우리카드가 롯데카드보다 개인정보 유출 규모가 훨씬 적었음에도 38억원이 넘는 과징금을 더 부과받은 것으로 나타났다.

외부 침해행위로 정보가 빠져나간 롯데카드와 달리, 우리카드 사건은 회사 내부에서 영업실적을 높이기 위해 고객 정보를 조회하고 카드모집인에게 제공한 것으로 조사됐다.

5일 금융권과 카드업계에 따르면 롯데카드는 지난 1일부터 9월 15일까지 1개월 15일간 일부 카드상품의 신규 회원 모집 등을 제한하는 영업정지 처분을 받고 있다. 금융위원회와 한국거래소에 제출한 주요사항보고서에는 제재 사유로 ‘금융거래의 안전성 확보의무 및 신용정보의 보호의무 위반과 이에 따른 대량 신용정보 유출’이 적시됐다. 공시상 영업정지 대상 영업수익은 2025년 별도 기준 2조6천615억원이며, 영업정지 금액은 660억6천972만원이다.

정상호 대표이사가 이끄는 롯데카드는 개인정보보호위원회로부터 과징금 96억2천만원과 과태료 480만원을 부과받았다. 유출 규모는 약 297만명이며, 회사가 공시한 손해배상 소송은 8건, 소송가액은 27억3천20만원이다.

■ 유출은 39분의 1인데 과징금은 1.4배…내부에서 영업용 조회

반면 진성원 대표가 이끄는 우리카드는 개인정보보호위원회로부터 134억5천100만원의 과징금을 부과받았다. 롯데카드보다 38억3천100만원 많은 금액이다.

우리카드가 공시한 정보 유출 규모는 7만5천676건으로 롯데카드의 약 39분의 1에 불과하지만, 과징금은 오히려 1.4배에 달했다.

두 사건의 과징금 규모가 뒤집힌 것은 사고 성격이 달랐기 때문이다. 롯데카드는 외부 침해행위로 개인정보가 유출된 반면, 우리카드는 내부에서 영업 목적으로 고객 정보를 조회한 뒤 카드모집인에게 제공한 것으로 조사됐다.

우리카드는 사업보고서에서 2024년 1~4월 가맹점 대표자의 고객명과 휴대전화번호, 우리카드 보유 여부 등 7만5천676건이 신규 회원 모집을 목적으로 카드모집인에게 유출됐다고 밝혔다. 회사는 2024년 4월 26일 대고객 사과문을 내고 자체 감사에 착수했다.

■ 개인정보위 “최소 20만7천538명 조회…동의 없는 정보도 7만4천692명”

개인정보위 조사 결과는 회사가 공시한 유출 규모보다 더 많은 정보가 영업 과정에서 조회됐다는 점을 보여준다. 우리카드는 영업실적을 높이기 위해 최소 20만7천538명의 가맹점주 정보를 조회했으며, 이 가운데 7만4천692명은 마케팅 활용에 동의하지 않은 것으로 조사됐다.

개인정보위가 확인한 20만7천538명은 카드모집인에게 실제 전달된 7만5천676건과 달리, 영업 과정에서 조회된 정보까지 포함한 규모다.

특히 우리카드 인천영업센터는 2022년 7월부터 2024년 4월까지 가맹점 관리 프로그램을 이용해 최소 13만1천862명의 가맹점주 개인정보를 조회했다. 이후 2024년 1월부터 4월까지 약 3개월간 7만5천676명의 정보를 총 100차례에 걸쳐 카드모집인에게 이메일로 전달한 것으로 나타났다.

적용된 법령에서도 사건의 성격이 드러난다. 개인정보 보호법상 수집 목적 외 이용·제공 제한, 주민등록번호 처리 제한, 안전조치 의무, 개인정보 누설·부당이용 금지 조항이 함께 적용됐다. 외부 침해를 막지 못한 데 그친 것이 아니라 내부에서 고객정보를 영업 목적으로 조회·이용하고 카드모집인에게 제공한 행위가 함께 문제 된 것이다.

■ 과징금 납부하고도 소송…금융위 추가 제재도 변수

우리카드는 개인정보보호위원회에 과징금 134억5천100만원을 납부했지만, 처분 자체는 행정소송으로 다투고 있다. 회사는 2026년 3월 분기보고서에서 지난해 10월 과징금을 납부했으며, 행정소송 결과에 따라 최종 처분이 확정될 예정이라고 밝혔다.

금융위원회의 추가 제재 가능성도 남아 있다. 우리카드는 금융위로부터 추가 과징금이 부과될 수 있지만 현재로서는 결과를 예측하기 어렵다고 공시했다. 금융당국은 우리카드에 대한 검사를 마치고 후속 절차를 진행 중인 것으로 알려졌다.

반면 롯데카드는 지난달 31일 금융위 정례회의에서 업무정지 기간이 당초 4개월 15일에서 1개월 15일로 감경되고 과징금 50억원이 확정됐다. 금융위는 기존 제재 사례와의 형평성, 사고 이후 수습 노력, 금융시장과 금융소비자에 미치는 영향 등을 감경 사유로 제시했다.

우리카드가 이미 납부한 134억5천100만원은 2025년 연결 당기순이익 1천500억원의 약 9%에 해당한다. 다만 개인정보 유출 자체는 진성원 대표 취임 전인 2022년 7월부터 2024년 4월 사이 발생했다. 현재 진 대표 임기 중에는 과징금 소송과 금융위 추가 제재 대응이 이어지고 있다.

한편 우리카드 모회사인 우리금융지주는 올해 상반기 연결 당기순이익 1조3천645억원을 기록했다. 우리카드에 대한 금융위 추가 제재 가능성이 남아 있는 만큼, 향후 최종 제재 수위와 행정소송 결과가 회사의 추가 비용 부담을 좌우할 전망이다.