[윤영숙의 시선] 참을 수 없는 개인정보 대응의 가벼움

해킹으로 물러나도 수억대 성과 보수…책임 경영 묻고 있나

(서울=연합인포맥스) 지난 18일 SK텔레콤[017670]은 유영상 전 SK텔레콤 대표가 보통주 5천905주를 자사주 상여 형태로 추가 취득했다고 공시했다.

이에 따라 유 전 대표의 보유 주식 수는 2만3천774주에서 2만9천679주로 늘었다. 이번 지급은 SK텔레콤이 사외이사 주식보상과 임원 장기성과급 지급을 위해 자기주식 5만1천952주를 장외 처분하기로 한 데 따른 절차다.

유 전 대표는 지난해 총 34억700만원의 보수를 수령했다. 급여 15억4천만원, 상여 18억2천만원, 기타 근로소득 4천700만원으로 구성됐다.

유 전 대표는 지난해 SK텔레콤에서 발생한 대규모 유심 정보 유출 사고 이후 책임론 속에 대표직에서 물러난 인물이다.

개인정보보호위원회 조사 결과 이 사고로 이용자 2천324만4천649명의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키 등 25종의 정보가 유출된 것으로 확인됐다. 회사는 개인정보보호위원회로부터 과징금 1천347억9천100만원을 부과받았고, 관련 소송과 수사도 이어지고 있다.

회사 측은 유 전 대표의 성과급이 2024년 성과를 기준으로 산정된 것이라고 설명한 바 있다. 사고 발생 시점이 2025년 4월인 만큼, 해킹 사태가 해당 성과보수 산정에 영향을 주지 않았다는 설명이다.

그러나 2025년에 발생한 해킹 사고가 그 이전의 관리 책임과 완전히 무관하다고 할 수 있을까. 2024년까지의 경영 성과를 보상하면서, 그 기간 축적됐을 보안 리스크와 내부통제 책임은 별개로 볼 수 있는지 묻게 된다.

개인정보 유출 사고가 터질 때마다 기업들은 고개를 숙인다. "송구하다", "재발 방지에 최선을 다하겠다", "고객 신뢰를 회복하겠다"는 말도 빠지지 않는다.

그러나 시간이 지나면 풍경은 크게 달라지지 않는다. 과징금은 회사가 내고, 불안은 고객이 떠안는다. 주주는 기업가치 훼손과 소송 리스크를 감내한다. 정작 책임의 정점에 있었던 경영진에게 어떤 책임이 작동했는지는 흐릿하게 남는다.

물론 사고의 최종 법적 책임은 법원에서 가려질 것이다. 해킹 사고의 성격, 회사의 보안 조치 수준, 유출 통지의 적정성도 다툼의 대상이다. 그러나 고객 입장에서 이 사안은 법리 이전의 문제다. 자신의 유심 정보가 유출됐고, 불안은 장기간 이어졌다. 회사는 과징금 리스크를, 주주는 소송 리스크를, 고객은 2차 피해 우려를 떠안았다.

그런데 전임 최고경영자는 과거 성과를 근거로 한 보수를 받았고, 대표직에서 물러난 뒤에도 그룹의 핵심 전략 축으로 이동했다. 유 전 대표는 현재 SK수펙스추구협의회 AI위원장을 맡고 있으며, 올해 SK스퀘어 기타비상무이사에도 선임됐다.

대표직 사퇴가 곧 문책이라는 설명은 그래서 충분하지 않다. 통신사업 대표 자리에서는 물러났지만, 데이터와 기술, 투자의 중심인 AI 전략을 맡고 있다면 시장은 묻지 않을 수 없다. 이것이 책임인가, 아니면 일시적인 눈가림인가.

AI는 데이터 산업이다. 통신사의 AI 전략은 고객 데이터, 인증 정보, 통신 인프라, 이용 패턴 등 민감한 정보 관리 역량을 전제로 한다. 개인정보 보호에 대한 책임이 명확히 정리되지 않은 상태에서 AI 전환을 위한 데이터 활용을 맡긴 셈이다.

개인정보 유출은 단순한 영업상 손실이 아니다. 한 번 밖으로 나간 정보는 회수할 수 없다. 비밀번호는 바꿀 수 있지만 휴대전화 번호와 식별 정보 등은 쉽게 되돌릴 수 없다. 피해는 고스란히 고객에게 남는다.

그런데도 우리 사회는 개인정보 사고에 지나치게 둔감하다. "내 정보는 이미 인터넷에 다 팔렸다"는 말이 농담처럼 오간다. 택배 송장, 통신사 가입 정보, 쇼핑몰 회원 정보, 금융 앱 인증 정보까지 개인의 흔적은 곳곳에 흩어져 있다. 유출 사고가 반복되다 보니 분노보다 체념이 먼저 나온다.

문제는 고객들이 체념할수록 경영진의 책임 회피 구조가 굳어진다는 점이다. 정부는 해킹 사태가 터질 때마다 과징금을 높여서라도 사고를 예방하겠다고 강조해왔다. 그러나 개인정보 침해 사고는 여전히 경영진이 책임져야 할 핵심 경영 리스크로 자리 잡지 못하고 있다. 대규모 보안 사고가 발생했을 때 임원 성과급을 삭감하거나 환수하는 장치가 실질적으로 작동하지 않기 때문이다.

올해 초에는 롯데카드가 정보유출 사고 직후 임원진의 성과급 자진 반납, 승진 자제, 기본급 동결 등을 결의했음에도 관련 임원들에게 성과급을 지급해 논란을 빚은 바 있다.

최근 들어 국내에서는 금융사고가 발생했을 때 전·현직 임원의 성과급을 환수할 수 있도록 하자는 클로백 제도화 논의가 금융권을 중심으로 구체화하고 있다. 하지만 개인정보 유출과 보안 사고는 금융회사만의 문제가 아니다. 통신사와 플랫폼, 유통기업처럼 대규모 고객 정보를 보유한 기업에도 같은 기준이 필요하다.

개인정보 보호와 보안 리스크가 재무성과 못지않은 핵심 성과지표로 반영돼야 한다. 매출과 주가가 성과급 산정의 기준이 된다면, 고객 정보 보호 실패와 신뢰 훼손도 성과급 감액이나 환수의 기준이 돼야 한다는 얘기다.

개인정보 대응의 가벼움은 결국 책임의 가벼움에서 나온다. 책임지는 사람이 없으면 사고는 반복된다. 그리고 반복되는 사고 앞에서 "내 정보는 원래 그런 것"이라고 말하는 순간, 우리는 개인정보 보호의 마지막 방어선마저 스스로 내려놓게 된다. (산업부 차장)

ysyoon@yna.co.kr