[송시강 홍익대 법과대학 교수] 개인정보보호법은 개인정보 유출이 발생하는 경우 개인정보보호위원회(이하 개인정보위)가 개인정보처리자에게 전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 규정하고 있다.

나아가 ▲과징금 부과처분을 받은 날부터 3년이 지나기 전에 고의 또는 중대한 과실로 개인정보 유출이 발생하는 경우 ▲고의 또는 중대한 과실로 개인정보 유출이 발생해 피해 규모가 1000만명 이상인 경우 ▲개인정보위가 시정조치를 명령했는데도 이를 따르지 않아 개인정보 유출이 발생하는 경우, 전체 매출액의 10%를 초과하지 않는 범위에서 과징금을 가중 부과할 수 있도록 규정하는데, 이러한 가중적 과징금을 이른바 ‘징벌적 과징금’이라고 부른다.

징벌적 과징금 규정이 도입되기 전에도 개인정보 유출과 관련해 SK텔레콤에 약 1348억원, 쿠팡에 약 4236억원 등 천문학적인 과징금이 부과된 바 있다. 지난 9월 11일부터 징벌적 과징금 규정이 본격적으로 시행되면서 향후 더욱 거대한 금액의 과징금이 부과될 경우 기업의 존립 자체가 위태로워질 수 있다는 우려가 커지고 있다.

최근 과징금을 도입하는 법률은 급속도로 늘어나는 추세다. 지난 10월 1일에는 연간 3명 이상의 노동자가 산업재해로 사망하는 경우 사업주에게 영업이익의 5% 이내 과징금을 부과할 수 있도록 규정하는 산업안전보건법 개정안이 국회 본회의를 통과했다.

법관 아닌 행정 부과의 헌법적 위헌성

이른바 징벌적 과징금은 ‘가중’이라는 표면적인 의미에 그치지 않고, 불법행위에 대한 ‘벌칙’이라는 심층적인 법적 의미를 갖는다. 여기서 과징금이라는 제도가 형벌이나 과태료가 아님에도 불구하고 그와 마찬가지로 벌칙에 해당할 수 있는지 의문이 제기된다.

이에 대해 과징금은 불법적 이익의 박탈(부당한 이익의 환수)만을 목적으로 해야 한다는 견해가 있다. 그러나 불법적 이익의 박탈을 목적으로 하는 과징금도 존재하지만, 과징금의 목적이 오직 거기에만 국한돼야 하는 것은 아니다. 또 불법적 이익의 박탈 역시 그 이익을 피해자에게 직접 지급하기 위한 것이 아니라는 점에서 보면 본질적으로 위반행위에 대한 제재에 해당한다.

이처럼 과징금은 위반행위 제재를 목적으로 하는 벌칙의 일종이다. 최후의 수단에 해당하는 형벌(형법에서 정하는 벌칙)을 대신한다는 점에서는 과태료와 유사하지만, 질서위반행위규제법이 적용되는 과태료와 달리 과징금은 행정기본법과 행정절차법이 적용되는 행정처분에 해당한다.

그 결과 과징금에 불복하기 위해서는 그 취소나 무효확인을 구하는 행정소송(항고소송)을 제기해야 한다. 형벌의 경우 경찰이 수사한 결과를 토대로 검사가 기소하고 법관의 판결을 통해서 비로소 벌칙이 부과된다.

과태료의 경우 일단 행정기관이 조사해서 부과하더라도 상대방이 불복하면 무효가 되고 비송사건절차에 따라 법관의 판결을 거쳐 비로소 벌칙이 부과된다.

반면 과징금은 행정기관이 조사해서 부과한 벌칙에 대해 상대방이 불복하더라도 법관은 이를 취소하거나 무효임을 확인하는 판결만 내릴 수 있을 뿐이다. 다시 말해, 상대방의 불복에도 불구하고 행정에 의한 벌칙 부과가 그대로 가능한 것이 바로 과징금이다.

이러한 과징금이 가지는 실질적 벌칙으로서의 속성은 과징금을 과연 행정기관이 부과할 수 있는지에 관한 의문을 촉발한다. 과징금은 형벌을 대신하기 위한 것이고, 형벌은 원칙적으로 법관의 판결을 통해서 부과돼야 하기 때문이다.

실제 그러한 이유에서 2024년 미국 연방대법원 판결은 행정기관이 과징금을 부과할 수 있게 하는 법률 조항을 ‘배심에 의한 재판을 받을 권리의 침해’라는 이유로 위헌 선언을 내렸다.

이처럼 재판을 거치지 않는 과징금 부과 자체를 허용하지 않는 미국법과 달리, 유럽에서는 법관의 판결을 통한 과징금 부과에 준하는 적법절차가 보장되는 것을 조건으로 행정에 의한 과징금 부과를 허용한다. 유럽인권협약 제6조 제1항은 공정한 재판을 받을 권리를 규정하는데, 유럽인권재판소가 과징금 부과를 형사소추로 간주함에 따라 과징금은 반드시 중립적 기관(소추기관과 구조적으로 분리되는 심판기관)에 의해 부과돼야 할 뿐만 아니라, 그에 대한 불복 절차로서 법관에 의한 재판이 반드시 보장돼야 한다.

이에 따라 과징금을 부과하는 행정절차에서 소추기관과 심판기관이 구조적으로 분리돼 있다면 행정의 재량을 존중하는 통상적인 사법심사가 이뤄지는 것으로 충분하다. 하지만 소추기능과 심판기능을 겸하는 행정기관이 부과하는 과징금에 대해서는 법관이 행정기관을 대신해 과징금을 처음부터 다시 산정하고 이를 취소하거나 직접 변경할 수 있는 ‘전권사법심사’가 보장돼야 한다.

