금융위, 롯데카드 해킹 사건 제재 절차 착수…카드업계 긴장

금융위원회가 지난해 해킹으로 대규모 고객정보가 유출된 롯데카드에 대한 제재 절차에 본격 착수하면서, 카드업계 전반의 정보보호 책임과 제재 기준이 다시 시험대에 오르게 됐다.

22일 금융당국에 따르면 금융위원회는 6월 25일 금융감독원과 롯데카드 관계자를 불러 첫 안건소위원회를 연다. 이 회의에서는 금감원이 앞서 마련한 제재안의 근거를 설명하고, 롯데카드는 사고의 성격과 사후 수습 노력 등을 중심으로 입장을 밝힐 것으로 예상된다. 금융위는 안건소위 논의와 정례회의 의결을 거쳐 다음 달 안에 최종 결론을 내겠다는 계획이다.

이번 사안의 핵심은 제재 수위가 어디까지 인정되느냐다. 금감원은 지난 4월 말 제재심의위원회에서 롯데카드에 영업정지 4.5개월과 과징금 50억원, 조좌진 대표에 대한 문책경고 등을 담은 제재안을 의결해 금융위에 넘겼다. 영업정지는 신규 회원 모집이 제한되는 강한 조치여서 회사 영업에 직접적인 영향을 줄 수 있다. 특히 해킹 피해를 이유로 금융회사에 영업정지를 부과하는 사례는 전례가 거의 없어, 금융위가 법 적용과 시장 파장을 함께 따져볼 가능성이 크다.

쟁점은 이번 사고를 과거 사례와 연결해 가중 처벌할 수 있느냐는 부분이다. 현행 여신전문금융업법 시행령은 위반행위의 정도와 횟수 등을 고려해 업무정지 기간이나 과징금을 50% 범위에서 조정할 수 있도록 하고 있다. 롯데카드는 2014년 직원에 의한 정보유출 사태로 영업정지 3개월 제재를 받은 바 있어, 당국이 이번에도 보안 조치가 충분하지 않았다고 판단하면 4.5개월 영업정지의 근거가 성립할 수 있다. 실제로 롯데카드에서는 2025년 9월 해킹으로 전체 고객의 약 3분의 1에 가까운 297만명의 정보가 유출됐다.

다만 이번 사고는 내부 직원이나 내부통제 부실에 따른 정보 유출이 아니라 외부의 해킹 공격으로 발생했다는 점에서, 2014년 사례와 같은 선상에서 볼 수 있느냐를 두고 법리 해석이 엇갈린다. 금융당국 내부에서도 일부 쟁점에 대한 의견 차이가 있었던 것으로 알려졌다. 최근 당국이 금융회사 징계와 관련한 행정소송에서 잇따라 패소한 점도 부담 요인이다. 제재가 지나치다고 판단될 경우 소송으로 이어질 수 있어, 당국으로서는 제재의 강도뿐 아니라 법적 정합성까지 함께 따질 수밖에 없는 상황이다.

이번 결정은 롯데카드 한 곳에 그치지 않고 다른 카드사 제재에도 영향을 줄 가능성이 있다. 현재 우리카드와 신한카드도 개인정보 유출 문제로 금융감독원 제재심을 앞두고 있다. 우리카드는 2024년 가맹점 대표자 약 7만5천명의 개인정보가 카드모집인에게 넘어간 사례가 있었고, 신한카드는 2022년 3월부터 2025년 5월까지 가맹주의 휴대전화번호와 사업자번호 등 19만2천여건의 정보가 유출된 것으로 파악됐다. 다만 이들 사례는 해킹보다는 내부통제 이슈에 가깝다는 점에서 롯데카드와는 결이 다르다. 결국 금융위가 이번에 어떤 기준을 세우느냐에 따라, 앞으로 금융권의 정보보호 의무와 사고 책임을 판단하는 잣대도 한층 더 구체화될 가능성이 있다.