금융당국이 신용정보법 위반에 대한 과징금 산정기준을 손질한다. 개인신용정보의 특성과 정보주체의 피해 규모 등을 과징금 산정에 보다 구체적으로 반영하고 현재 3단계로 나뉜 부과기준율도 세분화할 방침이다.
금융위원회는 16일 유영준 디지털금융정책관 주재로 '신용정보법 과징금 산정기준 개선 태스크포스(TF)' 회의를 열고 이같은 방안을 논의했다.
현행 신용정보법 과징금은 2020년 법 개정으로 부과 대상과 상한이 확대됐다. 개인신용정보 누설·유출뿐 아니라 부당 제공·이용, 가명정보 부정 처리 등으로 과징금 대상이 확대됐으며 부과 상한도 관련 매출액의 3%에서 전체 매출액의 3%로 높아졌다.
문제는 신용정보법 위반에 금융업권 전반에 적용되는 현행 '금융기관 검사 및 제재에 관한 규정'을 그대로 적용하면서 신용정보법 위반행위의 특성을 충분히 반영하기 어렵다는 점이다.
현행 규정은 △위반행위의 동기와 방법 △부당이득 규모 △피해 규모 △시장 영향 △위반 기간·횟수 등을 중심으로 중대성을 평가한다. 반면 개인정보보호법과 유럽연합(EU) 일반개인정보보호법(GDPR)은 개인정보 유형과 정보주체 수, 피해 규모·영향 등 개인정보 보호의 특성을 고려해 중대성을 판단한다.
과징금 산정 방식도 개선이 필요한 부분으로 꼽힌다. 현재는 전체 매출액의 3%인 법정상한액에 위반행위의 중대성에 따라 △50% △75% △100%의 부과기준율을 적용해 기본과징금을 산정한다. 이후 가중·감경 절차를 거친다.
위반행위와 직접 관련된 금액 등을 기준금액으로 정하는 은행법 및 보험업법 등 일반 금융업법을 적용할 때는 합리적인 과징금 산정이 가능하다. 그러나 위반행위와 직접 관련이 없는 부분까지 포함해 전체 매출액(영업수익)을 기준금액으로 하는 신용정보법의 경우에는 구체적 위반행위에 비례하는 과징금 산정이 어려운 측면이 있다는 게 금융당국 판단이다.
개인정보보호법은 전체 매출액에서 위반행위와 관련 없는 매출액을 제외한 관련 매출액을 기준으로 과징금을 산정한다. EU GDPR도 전세계 매출액을 기준으로 하되 위반행위의 중대성에 따라 보다 세분화된 부과기준율을 적용한다.
이에 금융당국은 신용정보법의 특성을 반영한 별도의 과징금 산정기준을 마련하는 방안을 검토한다. 특히 개인신용정보의 성격과 유형, 정보주체의 규모와 피해 정도 등을 중대성 평가에 반영하고 위반행위에 비례한 제재가 이뤄져야 한다는 데 의견이 모였다.
사회적으로 영향이 큰 중대한 위반행위에 대해서는 엄중한 과징금을 부과하되, 금융회사가 개인신용정보 침해를 사전에 예방하고 소비자 피해 회복을 적극적으로 유도하기 위해 과징금을 가중·감경하는 방안도 논의됐다.
금융위와 금감원은 금융업권 등의 의견을 수렴해 과징금 산정기준을 마련한 뒤 관련 규정 개정을 추진할 예정이다.
