[현장에서] 개인정보 유출, 과징금만으로 충분한가

(서울=연합인포맥스) ○…6천247억 원.

개인정보보호위원회가 지난 11일 개인정보 유출 사고와 관련해 쿠팡에 부과한 제재 액수다. 기자도 마찬가지고 너나없이 기사에 이 숫자를 실었다. 역대 최대라고도, 특정 기업보다 센 과징금이라고도 썼고, 규모가 적정한지 형평성에 어긋나는지에 대해서도 의견들이 오갔다.

실제 개보위가 쿠팡의 개인정보 유출 건에 부과한 과징금은 4천236억 원이고, 6천247억 원은 이용자 온라인 활동 기록 무단 수집으로 부과된 2천11억 원이 합산한 결과다. 그럼에도 숫자는 작지 않다. 다만 기사의 중심이 숫자에 쏠리면서 '그럼 다른 곳들은 얼마를 내야 하냐'에 초점이 맞춰졌다.

이달 들어 티빙과 CU 편의점 택배 서비스를 운영하는 BGF네트웍스의 유출 사고에 대한 개보위 조사가 진행 중이다. 벌써 쿠팡의 제재 수위가 가늠자가 되고 있다. 두 사고 모두 온라인 주민등록번호라고 불리는 연계정보(CI)까지 유출됐다고 전해지면서 민감정보 유출에 따른 제재 규모가 작지 않을 것이라는 예상도 나온다. 논의의 중심이 사고 자체가 아니라 액수로 옮겨가고 있다.

'왜 자꾸 보안이 뚫리는가'에 대해 정부는 익숙한 패턴을 반복해왔다. 처벌 수위를 높이는 것이다. 2011년 개인정보를 규정하고 보호하자는 취지에서 개인정보보보호법이 제정됐고, 2023년에는 법이 개정되며 과징금 산정기준을 위반행위 관련 매출액에서 전체 매출액으로 변경하고 위반행위와 관련 없는 매출액을 제외하도록 했다. 오는 9월부터는 반복적이거나 중대한 법 위반에 대해서는 매출액의 최대 10%까지 과징금을 물릴 수 있게 됐다.

방향이 틀렸다는 말은 아니다. 처벌이 무거우면 기업이 보다 책임의 무게를 깨닫고 보안 투자 같은 개인정보 보호에 주의를 기울일 수 있다. 막대한 과징금은 기업 입장에서 무시하기 어려운 커다란 비용이기 때문이다.

다만 처벌 강화만으로 문제가 해결되는지는 다시 생각해볼 문제다. 제재가 강화됐어도 취약점을 노린 개인정보 유출 사고는 반복되고 있다. 과징금 부과 이후에는 기업들의 행정 소송 등 법적 대응도 이어질 전망이다.

개인정보보호위원회도 한계를 인식하고 사전 예방 체계로 나아가고자 한다. 최근 개보위는 예방 중심의 개인정보 관리체계로 전환한다며 개인정보 처리 분야를 위험군별로 나누고, 차등 점검 및 관리 체계를 도입한다고 밝혔다. 고위험군 대상으로는 정기 수시 점검을 진행하고 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 의무화하는 등 시스템을 마련한다.

기업에 징수한 과징금의 일부를 피해자 보호 기금으로 활용하는 방안도 논의되고 있다. 다만 과징금을 활용해 피해자를 돕게 되면 정보 유출 기업을 도와주는 격이 될 수 있다는 우려도 나온다.

창을 든 해커들이 점점 정교한 기술을 개발해 보안을 뚫고, 방패를 든 전문가들은 공격을 막기 위해 새로운 방어책을 마련한다. 창과 방패의 경쟁에서 이길 수 있다면 좋겠지만, 질 수도 있다. 지더라도 피해를 줄일 수 있는 방향으로 나아가야 하지 않을까.

전문가들은 데이터가 통째로 유출되더라도 암호화 등으로 악용하기 어렵게 만들고, 빠른 탐지와 복구 체계를 마련해야 한다는 둥 '회복력'에 집중해야 한다고 제안하곤 한다. 기업들도 핵심 키 관리 등 기본적인 보안 체계부터 제대로 작동하고 있는지 스스로 점검해야 한다는 목소리도 나온다.

사고를 낸 기업을 처벌하는 일은 필요하다. 그러나 처벌만으로는 부족하다. 앞으로의 개인정보 보호 정책은 '얼마나 크게 책임을 물을 것인가'를 넘어서는 데서 출발해야한다. (산업부 정수인 기자)

sijung@yna.co.kr