공공기관 같은 매출액이 없는 기관의 대규모 유출에는 즉시 무력해진다. 공정거래법과 EU GDPR, 신용정보법 등 다른 법제들은 이미 위반 행위의 성격에 따라 과징금 산정 기준을 다원화하고 있다.

개인정보보호법은 고의적 이득추구형, 관리소홀형, 명령불응형, 결과책임형 등 위반 유형을 세밀하게 구분하고 이에 맞춰 과징금 기준을 다원화해야 한다. 특히 이득 환수 요소가 결여된 결과책임형 위반에는 전체 매출액 연동보다 실제 피해 규모나 정보 민감도를 우선하는 정액 과징금 구조 도입이 타당하다.