[딜사이트 한영훈 기자] 금융권에서 해킹·정보유출 사고가 잇따르면서 금융당국이 제재 강화를 예고한 가운데, 앞서 롯데카드 업무정지 심의에서 벌어진 논쟁이 향후 제재 실효성을 가늠할 바로미터로 떠오르고 있다. 해킹 사고로 금융회사에 업무정지가 부과된 첫 사례인 탓이다. 당시 금융위원들은 소비자 보호를 위한 신규 카드 발급 예외를 놓고 의견이 엇갈렸다. 백화점 제휴카드는 영업정지 효과를 약화시킬 수 있다는 이유로 예외 대상에서 제외된 반면, 군장병 관련 카드는 복지 목적을 고려해 발급이 허용됐다. 금융당국이 제재 수위 강화를 검토하는 만큼 실제 영업을 어디까지 제한할 것인지도 핵심 쟁점이 될 전망이다.

22일 금융권에 따르면 금융당국은 최근 잇따른 금융권 해킹사고와 관련해 경영진의 내부통제 책임을 강화하고 제재 실효성을 높이는 방안을 검토하고 있다. 이억원 금융위원장은 지난 8일 국회 정무위원회 국정감사에서 금융권 보안사고에 대한 엄정한 대응 필요성을 강조했다. 보안 위협에 대한 사전 경고가 현장 점검으로 이어지지 않았다는 한창민 사회민주당 의원의 지적에는 “우리의 대응 방식은 아주 기본적인 부분에도 굉장히 미흡하다”며 “철저하게 점검하고 바꿔나가야 할 것 같다”고 말했다.

금융위는 지난 14일 신한은행·OK저축은행·새마을금고중앙회 등 16개사에서 침해사고가 확인됐고, 파악된 정보유출 규모가 약 10만건이라고 밝혔다. 보안점검 권고가 현장에서 제대로 이행되도록 최고경영자(CEO) 책임을 강화하고 제재 실효성을 높이는 제도개선도 추진하기로 했다.

금융감독원 역시 경영진의 책임을 들여다보고 있다. 이찬진 금융감독원장은 지난 19일 국회 정무위원회 국정감사에서 최근 금융권 해킹사고에 대한 경영진 내부통제 관리 책임을 거론하며 “최초로 CEO의 책임 문제가 다뤄지는 사안이 될 것으로 생각한다”고 밝혔다. 은행장 총괄 관리의무 이행 여부도 점검하고 있냐는 김현정 더불어민주당 의원의 질의엔 “그 부분까지 고려해서 점검하고 있다”고 답했다.

제재 강화 움직임 속에서 주목할 대목은 금융회사에 부과하는 처분의 강도뿐 아니라 실제 영업을 얼마나 제한할 수 있느냐다. 업무정지 기간이 같더라도 소비자 보호 등을 이유로 예외를 폭넓게 인정하면 금융회사가 받는 제재 효과는 달라질 수 있기 때문이다. 이런 점에서 해킹사고로 금융회사에 업무정지가 부과된 첫 사례인 롯데카드 제재심은 향후 유사 사고의 제재 범위를 판단하는 참고 사례가 될 수 있다.

롯데카드는 지난해 8월 해킹으로 고객 297만명의 신용정보가 유출돼 업무 일부정지 1.5개월과 과징금 50억원 처분을 받았다. 해킹사고로 금융회사에 업무정지가 부과된 첫 사례로, 업무정지는 지난 8월 1일부터 9월 15일까지 적용됐다.

금융위의 당시 제재 심의에서는 업무정지 기간 못지않게 신규 영업을 어디까지 허용할 것인지를 놓고 논쟁이 벌어졌다. 핵심은 기존 고객의 피해를 최소화한다는 소비자 보호 원칙을 신규 카드 발급에까지 적용할 수 있느냐였다.

금융위는 기존회원의 카드 이용은 보장하되 신규 영업은 제한하는 방향으로 적용 범위를 논의했다. 기존회원 카드 결제와 갱신·분실 등에 따른 재발급은 유지했지만, 신규카드를 추가로 발급받는 것은 새 계약에 해당해 제한했다. 금융위는 “사고에 책임이 없는 고객이 업무정지로 불편을 겪는 것은 바람직하지 않은 만큼, 기존회원의 카드 관련 서비스 신청·이용을 허용했다”고 설명했다.

논쟁은 기존 '독점제휴계약'에 따른 카드의 신규 발급을 예외적으로 허용하는 방안이 제시되면서 본격화됐다. 특히 백화점 제휴카드를 놓고 소비자 혜택 보호와 제재 실효성이 정면으로 충돌했다.

