둘째, 입법의 측면에 있어서는 영미식의 ‘징벌적 손해배상(civil penalty)’ 제도의 도입도 고려해 볼 수 있다. 이는 사업자의 불법행위와 관련하여 실제 손해배상액 외에 추가적으로 형벌적 성격을 가지는 손해배상액을 부과하는 제도이다. 물론 이는 기본적으로 사업자에게 과실이 있는 경우에 한정되어야 할 것이다.
셋째, 규제정책 운영에 있어 다소 형식적인 보호조치의 기준을 관련 세부 법령들에 세밀하게 규정하기보다는, 원칙적으로 사업자에게 보안업무 관리체계 구축에 관한 자율성을 부여하되, 문제 발생시 엄격하게 책임을 묻는 방식의 규제가 바람직할 것이다. 이는 법령상 세부 기준을 강조할 경우 형식적으로 법 규정을 준수하였다는 사실만으로 사실상 사업자들을 면책시켜주는 결과가 발생할 수 있기 때문이다.
해킹을 통한 개인정보의 유출은 원칙적으로 제3자의 악의적 침해행위에 의한 것이기 때문에 사업자도 원칙적으로는 피해자라고 할 수 있다.
그러나 사업자들은 현대사회에서 그 중요성이 더해가는 이용자들의 개인정보를 활용하여 수익을 누리고 있기 때문에, 개인정보 유출 방지에 만전을 기해야 한다.
이러한 측면에서 사업자들이 현재의 기술수준을 고려할 때, 실질적으로 침해행위에 대응할 수 있도록 유도하는 방향으로 규제정책을 운영할 필요성이 있다.