‘최대 수준’ 예고했지만 결론 못냈다…롯데카드 제재 장기전 가나

4.5개월 산식 놓고 법리 공방

가중처벌 적용 놓고 추가 논의

외부 해킹 여부도 방어 논리

금융감독원이 롯데카드 해킹 사고와 관련한 제재심의위원회를 열었지만 최종 제재 수위를 확정하지 못했다.ⓒ롯데카드

금융감독원이 롯데카드 해킹 사고와 관련한 제재심의위원회를 열었지만 최종 제재 수위를 확정하지 못했다.

영업정지 4.5개월이 담긴 중징계안에도 결론이 미뤄지면서, 반복 위반 가중 적용 여부가 핵심 쟁점으로 부상했다.

17일 금융권에 따르면 금감원 제재심은 전날 롯데카드 해킹 사고 안건을 심의했지만 제재 수위를 결론내지 못하고 추가 논의를 이어가기로 했다.

이날 제재심에는 해킹 사고 당시 대표였던 조좌진 전 대표와 최근 선임된 정상호 신임 대표가 모두 출석한 것으로 전해졌다.

롯데카드는 앞서 금감원으로부터 영업정지 4.5개월과 과징금 50억원, 인적 제재 등을 골자로 한 제재안을 사전 통지받은 상태다.

당초 금융권 안팎에서는 위반 사실관계가 비교적 명확해 이번 제재심에서 큰 틀의 결론이 날 가능성이 거론됐지만, 일부 사안에서 법리 적용을 둘러싼 다툼 여지가 남아 추가 심의가 필요했던 것으로 알려졌다.

이번 제재의 핵심 쟁점은 영업정지 4.5개월 산정의 근거로 꼽힌다. 금융당국은 법 위반의 반복성에 무게를 두고 있는 것으로 알려졌다.

금감원이 사전 통지한 영업정지 4.5개월은 여신전문금융업법 시행령상 가중처벌 규정이 적용된 결과로 해석된다.

현행 규정상 동일하거나 유사한 위반 행위가 반복될 경우 기존 제재 수준의 최대 50%까지 가중할 수 있다.

롯데카드는 2014년 고객정보 유출 사태 당시 3개월 영업정지를 받은 바 있다.

금융당국은 이번 사고 역시 유사 사례로 보고 3개월에 1.5개월을 더한 수준의 제재안을 제시한 것으로 풀이된다.

반면 롯데카드는 유출 주체가 다르다는 점을 들어 방어 논리를 펴고 있는 것으로 전해진다.

2014년 사태는 협력업체 직원에 의한 내부통제 미흡 성격이 강했지만, 지난해 사고는 외부 해킹에 따른 정보 침해이자 공격에 의한 피해라는 점에서 동일·유사 위반으로 보기 어렵다는 주장이다.

유출 주체와 책임 범위를 감안하면 반복 위반으로 보고 가중처벌하는 것은 과도하다는 취지다.

또 롯데카드는 정보 유출 이후 피해 최소화와 보상 조치를 신속히 마련했고, 현재까지 2차 피해나 부정사용 사례가 확인되지 않았다는 점도 강조한 것으로 알려졌다.

이번 안건은 지난해 9월 발생한 롯데카드 해킹 사고에 따른 것이다.

당시 온라인 간편결제 시스템이 해킹되면서 약 297만명의 고객정보가 유출됐고, 이 가운데 약 45만명은 주민등록번호가 함께 노출됐다.

카드번호와 유효기간, CVC 등 핵심 결제정보가 유출된 고객도 약 28만명 수준으로 파악됐다.

앞서 개인정보보호위원회는 지난달 롯데카드에 과징금 96억2000만원과 과태료 480만원을 부과했다.

여기에 금융당국 제재까지 확정될 경우 롯데카드는 개인정보위와 금융당국 양측의 제재 부담을 동시에 안게 된다.

업계 안팎에서는 과징금보다 영업정지 수위에 더 촉각을 곤두세우고 있다.

과징금은 일회성 비용으로 반영할 수 있지만, 영업정지는 신규 회원 모집과 카드대출 신규 취급, 카드슈랑스·통신판매 등 부수업무 제한으로 이어질 수 있어 회원 기반과 이용실적, 수익성 전반에 장기적인 영향을 줄 수 있기 때문이다.

금융권 관계자는 “사전 통지된 제재 수위가 워낙 강했던 만큼 이번 제재심에서 결론이 나지 않았다는 점 자체가 변수”라며 “최종 수위가 일부 조정될 가능성은 열려 있지만, 결국 쟁점은 반복 위반 가중 적용을 어디까지 인정하느냐에 달려 있다”고 말했다.

한편 제재심은 금감원장 자문기구로 법적 효력이 없는 만큼, 추가 논의에서 제재안이 정리되면 이후 금융위원회 정례회의 의결을 거쳐 최종 수위가 확정된다.