롯데카드가 주민등록번호 암호화 조치를 하지 않아 45만 명의 주민등록번호를 포함한 약 297만 명의 개인정보가 유출돼 개인정보보호위원회로부터 96억 2천만 원의 과징금과 480만 원의 과태료를 부과받았다. 이번 결정은 금융감독원이 통보한 신용정보 유출 사건을 계기로 신용정보법 적용 여부와 주민등록번호 처리의 적정성이라는 두 축으로 나뉘어 조사된 결과다. 개인정보위는 주민등록번호 처리 제한과 암호화 미비만을 판단해 과징금 산정 기준을 온라인 결제 서비스 관련 매출로 한정했다. 행정적 판단의 범위에 따라 제재 규모가 달라지는 구조는 투자자 입장에서 규제 리스크를 가늠하기 어렵게 만든다.
조사는 로그 파일에 주민등록번호를 평문으로 기록하고 암호화 조치가 충분치 않았던 관행이 대규모 유출로 이어졌다고 결론지었다. 현행법은 주민등록번호 처리를 엄격히 제한하는데도 결제 과정 로그에까지 민감정보가 남아 있는 점이 문제로 지적됐다. 행정기관은 매출 범위를 특정 서비스로 좁혀 과징금을 산정했는데 이런 기준은 업계 간 형평성 논란을 불러왔다. 보안체계와 로그 관리가 수익 모델의 일부로 평가되는 상황에서 기업들은 기술적 보완과 내부통제 강화를 병행해야 한다.
지난해 SK텔레콤이 유사한 대규모 유출로 1천348억 원 안팎의 과징금을 받은 사례와 이번 결정이 비교되며 형평성 논쟁이 거세졌다. 핵심 원인은 개인정보보호법과 신용정보법 등 특별법 우선 원칙과 과징금 산정에 포함된 매출 범위 해석 차이로 풀이된다. 규제의 잣대가 사건별로 달라지면 투자자들은 벌금 수준과 재무영향을 예측하기 어려워지는데, 이는 주가 변동성으로 연결될 수 있다. 그렇다면 무엇을 기준으로 리스크를 평가해야 할까라는 질문에 대해 업계는 제재 기준의 명확화를 요구하고 있다.
한편 SK텔레콤의 에이닷 전화가 LG유플러스의 익시오보다 월간 이탈률이 낮아 플랫폼 유지율 측면에서 우위를 보이는 점은 투자 판단에 영향을 준다. 안드로이드 기준으로 에이닷의 1개월 이탈률은 11.5% 수준인 반면 익시오는 31.8%에 달해 서비스 경쟁력의 차이가 명확하다. 규제 리스크와 서비스 경쟁력은 서로 다른 축이지만 둘 다 기업가치에 반영되는 요소라는 점을 투자자는 이해해야 한다. 투자자는 향후 규제 판단의 범위, 매출 기준의 적용 방식, 그리고 고객 유지율과 같은 실질적 지표를 함께 관찰해야 한다.