순이익 비율 10% 미달 수두룩⋯카드업계, 징벌적 과징금 입법 '초긴장'

▲국회 정무위원회가 회의를 진행하는 모습 (사진=뉴시스)

카드업계가 정부와 국회의 개인정보 유출 사고 징벌적 과징금 입법 동향을 예의주시하고 있다. 매출 대비 순이익 비율이 다른 업권에 비해 낮은 만큼 보안 리스크가 경영 환경의 최대 변수가 될 수 있어서다.

16일 금융권과 정치권에 따르면 국회 정무위원회는 전날 법안심사소위원회를 열어 중대한 개인정보 유출 사고를 낸 기업에 전체 매출액의 최대 10% 과징금을 부과하는 내용의 개인정보보호법 개정안을 처리했다. 현재는 매출액의 3%까지 과징금을 부과하고 있는데 이를 3배 이상 대폭 상향 조정한 것이다.

이르면 이달 말 법안이 본회의 문턱을 넘으면 일반 기업뿐 아니라 다량의 개인정보와 신용정보를 보유하고 있는 은행·카드사·저축은행 등 금융권에도 적지 않은 파장이 예상된다. 특히 카드사의 경우 가맹점 수수료 제한, 이자비용 상승, 카드론·할부이자 이익 한계 등 수익 구조가 취약해 상당한 타격이 예상된다.

현재 개인정보보호위원회는 금융사를 대상으로 과징금을 부과할 때 매출액 기준을 '영업 수익'에 두고 있다. 대부분의 카드사는 영업 수익 대비 순이익 비율이 10% 미만이다.

예컨대 대규모 해킹 사고가 발생한 롯데카드는 지난해 기준 누적 수익 2조6775억 원에서 1354억 원의 순이익을 남겨 순이익 비율 5.1%를 기록했다. 삼성·KB국민·하나카드를 제외한 △신한카드(9.8%) △현대카드(8.5%) △우리카드(7.0%) △BC카드(3.0%)도 한 자릿수에 그친다. 만약 중대한 사고가 발생해 과징금 10%가 부과된다면 최악의 경우 적자로 전환될 가능성이 있는 것이다.

다만 모든 개인정보 유출 사고에 징벌적 과징금이 부과되는 것은 아니다. 최근 3년 내 고의·중과실로 위반행위를 반복했거나 △고의·중과실로 1000만 명 이상의 정보 주체에게 피해를 입혔거나 △정부의 시정 명령을 이행하지 않아 개인정보가 유출된 경우 등 중대 위반 사항에 한해서만 부과한다. 올해 10월 기준 회원 수(신용카드 기준)가 1000만 명 이상인 카드사는 신한·삼성·현대·KB국민카드 4곳뿐이다.

'감경 조항'이 여럿 포함돼 있어 과징금 비율이 10%까지 상향되더라도 실제 부담은 예상보다 제한적일 수 있다는 분석도 나온다. 개보위 관계자는 "과징금 부과 기준이 전체 영업수익은 아니고 (개인정보 유출 등) 사고와 관련성 있는 액수만 산정한다"고 설명했다.

카드업계는 보안 체계 고도화와 개인정보 유출에 따른 2차 피해 방지 시스템 보완에 나서고 있다. 신한카드의 경우 최근 인공지능(AI) 보안 플랫폼 'FAME'을 자체 이상금융거래탐지시스템(FDS)에 연동했다.

한 카드사 관계자는 "개인정보 유출 사고와 관련이 없는 수익은 과징금 산정에서 제외하는 등 법에 감경 사유가 있는 것으로 알고 있긴 하지만 최대 과징금 부과 비율이 높아진다면 당연히 업계 입장에서는 우려가 될 수밖에 없다"고 말했다.

한편 징벌적 과징금 개정안은 소급 적용되지 않을 가능성이 크다. 최근 297만 명의 고객 정보가 유출된 롯데카드가 개인정보보호법 위반으로 부과받을 과징금은 지난해 총 영업수익 약 2조6775억 원을 기준으로 1~3% 수준인 약 270억~800억 원에 이를 전망이다.