기업 과징금은 왜 피해자에게 안 가나…국고 귀속 원칙과 집단소송의 빈틈, KT·SK텔레콤이 보여준 기업 비용
기업의 불법행위로 걷은 과징금이 피해자에게 바로 지급되지 않는 이유는 과징금과 손해배상이 법적으로 다른 돈이기 때문이다. 과징금은 국가가 시장질서와 개인정보 보호 같은 공익을 위해 부과하는 행정제재이고, 손해배상은 피해자 개별 손해를 메우는 민사 구제다. 한국의 국고금 관리 원칙상 중앙행정기관이 거둔 수입은 특별한 법률 규정이 없으면 국고에 납입해야 하므로, 과징금을 행정기관이 바로 피해자에게 나눠 주는 구조는 기본적으로 허용되지 않는다.
이 구분은 제도 설명에서 끝나지 않는다. 기업 입장에서는 같은 사건이라도 과징금, 피해자 보상, 보안 투자, 가입자 이탈이 서로 다른 경로로 재무제표와 현금흐름에 반영된다. 최근 통신사 사례는 과징금이 정부로 귀속된다고 해서 기업의 피해자 부담이 사라지는 것은 아니라는 점을 분명히 보여준다.
과징금은 공익 제재, 배상은 사익 구제…돈의 목적이 다르다
대법원은 국고금 관리법 제7조를 두고 중앙관서의 장은 다른 법률에 특별한 규정이 없는 한 소관 수입을 국고에 납입해야 하고 직접 사용할 수 없다고 해석해 왔다. 이 원칙 아래에서 과징금은 행정기관의 수입으로 들어가며, 피해자별 손해액 산정과 지급은 별도의 민사 절차로 처리된다.
행정제재와 민사구제를 나눠 두는 이유도 있다. 과징금은 위반행위의 중대성, 매출 규모, 반복성, 공익 침해 정도를 기준으로 산정하지만, 손해배상은 누가 얼마나 손해를 입었는지 따져야 한다. 같은 개인정보 유출 사건이라도 어떤 이용자는 금전 피해가 없고, 어떤 이용자는 결제 피해를 입을 수 있다. 정부가 거둔 과징금을 일괄 배당하는 방식은 이런 차이를 반영하기 어렵다.
그래서 제도는 보통 두 갈래로 간다. 행정기관은 위법행위를 제재하고 재발방지 명령을 내리며, 피해자는 민사소송·공동소송·분쟁조정 같은 절차로 배상을 청구한다. 과징금이 크더라도 피해자 구제가 자동으로 이뤄지지 않는 이유가 여기에 있다.
집단소송이 있어도 배상이 자동으로 따라오지 않는 이유
한국에서 다수 피해를 한 번에 처리하는 장치는 있지만, 미국식 일반 집단소송과는 범위가 다르다. 증권 분야는 증권관련 집단소송법에 따라 일정한 손해배상청구가 가능하지만, 적용 범위가 증권 거래 과정의 분식회계·허위공시 등으로 제한된다. 반면 개인정보 보호법의 집단분쟁조정은 가능해도, 법상 단체소송은 권리침해 행위의 금지·중지를 구하는 구조가 중심이다.
즉 개인정보 침해에서 피해자들이 여러 명이라고 해도 과징금이 피해자들에게 자동 분배되는 제도는 아니다. 배상은 분쟁조정이 성립하거나, 개별 또는 공동 민사소송으로 이어져야 현실화된다. 피해자 입장에서 체감하는 불만은 여기서 나온다. 정부는 거액의 과징금을 발표하지만, 개인이 실제 돈을 돌려받는 경로는 별도로 열어야 하기 때문이다.
다만 민사구제가 아주 약한 것만은 아니다. 개인정보 보호법에는 법정손해배상 청구가 있고, 일부 법률에는 3배 또는 5배 범위의 징벌적 손해배상도 도입돼 있다. 하도급법은 기술유용의 경우 손해액 5배까지 배상 책임을 둘 수 있고, 개인정보 보호법도 손해배상 제도와 별개로 2026년 9월 11일부터 반복적·대규모 침해에 대한 강화된 과징금 체계를 시행하고 있다. 그렇더라도 행정제재금 자체가 피해자 몫으로 전환되는 것은 아니다.
KT 사례…과징금 539억 원과 피해보상, 보안투자는 서로 다른 비용이다
개인정보보호위원회는 2026년 8월 KT의 불법 펨토셀을 통한 개인정보 유출 사고에 대해 과징금 539억7900만원을 부과했다. 위원회는 1만6647명의 개인정보가 유출됐고, 문자·전화 탈취를 거쳐 약 2억4000만원의 부정 결제가 발생했다고 밝혔다. 이 539억7900만원은 정부가 부과한 제재금이고, 실제 결제 피해 2억4000만원은 별도의 피해액이다.
