해킹 CEO 제재, 내 피해 배상과는 별개다
금융위·금감원이 잇단 해킹 사고에 CEO 책임을 묻겠다고 밝혔고, 근거는 금융회사 지배구조법의 책무구조도다. 다만 이 제재는 내부통제 관리의무 위반을 전제로 한 행정·개인 제재여서 해킹이 났다는 사실만으로 자동 성립하지 않는다. 당국의 CEO 제재와 피해자가 받는 손해배상은 별개 트랙이므로, 내 정보가 샜다면 제재 뉴스와 별도로 배상 절차를 따로 챙겨야 한다.
해킹은 터졌는데, CEO를 묶는 법은 하나로 정해져 있지 않다
금융보안원까지 공격받으면서 "누가 책임지나"라는 질문이 커졌다. 그런데 당국이 말하는 'CEO 책임'은 단일한 법 조항이 아니다. 회사를 상대로 한 행정제재, 임원 개인에 대한 제재, 피해자에게 돈을 물어주는 민사 배상이 서로 다른 법에 흩어져 있고 작동 방식도 다르다. 이 셋을 구분해야 "제재가 곧 내 배상"이라는 오해를 피할 수 있다.
사고 규모부터 보자. 금융위원회는 9월 30일부터 11월 3일까지 37개 금융사에서 침해사고 40건이 신고됐고, 유출 정보가 약 47만3000건, 탈취된 자금이 약 10억원이라고 밝혔다. 이어 11월 9일에는 감독 보조기구인 금융보안원 시스템까지 뚫려 이름·생년월일 등 300여 건이 빠져나갔다.
당국이 꺼낸 'CEO 책임'의 뿌리는 책무구조도다
Photo by Sasun Bughdaryan on Unsplash
이억원 금융위원장은 11월 5일 간담회에서 중대한 관리 부실이나 대응 소홀이 있으면 CEO를 포함한 경영진 책임을 관련 법령에 따라 묻겠다고 했다. 여기서 '관련 법령'의 핵심은 금융회사 지배구조법이다.
이 법은 2024년 개정으로 책무구조도를 도입했고 지난해부터 본격 시행됐다. 임원마다 책무를 나누고, CEO를 내부통제의 최종 책임자로 규정한다. 관건은 해킹 피해가 났다는 사실 자체가 아니다. 예방과 사후 대응에서 경영진이 관리 의무를 실제로 이행했는지가 제재를 가른다. 이찬진 금융감독원장도 국정감사에서 이번 일이 사이버보안 해킹에서 CEO 책임이 처음 다뤄지는 사안이 될 것이라고 했다.
회사 제재와 임원 제재는 다른 문이다
행정제재는 크게 둘로 갈린다. 하나는 회사를 상대로 한다. 전자금융거래법 위반 등을 근거로 과태료나 과징금을 물린다. 당국은 여기에 더해 해킹 사고에 '매출액 3%' 수준의 과징금을 물릴 수 있도록 전자금융거래법을 고치려 하지만, 국회 논의가 멈춰 있어 아직 시행 전이다.
다른 하나는 임원 개인에 대한 제재로, 문책경고 같은 징계가 여기 해당한다. 그런데 개인 제재는 벽이 높다. 2020년 금감원이 파생결합펀드(DLF) 사태로 손태승 당시 우리금융 회장에게 내부통제 책임을 물어 중징계했지만, 대법원이 회장 손을 들어주며 징계가 무산됐다. 관리 의무 위반을 법적으로 입증하기가 간단치 않다는 신호다.
피해자 배상은 또 다른 트랙에서 움직인다
여기까지는 당국이 금융사를 상대하는 '행정'의 영역이다. 내 정보가 샜을 때 받는 배상은 민사의 영역으로 절차가 따로다. CEO가 제재를 받든 안 받든 배상이 자동으로 나오지는 않는다.
근거 법은 개인정보보호법과 신용정보법이다. 손해액을 일일이 증명하기 어려운 피해자를 위해, 입증 없이 일정액을 받는 법정손해배상과 고의·중과실 기업에 실손해의 몇 배를 물리는 징벌적 손해배상이 마련돼 있다. 다만 현실에서 징벌적 배상이 실제 인정된 판례는 드물다. 유출 피해가 주로 정신적 손해로 다뤄져 배상액을 키우기 어려웠던 탓이다.
그래서 지금 확인할 것
- 제재 뉴스와 내 배상은 분리해 보기: CEO 징계가 나와도 배상은 따로 청구해야 한다.
- 유출 통지 확인: 어떤 항목(이름·연락처·주민번호 등)이 샜는지에 따라 대응이 달라진다.
- 배상 경로 선택: 개인정보 분쟁조정과 민사소송 중 사안에 맞는 쪽을 고른다.
- 입증 부담 점검: 실제 손해 입증이 어렵다면 법정손해배상 쪽이 현실적일 수 있다.
당국의 CEO 제재는 재발을 막기 위한 장치이지, 개별 피해자에게 돈을 돌려주는 장치가 아니다. 이 구분을 알아야 '엄정 대응'이라는 뉴스에 기대어 내 배상까지 저절로 풀릴 거라는 착각을 피한다.