정보유출 법안 합의했지만…CEO 제재 으름장 "지켜볼 것"

이견 보였던 '징벌적 손해배상제' 여야 잠정 합의… 피해액 최대 3배 보상

"제재 관여할 수 없다. 하지만 제대로 제재했는지 지켜보겠다"

28일 카드사 정보유출 재발방지 관련 법률 개정안이 국회 정무위원회 법안소위를 통과할 전망이다.(자료사진) ⓒ데일리안 홍효식 기자

카드사 정보유출 사태 재발을 막기 위한 법률 개정 작업이 속도를 내고 있다. 특히 그동안 이견을 보였던 '징벌적 손해배상제'에 여야가 잠정 합의하면서 법안 개정 초안을 만드는 작업이 마무리 단계에 돌입했다.

국회는 카드사를 포함한 이번 정보유출 사고 책임자 제재가 아직 이뤄지지 않았다는 점에서 법률 개정과 별도로 처벌 수위를 지켜보겠다는 입장이다. 카드사뿐만 아니라 지주회사까지도 제재 수위의 적절성을 가늠할 태세다.

28일 국회 정무위원회 고위 관계자는 "여야가 징벌적 손해배상제에 잠정 합의하면서 카드사 정보유출 사태 재발방지를 위한 법안 개정에 큰 이견 없다"며 "신용정보보호법과 금융지주회사법, 전자금융거래법 등 관련 법률 개정안이 무리 없이 법안소위를 통과할 것"이라고 밝혔다.

징벌적 손해배상제는 정보유출 피해자와 관련된 제도다. 카드사를 포함한 금융회사가 자사 고객 정보를 제대로 보호하지 못했을 경우 피해액 이상을 피해자에게 보상하는 내용이다.

하지만 일각에선 징벌적 손해배상제가 상위법과 충돌한다며 제도도입에 유보적인 태도를 보였다. 민법 393조에는 손해배상 범위를 '통상의 손해를 그 한도로 한다'고 규정하고 있다. 반면 징벌적 손해배상제는 피해보다 더 큰 보상을 하도록 하고 있다.

이 때문에 금융당국은 징벌적 손해배상제가 아닌 '징벌적 과징금'만으로도 충분한 재발방지 대책이 될 수 있다고 주장했다. 고객정보가 유출된 금융회사에 강도 높은 과징금을 매겨 사고를 막는다는 입장이었다.

하지만 징벌적 과징금은 소비자 보상과 무관하다는 한계를 가진다. 정보유출로 손해를 본 고객이 아닌 국가가 귀속하는 과징금을 매기는 수준이다. 실제 피해자 보상과 전혀 무관하다.

결국, 여야는 "피해자에게 충분한 보상이 이뤄져야 한다"는 데 공감대를 갖고 징벌적 손해배상제를 포함한 신용정보보호법 개정안에 잠정 합의했다. 다만 피해액에 최대 3배까지만 보상하도록 하는 제한을 두었다. 여야가 한발씩 양보한 셈이다.

아울러 금융지주 계열사 간 개인정보 공유를 제한하는 내용의 금융지주회사법과 최고정보보안책임자(CISO)와 최고정보책임자(CIO) 겸직을 금지하는 전자금융거래법 개정안에도 여야는 잠정 합의했다. 금융회사가 고객정보를 쉽게 공유하지 못하고, 공유하더라도 엄격한 관리체계를 두도록 하는 조치다.

이와 별개로 국회는 카드사 정보유출 사태에 대한 임직원 제재도 지켜보겠다는 입장도 내비쳤다. 특히 어떻게 제재하느냐보다 누구까지 제재하느냐가 주요 관심사다.

금융당국은 아직 카드 3사(국민카드, 농협카드, 롯데카드) 정보유출에 대한 원인과 책임소재를 명확하게 정리하지 못해 임직원에 대한 제재를 결정하지 못했다.

롯데카드를 제외한 국민카드와 농협카드는 금융지주회사 체계 아래 있어 제재 수위가 지주차원으로 확대될지 촉각을 곤두세우고 있다.

이와 관련 국회 정무위 관계자는 "임직원 제재에 대해서 국회가 뭐라 할 수 있는 건 아니다. 전적으로 금융당국에서 하는 것"이라면서도 "하지만 국민카드와 농협카드는 지주회사의 책임도 있다. 제재가 지주회사까지 적절하게 이뤄졌는지 지켜볼 계획"이라고 말했다.

그러면서 그는 "지주회사도 확실히 책임이 있다고 본다"고 말해 여운을 남겼다.