KT가 같은 해 3분기 실적발표 자료에서 공개한 대응 방향은 이 차이를 더 분명하게 보여준다. 회사는 전체 고객 대상 유심 교체, 불법 소액결제 피해 고객 368명에 대한 전액 배상, 개인정보 유출 정황 고객 2만2227명 대상 보상 패키지, 향후 5년간 정보보호 관련 누적 1조원 투자 계획을 제시했다. 과징금은 국고로 가지만, 피해 보상과 신뢰 회복 비용은 회사가 따로 부담하는 구조다.
기업 재무 관점에서 보면 행정제재보다 후속 비용이 더 길게 남을 수도 있다. KT의 539억7900만원 과징금은 일회성 제재에 가깝지만, 1조원 보안 투자 계획은 수년에 걸쳐 비용과 자본지출로 이어질 가능성이 크다. 피해 고객 보상과 위약금 면제 같은 조치도 매출 감소나 마케팅 비용 증가로 반영될 수 있다. 피해자에게 과징금이 직접 가지 않더라도, 기업이 실제로 부담하는 총비용은 그보다 훨씬 넓게 형성된다.
SK텔레콤 사례…국고 귀속 과징금보다 큰 ‘사적 비용’이 이미 붙었다
SK텔레콤 사례는 이 구조를 더 극적으로 보여준다. 개인정보보호위원회는 2025년 8월 SK텔레콤 개인정보 유출 사고에 대해 과징금 1347억9100만원과 과태료 960만원을 부과했다. 위원회는 2300여만명의 주요 디지털 개인정보 유출을 확인했고, 시정명령과 개선권고도 함께 내렸다.
하지만 기업 비용은 여기서 끝나지 않았다. SK텔레콤은 2025년 7월 공정공시에서 사이버 침해사고를 반영해 연간 매출 가이던스를 17조8000억원에서 17조원으로 낮추고, 고객 감사 패키지 총 5000억원 규모를 반영했다고 밝혔다. 이어 같은 달 발표한 정보보호 혁신안에서는 향후 5년간 7000억원 투자 계획을 내놨다.
연간 실적 발표에서도 사고 관련 비용이 영업이익 감소의 배경으로 언급됐다. 피해자 보상 성격의 요금 감면·혜택 제공, 유심 교체, 보안 투자 확대가 과징금과 별도로 수익성과 현금흐름에 영향을 준 셈이다. 과징금은 정부로 귀속됐지만, 실제 기업가치 훼손은 가입자 이탈 가능성, 매출 가이던스 하향, 추가 투자, 고객 보상 패키지까지 겹쳐 더 크게 나타났다.
기업 영향은 ‘벌금 액수’보다 넓다…손익·투자·규제 리스크가 동시에 움직인다
이 두 사례를 나란히 놓으면, 과징금과 배상은 기능도 다르고 재무 효과도 다르다는 점이 선명해진다. 과징금은 행정처분 확정 시점에 비교적 분명한 현금 유출로 잡히지만, 피해자 보상은 회사의 자율 보상안, 분쟁조정, 공동소송, 장래 충당부채, 매출 할인, 해지 방어 비용으로 흩어져 나타난다. 투자자는 단순히 ‘과징금 얼마’를 보는 것보다, 이후의 고객 이탈률, 보안 투자, 규제 명령 이행 비용, 브랜드 손상 비용을 함께 봐야 한다.
반례도 있다. 모든 사건에서 민사배상 부담이 과징금보다 큰 것은 아니다. 피해 입증이 어렵거나 집단분쟁조정이 성립하지 않으면, 기업은 큰 과징금을 내고도 개별 피해자 배상은 제한적으로 끝날 수 있다. 반대로 SK텔레콤처럼 고객 보상 패키지와 신뢰 회복 투자가 선제적으로 커지면, 행정제재보다 사적 비용이 더 크게 불어날 수 있다.
정책적으로 보면, 과징금을 피해자에게 직접 돌리자는 요구는 배상 공백에 대한 문제제기다. 다만 현행 법체계에서는 과징금의 국고 귀속 원칙과 피해자별 손해 산정 구조가 분리돼 있어, 이를 바꾸려면 별도 기금 설치나 특별법이 필요하다. 그 전까지 독자가 확인해야 할 현실적인 기준은 하나다. 정부가 발표한 과징금은 기업 부담의 출발점일 뿐이고, 실제 기업 영향은 그 뒤에 붙는 보상·투자·이탈 비용까지 합쳐서 봐야 한다는 점이다.
자료: 대법원, 2021. 3. 11. 선고 2020도12583 중요판결 설명; 국가법령정보센터, 국고금 관리법 제7조; 국가법령정보센터, 증권관련 집단소송법; 국가법령정보센터, 개인정보 보호법 제49조 및 관련 조문; 개인정보보호위원회, ‘㈜KT의 개인정보 유출사고’ 제재처분 의결(2026.8.27); 개인정보보호위원회, ‘SK텔레콤 개인정보 유출사고’ 제재처분 의결(2025.8.27); KT, 2025년 3분기 실적발표 자료; SK텔레콤, 연결재무제표 기준 영업실적 등에 대한 전망(공정공시, 2025.7.4); SK텔레콤, 정보보호 혁신안(2025.7.4)