직원 이메일 한 통에 28억원... 법원 "신협중앙회 과징금 정당"

직원이 1만8000여건 유출...과징금 28억 취소소송 패소
회비를 '매출액'으로 산정한 금융위 판단 정당
"보안 갖췄다면 유출 못했다"...이중제재 주장도 배척

[파이낸셜뉴스] 직원 한 명이 보낸 이메일 한 통에서 시작된 개인신용정보 유출로 신용협동조합중앙회가 28억원대 과징금을 그대로 물게 됐다. 법원은 비영리법인이라도 조합에서 걷은 회비 전액을 '매출액'으로 보고 과징금을 매길 수 있다고 판단했다.

11일 법조계에 따르면 서울행정법원 행정2부(공현진 부장판사)는 지난 8월 20일 신협중앙회가 금융위원회를 상대로 낸 과징금 부과처분 취소 소송에서 원고 패소로 판결했다.

신협중앙회 직원은 2019년 퇴직을 앞두고 업무상 알게 된 개인신용정보 1만8465건이 담긴 검사서와 민원조사서 등을 부산의 한 단위조합 직원에게 그룹웨어 이메일로 보냈다. 유출된 정보에는 성명과 계좌번호, 대출금과 잔액 등이 들어 있었다.

중앙회는 2019년부터 2021년까지 약 2년 10개월간 업무용 PC에 고객과 임직원의 개인신용정보를 암호화하지 않은 채 저장했다. 개인신용정보를 이메일로 외부에 보낼 때 관리책임자의 사전 승인을 받는 절차도 두지 않았다. 중앙회는 사고가 난 지 약 1년 7개월 만에 이를 알아챘고, 그로부터 8개월이 더 지나서야 금융감독원에 보고했다.

금융감독원 검사를 거쳐 금융위는 2024년 12월 업무목적 외 누설로 2억4800만원, 신용정보전산시스템 안전보호 의무 위반에 따른 유출로 26억2400만원 등 모두 28억7200만원의 과징금을 부과했다. 과징금은 위반행위를 제재하는 동시에 그로 얻은 부당한 이익을 거둬들이는 성격을 갖는다.

가장 큰 쟁점은 비영리법인에 '매출액'을 기준으로 과징금을 매길 수 있는지였다. 옛 신용정보법은 위반행위와 관련된 매출액의 3% 이하를 과징금으로 물릴 수 있게 했는데, 중앙회는 자신이 비영리법인이고 검사·감독 부문에서 따로 매출을 거두지 않아 기준이 될 매출액 자체가 없다고 주장했다.

재판부는 받아들이지 않았다. 재판부는 "위 규정의 문언상 과징금 부과의 대상이 영리법인으로 한정되어 있지 않다"며 비영리법인인 중앙회에도 과징금을 부과할 수 있다고 봤다. 단위조합에서 걷은 회비가 지도·감독을 비롯한 목적사업 전반과 밀접하게 연결돼 있다는 이유로, 회비 전액을 위반행위 관련 매출액으로 산정한 금융위 판단도 정당하다고 했다. 금융위가 기준금액으로 삼은 2016~2018 사업연도 연평균 회비는 166억6001만원이다.

두 건의 과징금이 이중 제재라는 주장도 배척됐다. 재판부는 "제1처분과 제2처분은 그 적용 국면을 달리한다"며 직원 개인의 누설 행위에 사용자 책임을 묻는 것과 전산시스템 관리 의무를 지키지 않은 책임을 묻는 것은 별개라고 설명했다.

중앙회와 단위조합이 공동 전산망을 쓰므로 그룹웨어 이메일은 '외부 전송'이 아니라는 주장에 대해서도 재판부는 "원고와 단위조합은 별개의 법인으로 수집·이용·보유하는 개인신용정보가 서로 다르고, 각자 보유한 개인신용정보에 대하여 상호 무제한적인 접근권한이 부여되어 있다고 볼 수 없다"며 외부 전송으로 평가했다. 암호화와 사전 승인 절차를 갖췄다면 직원이 정보를 개인적으로 보낼 수 없었거나 단위조합 직원이 열람할 수 없었을 것이라며, 보안 관리 소홀과 유출 사고 사이의 인과관계도 인정했다.
과징금이 지나치다는 주장도 받아들여지지 않았다. 재판부는 유출 규모와 정보의 중요도, 긴 위반 기간, 늑장 보고 등을 들어 "원고의 위법성 정도가 가볍다고 볼 수 없다"고 밝혔다. 재량권 일탈·남용이란 행정청이 법으로 주어진 재량의 범위를 벗어나거나 잘못 행사한 경우를 말하는데, 재판부는 금융위가 규정에 따른 산정·감경 절차를 거친 만큼 그에 해당하지 않는다고 봤다.[email protected] 김동규 기자