예외 필요성을 설명한 위원은 “대체 카드가 없는 경우, 신규 발급까지 막으면 고객이 원하는 혜택을 이용할 수 없다”고 주장했다.

반면 예외에 반대한 위원은 신규 발급을 허용하는 순간 업무정지의 취지가 훼손될 수 있다고 맞섰다. 해당 위원은 “백화점 제휴카드 신규 발급까지 허용하면 영업정지 처분의 실효성 자체가 없어지는 것”이라며 “보안사고가 사회적 물의를 일으킨 점을 고려하면, 1.5개월간 백화점 관련 신규 영업을 제한하는 정도는 회사가 감수할 수 있다”고 반박했다.

이어 “사적 계약을 고려해 예외를 인정하면 유사한 독점제휴계약에도 ‘영업을 허용해 주겠다는 선례’가 될 수 있다”고 우려했다. 회의에서는 예외 조항을 붙이면 당국이 스스로 행정처분을 제약하게 된다는 지적도 나왔다.

이는 향후 금융권 해킹사고 제재에서도 반복될 수 있는 문제다. 금융회사가 체결한 제휴계약을 이유로 신규 영업을 허용하기 시작하면 업무정지의 적용 범위가 개별 회사의 계약 구조에 따라 달라질 수 있다. 소비자 보호를 위한 예외가 자칫 금융회사의 영업을 보장하는 수단으로 작용할 수 있다는 우려가 제기되는 배경이다.

특히 백화점 제휴카드는 롯데카드 주주와의 관계까지 얽혀 있었다. 백화점을 운영하는 롯데쇼핑은 올해 6월 말 기준 롯데카드 지분 20%를 보유하고 있다. 예외 필요성을 설명한 위원도 백화점 제휴카드처럼 주주와 관계된 카드는 조정할 여지가 있다고 밝혔다.

군장병 관련 카드를 놓고도 제재 실효성과 소비자 보호가 맞섰지만 최종 판단은 달랐다. 예외 필요성을 설명한 위원은 “군장병 관련 카드는 군 복지와 소비자 혜택을 위해 신규 발급을 허용해야 한다”고 강조했다. 그러나 다른 위원은 “군장병에게도 ‘소비자 선택권’이 있다”며 “행정처분의 공정력이 약해질 수 있다”고 우려했다.

백화점 제휴카드에서는 사적 계약에 따른 혜택을 보호할 필요성이, 군장병 관련 카드에서는 복지 목적과 대체 수단의 존재 여부가 주요 판단 요소로 제시된 셈이다. 제재 실효성을 유지하면서도 어떤 소비자 불편까지 감수하도록 할 것인지에 대한 판단이 엇갈린 것이다.

제재 실효성과 고객 보호를 고려해 금융위와 금감원이 적용 범위를 조율하자는 의견도 나왔다. 보고자인 금감원 IT검사국장은 실무 협의를 통해 “주주 관련 카드는 제외하고, 군장병 관련 카드는 신규 발급을 허용하겠다”고 답했다.

최종 제재에서 금융위는 신규회원의 신용·체크·선불카드 발급을 제한하되 햇살론카드 2종, 부산시 노약자 무료 지하철 카드, 군장병 관련 카드 등을 예외로 인정했다. 법인고객의 임직원 복지카드와 업무용 법인카드도 발급을 허용했다. 반면 독점제휴계약이 존재한다는 이유만으로 신규 발급을 일괄 허용하는 방안은 받아들여지지 않았다.

금융당국이 연쇄 해킹사고에 대한 제재 강화를 추진하는 만큼 롯데카드 제재심에서 드러난 예외 인정 기준은 향후 유사 사고의 제재 과정에서도 중요한 판단 기준이 될 전망이다. 업무정지 기간을 늘리더라도 소비자 보호나 제휴계약을 이유로 신규 영업을 폭넓게 허용한다면 실제 제재 효과는 제한될 수 있어서다. 제재의 실효성을 확보하려면 처분 수위뿐 아니라 영업정지 예외를 인정하는 기준도 명확히 해야 한다는 지적이다.

금융권 관계자는 “업무정지는 처분 기간뿐 아니라 실제로 어떤 영업을 제한하느냐가 중요하다”며 “향후 해킹사고 제재에서도 소비자에게 불가피한 피해가 생기는지, 대체 수단은 있는지를 따져 예외를 인정해야 소비자 보호가 회사의 영업을 폭넓게 허용하는 명분으로 쓰이는 것을 막을 수 있다”고 말했다.