쿠팡과 SK텔레콤 등 대형 정보통신 기업들이 최근 발생한 대규모 개인정보 유출 사태에도 불구하고, 피해자 구제에 쓰일 개인정보유출 배상보험에 법정 최소 한도 수준만 가입해 온 사실이 드러났다. 이에 따라 실제 피해 발생 시 충분한 보상이 이루어지기 어려운 구조적 문제가 재차 부각되고 있다.

8일 손해보험업계에 따르면, 쿠팡은 현재 메리츠화재의 개인정보유출 배상책임보험에 보장 한도 10억 원으로 가입돼 있으며, 최근 발생한 약 3천370만 건의 개인정보 유출 사고에 대한 보험 사고 접수도 아직 하지 않은 상태다. 쿠팡뿐만 아니라, 약 2천300만 명의 정보가 유출된 SK텔레콤도 현대해상의 같은 종류 보험에 동일한 10억 원 한도로만 가입된 것으로 나타났다.

현행 개인정보보호법은 일정 매출 이상의 기업이 개인정보유출 배상보험에 의무적으로 가입하도록 규정하고 있으나, 기업 규모에 비해 너무 낮은 최소 가입 한도가 문제로 지적된다. 예컨대 연 매출 10조 원 이상이거나 정보 보유 고객 수가 천만 명을 넘는 초대형 기업조차도 10억 원 한도의 보험만 들어 있으면 법적으로 문제가 없는 상황이다. 이로 인해 실제 대규모 피해가 발생해도 보험금을 통한 실질적인 보상이 극히 제한된다.

보험업계는 그간 발생한 사고 규모와 피해자 수에 비춰 볼 때, 최소 가입 한도를 1천억 원 수준으로 상향할 필요가 있다고 주장한다. 민사소송을 통해 기업이 손해배상을 하더라도, 보험을 통한 일부 보전이 가능해야 비용부담이 현실적으로 분산되고 피해자 보호도 가능하다는 이유에서다. 일부에서는 보험 한도가 너무 적어 기업이 오히려 책임을 회피하거나 배상을 지연하는 악용 사례도 나온다는 지적이 나온다.

이러한 배경에서 손해보험협회를 비롯한 관련 업계는 조만간 개인정보보호위원회를 비롯한 정부 기관에 최소 보험가입금액 개정을 요구할 계획이다. 특히 매출 10조 원 이상 혹은 정보주체 수 1천만 명 이상 기업에 대해 최소 1천억 원의 보험 가입을 의무화하는 방안이 검토 중이다. 동시에, 보험 미가입 기업에 대해 과태료 부과 등 행정 조치를 보다 적극적으로 실시해야 한다는 목소리도 커지고 있다.

한편, 보험 미가입으로 인해 과태료 처분을 받은 사례는 전무한 실정이다. 개인정보보호위원회가 보험 가입 대상 기업의 정확한 규모를 파악하기 어렵다는 이유로 실질적 조치를 하지 않으면서, 현재 가입률은 전체 대상 기업(약 8만3천 곳~38만 곳 추정) 대비 2~8% 수준에 불과한 것으로 나타났다.

이 같은 흐름은 향후 개인정보 유출 사고가 반복될 경우 피해자 보호 조치의 실효성 논란을 불러올 수 있고, 결국 기업 신뢰 하락과 강도 높은 보험·규제 개편으로 이어질 가능성이 크다는 점에서 정부와 국회의 제도 정비가 시급하다는 지적이 나온다.