[KJtimes=견재수 기자] 또다시 개인정보 유출 사고다. 지난 2025년 들어서만 해도 가입자 2300만여 명 정보가 유출된 SK텔레콤 사태를 비롯해 블랙야크, 한국토픽교육센터, 티빙 등에서 잇따라 고객 정보가 외부로 유출됐다.

개인정보 유출은 이제 특정 기업의 일회성 사고가 아니라 국내 기업 전반의 구조적 리스크가 되고 있다. 하지만 사고가 반복될수록 더 커지는 의문이 있다. ‘과연 누가 책임을 지고 있는가’가 그것이다.

◆ “개인정보는 경영의 결과물인데 책임은 IT부서 몫”

SK텔레콤은 유심(USIM) 정보 유출 사고로 약 2324만명의 개인정보가 유출된 것으로 조사됐다. 개인정보보호위원회는 역대 최대 규모인 1347억원의 과징금을 부과했다.

블랙야크 역시 해킹으로 34만여 명의 고객 정보가 유출돼 13억9000만원의 과징금을 받았다. 한국토픽교육센터도 약 8만4000명의 개인정보 유출로 제재를 받았다.

숫자만 보면 강력한 처벌처럼 보인다. 하지만 과징금은 기업이 낸다. 정확히 말하면 회사 돈으로 낸다. 결국 비용은 주주가 부담하고 고객은 개인정보 유출 피해를 감수한다.

반면 최고경영자(CEO)가 개인적으로 부담하는 책임은 거의 없다. 수천억 원의 과징금이 부과돼도 CEO 연봉이 삭감되거나 성과급이 환수되는 사례는 국내에서 찾아보기 어렵다.

사실 기업들은 고객 데이터를 활용해 돈을 번다. 통신사는 가입자 데이터를 기반으로 서비스를 고도화한다. 플랫폼 기업은 고객 데이터를 분석해 광고와 마케팅 수익을 창출한다. 유통기업 역시 고객 데이터를 핵심 자산으로 활용한다.

그럼에도 이해되지 않는 게 있다. 데이터 보호 실패는 여전히 IT부서 문제로 취급된다는 사실이다. 해킹이 발생하면 보안 담당 임원이나 실무자가 문책받는다.

그러나 정보보호 예산을 얼마나 배정할지, 보안 인력을 얼마나 채용할지, 노후 시스템을 교체할지 결정하는 사람은 CEO다.

보안 투자 부족이 사고 원인으로 드러나도 경영진 책임으로 연결되는 경우는 드물다. 결국 개인정보 유출 사고는 기술 문제가 아니라 경영 판단의 결과라고 지적할 수밖에 없다.

◆ “반복 사고 막으려면 돈 아닌 책임을 바꿔야”

반면 해외에서는 분위기가 달라지고 있다. 유럽은 GDPR(유럽연합의 일반 개인정보보호법) 체계를 통해 개인정보 보호를 기업의 핵심 경영 의무로 보고 있다. 미국 역시 대규모 정보 유출 사고가 발생하면 이사회 차원의 조사와 경영진 책임 논의가 뒤따른다.

해외에서는 투자자들이 단순히 ‘해킹당했다’는 사실보다 ‘왜 예방하지 못했는가’를 묻는다. 사이버보안과 개인정보 보호를 CEO 평가 항목에 포함하거나 성과급 산정 기준으로 반영하는 기업도 늘고 있다.

국내는 상반된다. 여전히 개인정보 유출이 발생해도 기업 차원의 사과와 과징금 납부로 마무리되는 경우가 대부분이다. 분명히 잘못된 방식이다.

일례로 SK텔레콤에 부과된 1348억원은 역대 최대 과징금이다. 개인정보보호위원회는 기본적인 보안 조치와 관리 소홀이 사고 원인이라고 판단했다.

<기자>는 여기서 중요한 질문을 던지고 싶다. SK텔레콤에서는 2300만명의 개인정보가 유출된 뒤 CEO는 무엇을 잃었는가. 블랙야크에서는 34만건이 넘는 고객 정보가 유출된 뒤 최고경영진은 어떤 책임을 졌는가.

개인정보 유출 사고가 반복되는 이유는 처벌 수위가 낮아서만이 아니다. 사고 비용은 회사가 부담하지만 책임은 개인에게 연결되지 않는 구조 때문일 수 있다.

기업이 개인정보를 통해 수익을 얻는다면 개인정보 보호 실패 역시 최고경영자의 경영 성과 평가에 반영되야 한다. 이것은 상식에 가깝다고 봐야 한다. 

과징금을 늘리는 것만으로는 한계가 있다. 이제는 개인정보 유출 사고가 발생했을 때 CEO 보수 삭감, 성과급 환수(clawback), 연임 제한 같은 실질적 책임 장치를 논의해야 할 시점이다. 고객 정보는 기업의 자산이 아니다. 기업에 정보를 맡긴 국민의 권리다. 그리고 그 권리를 지키는 최종 책임자는 IT 담당자가 아니라 CEO다.