"공공기관 정보유출 처벌, 민간기업만큼 강화해야"

법원 해킹사태 이후 목소리 커져
피해규모 커도 형사책임 안 물어
"수장 징계 등 재발 방지 힘써야"

[서울경제]

사상 초유의 사법부 전산망 해킹에 따른 개인정보 유출 사태를 조사 중인 개인정보보호위원회가 민간 기업에 대한 처벌 수위에 준하는 강도 높은 제재를 내려야 한다는 목소리가 커지고 있다. 국민의 정보를 대량 보유하고 있는 정부 기관의 중요성을 고려해 기관 수장에 대한 징계를 포함하는 엄중한 대응으로, 공공기관의 개인정보 유출 재발을 방지할 필요가 있다는 것이다.

4일 정보기술(IT)업계에 따르면 개인정보보호위는 지난해 12월 대법원 법원행정처로부터 전산망 해킹에 따른 개인정보 유출 신고를 받으면서 관련 사안을 조사 중이다. 개인정보보호위는 법원 전산망의 개인정보가 북한 해킹조직 '라자루스'로 추정되는 집단에 의해 대량 유출된 것과 관련해 개인정보보호법 위반 여부 등을 따져보고 있다.

이를 두고 정보보호 분야 전문가들은 공공기관의 개인정보 유출 사태에 대한 개인정보보호위의 강화된 처벌이 필요하다고 입을 모은다. 최근 선거관리위원회와 행정안전부의 ‘정부24’ 등 정부 기관을 중심으로 개인정보 유출 문제가 끊이지 않는 만큼 강도 높은 제재 방안을 강구할 필요가 있다는 것이다. 전문가들은 사법부 전산망 해킹 사건의 경우 2021년부터 2년 간 1000기가바이트(GB)가 넘는 규모의 자료가 유출됐지만 확인·신고가 늦어진 점과 대법원의 늦장 대응으로 개인정보 유출 피해 내역 확인이 지체된 점 등을 고려하면 강한 제재 사유가 충분하다고 보고 있다.

개인정보보호위는 개인정보가 유출되면 개인정보보호법에 따라 시정조치나 과징금을 부과할 수 있다. 하지만 정부 기관은 민간기업처럼 매출액을 산정하기 힘들다 보니 과징금 부과(최대 20억 원)에 한계가 있을 수 밖에 없어 ‘책임자 고발 및 징계 권고’ 조치 등도 적극 검토할 필요가 있다는 지적이 나온다. 개인정보보호법 65조 2항에 따르면 개인정보보호위는 개인정보 보호와 관련된 법규의 위반 행위가 있다고 인정될 만한 상당한 이유가 있을 때에는 책임이 있는 자(대표자 및 책임있는 임원 포함)자를 징계할 것을 해당 개인정보처리자에게 권고할 수 있으며 권고를 받은 사람은 이를 존중해 그 결과를 개인정보위에 통보해야 한다. 개인정보보호위가 공공기관 수장에 대한 징계를 권고할 경우 2022년 수원시 권선구 공무원의 흥신소 개인정보 유출 사건 이후 두 번째 사례가 된다.

황석진 동국대 국제정보보호대학원 교수는 “2014년 카드사 개인정보 유출 사건 당시 카드사 대표들에게 형사 책임을 물었지만 공공기관은 이조차 어렵다"면서 “과징금 부과 만으로는 한계가 있는 만큼 기관 책임자에 대한 징계를 요구하거나 최소 1금융권에서 사용하는 수준의 보안 시스템으로 재정비하는 등 다양한 조치가 필요하다"고 강조했다. 김승주 고려대 정보보호대학원 교수는 “개인정보보호법을 적용할 때 공공기관은 과징금·과태료 처분뿐만 아니라 책임자 징계 부분도 민간 기업과 달라 강화돼야 한다는 지적이 제기돼왔다”며 “민간 기업처럼 임원급(기관 고위직)에 개인정보 책임을 지워야 한다”고 말했다.

윤지영 기자 yjy@sedaily.com