국내의 경우 과징금을 부과하는 행정절차가 상대적으로 엄격하다는 공정거래위원회조차 유럽인권재판소가 요구하는 중립적인 기관에 미치지 못한다. 아울러 행정소송법의 항고소송 관련 규정은 사법심사의 넓이와 강도라는 측면에서 전권사법심사와 거리가 멀다. 결국 현재 우리나라에서 부과되는 모든 과징금은 미국이나 유럽의 관점에서 보면 위헌을 피할 수 없는바, 제도 개선을 서둘러야 한다.

국고 귀속·단체소송 이중 부담 고려해야

산업 현장에서 나오는 주요 불만 중 하나는 천문학적인 과징금이 피해자에게 지급되지 않고 전액 국고에 귀속된다는 점이다. 이로 인해 피해자가 손해배상을 청구하는 소송을 별도로 제기할 경우 기업에 추가적인 부담이 가중될 우려가 존재한다.

이 문제는 최근 개인정보보호법을 개정해 단체소송의 대상을 기존의 ‘금지·중지 청구’에서 ‘손해배상 청구’까지 확대하려는 움직임으로 인해 더욱 중요해지고 있다.

이에 대해 과징금을 재원으로 하는 별도의 기금을 설치하고 이를 통해 피해 전보나 제도의 발전 용도로 활용하자는 제안이 다양하게 이뤄지고 있다. 그러나 과징금이 가지는 실질적 벌칙으로서의 본성을 고려한다면, 과징금이 국고에 귀속되는 것은 다른 형벌이나 과태료의 경우와 마찬가지로 법리상 자연스러운 일이다.

그러나 기업이 피해 전보나 제도의 발전을 위해 노력한 사정이 과징금 산정에 적극 고려되는 것은 형벌이나 과태료뿐만 아니라 과징금에 대해서도 타당한 모든 벌칙의 양형에 있어 당연한 요청이다. 이러한 점에서 현재 국회에서 논의 중인 개인정보보호법상 단체소송의 범위 확대 방안은, 피해 전보를 위한 기업의 노력이 과징금 산정에 실질적으로 반영되도록 하는 방안과 체계적으로 연동될 필요가 있다.

전체 매출액 산정의 책임주의

개인정보보호법은 개인정보가 유출되지 않도록 개인정보처리자가 안전 조치 의무에 따른 안전성 확보에 필요한 조치를 다한 경우 과징금을 부과하지 않도록 규정하고 있다. 이에 대해 안전 조치 의무 위반 여부가 명확하지 않다는 점과 안전 조치 의무 위반이 있더라도 그 위반과 무관한 결과까지 책임을 지면 안 된다는 비판이 존재한다.

이러한 비판은 실질적 벌칙에 해당하는 과징금 부과가 정당화되려면 반드시 상대방에게 책임이 요구된다는 원론에서는 타당하지만, 개인정보보호법에 관한 구체적인 평가에서는 적절하지 않은 측면이 있다.

예를 들어 국가배상법 제5조의 ‘하자’라는 용어 역시 모호하기는 마찬가지다. 그러나 대법원은 이에 관해 결과적 불법만이 아니라 행태적 불법을 고려하고, 나아가 가해자와 피해자의 관계를 고려하는 ‘상대적 불법’의 관점에서 접근한다. 그 결과 예견 가능성과 회피 가능성을 척도로 삼고 나아가 불가항력까지 참작한다. 결국 ‘비난 가능성’이라는 주관적 귀책사유를 요구하지 않는다는 점에서 무과실책임이기는 하지만, 그렇다고 책임주의에 위반되는 결과책임은 아니다.

이러한 설명은 개인정보보호법상 안전 조치 의무 위반에 대해서도 그대로 타당하며, 실제 그 의미에 관한 대법원의 판시 역시 국가배상법 제5조의 하자에 관한 법리와 일맥상통한다. 따라서 입법 자체는 문제가 없는 만큼, 앞으로 그 해석과 적용에 있어 책임이 적절하게 제한되도록 법리를 발전시키는 일이 중요하다.

한편 개인정보보호법은 전체 매출액을 기준으로 과징금을 산정하되 위반행위와 관련이 없는 매출액은 제외되도록 규정하고 있다. 이에 대해 개인정보 유출은 그 본성상 매출액과 실질적 관련이 없음에도 매출액을 기준으로 하는 것이 부당하다는 지적이 있다.

아울러 일단 전체 매출액을 원칙으로 삼고 예외적으로 위반행위와 관련 없는 매출액이 제외되도록 규정해 그 증명책임을 상대방(기업)에게 전가하는 것이 부당하다는 비판도 제기된다.

그러나 과징금은 불법적 이익의 박탈을 넘어 위반행위 제재를 목적으로 할 수 있으며, 이 경우 매출액을 기준으로 제재 수위를 정하는 것은 책임의 여부(책임주의)와 그 정도(비례원칙)에 부합하는 이상 금지되지 않는다.

이러한 관점에서 보면 처음부터 ‘위반행위 관련 매출액’을 기준으로 과징금을 산정하는 방안과, ‘전체 매출액’을 기준으로 산정하되 위반행위와 관련 없는 매출액을 제외하는 방안은 내용상 차이가 없다. 또한 증명책임의 귀속에 있어 발생하는 차이 역시 자의적인 것이 아닌 이상 평등원칙에 위반되지 않는다.

결국 입법 자체의 문제가 아니라 ‘위반행위와 관련이 없는 매출액’의 해석과 적용을 책임주의와 비례원칙에 적합하게 만드는 법리의 발전이 중요하다. 이에 관한 시행령 규정이나 개인정보위의 행정 결정은 법관을 원칙적으로 구속할 수 없다고 보는 것이 책임주의와 비례원칙을 고려한 헌법합치적 법률해석이라 할 수 있다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지