5년간 개인정보 유출 8854만건… “피해 규모 비례해 과징금 가중”

[커지는 해킹 불안] 잇단 해킹에… 개보위 과징금 강화
유출 1건당 과징금 1019원꼴 그쳐… 실제 피해 비해 제재수위 너무 낮아
유출 반복-중대 유출도 과징금 높여
金총리 “신고없어도 해킹 직권조사”

정부가 앞으로 개인정보 유출 시 피해 규모에 비례해 과징금을 강화하기로 했다. 해킹 사고 발생 시 기업의 신고가 없어도 정부가 직권으로 조사하는 방안도 추진된다. 최근 SK텔레콤, KT, 롯데카드 등 대기업에서 대규모 개인정보 유출이 잇따르자 기업의 책임을 강화하고 사고의 심각성이 제재에 더 정확히 반영되도록 하겠다는 취지다.

● 유출 건당 과징금 평균 1019원 불과

22일 개인정보보호위원회(개인정보위)는 이 같은 내용이 16일 국무회의에서 확정된 123대 국정과제에 포함됐다고 밝혔다.

개인정보위는 과징금 산정 과정에서 피해 규모를 반영하는 비중을 높여, 대규모 유출 사고일수록 과징금이 더 무겁게 부과되도록 할 방침이다. 현재도 피해 규모는 고려되지만 정보 유출이 처음인 경우 기업의 구제 노력 등이 함께 평가돼 실제 피해 규모에 비해 과징금이 낮게 책정되는 경우가 많았다.

예를 들어 기업이 해킹에 대비해 내부 규정을 마련하고 미리 시스템을 업데이트하는 등 각종 노력을 했음에도 개인정보가 유출됐다면 과징금 부과 시 이를 참작했다. 하지만 앞으론 피해자 관점에서 피해 규모와 비례해 과징금을 부과하고, 유출이 반복되거나 중대할 때 과징금을 더욱 높이겠다는 것이다.

민병덕 더불어민주당 의원이 개인정보위로부터 제출받은 자료에 따르면 최근 5년간 공공·민간 부문에서 개인정보가 총 8854만3632건 유출됐다. 하지만 부과된 과징금은 877억2732만 원, 과태료는 24억9880만 원에 그쳤다. 건당으로 보면 평균 과징금이 약 1019원 수준에 불과한 것이다. 이에 수백만 건이 한꺼번에 유출되는 대형 사고가 반복되는 현실에서 제재 수위가 지나치게 낮다는 비판이 제기돼 왔다.

앞서 개인정보위가 SK텔레콤의 유심 정보 유출 사건에 대해 역대 최대 규모인 1348억 원의 과징금을 부과했으나, 전체 매출에 비하면 여전히 미미하다는 지적도 나왔다. 개인정보위 관계자는 “피해 규모를 중심으로 과징금 비례성을 강화해 실제 피해와 제재 간의 괴리를 줄일 것”이라며 “현재는 선언적 방향을 설정한 단계로, 구체적인 세부 산정 기준은 관계 부처 협의를 거쳐 마련할 예정”이라고 설명했다.

● 직권조사·디지털 잊힐 권리 강화

이날 개인정보위는 개인정보 보호를 강화하기 위한 5가지 구체적 실천 과제도 함께 내놨다.

개인정보 유출 사고가 발생하면 디지털 증거를 확보하고 분석할 ‘포렌식 랩’을 신설하고, 기업이 자료 제출을 거부하지 못하도록 강제할 수 있는 권한을 마련해 사고 원인과 피해 규모를 빨리 확인할 수 있는 시스템을 갖추기로 했다. 피해가 큰 경우에는 전체 이용자에게 즉시 유출 사실을 알리도록 해 2차 피해를 막을 계획이다.

아동·청소년의 개인정보 보호 연령은 현행 만 14세에서 18세로 높이고, 이들이 올린 온라인 글이나 게시물을 삭제해 달라고 요청할 수 있는 권리(디지털 잊힐 권리)를 실질화하기로 했다. 기업의 개인정보 보호 책임자(CPO)에게는 사내 서버와 데이터, 개인정보 관리 등에 대한 법적 권한을 부여한다.

기업이 개인정보 보호에 쓸 예산과 인력을 충분히 확보하도록 유도해 ‘사고가 나기 전’에 막을 수 있는 체계도 만든다. 아울러 인공지능(AI) 학습용 데이터 활용 기준을 마련하고 가명 정보 활용 방식을 개선해 AI·데이터 시대에 맞는 개인정보 활용과 보호의 균형을 맞출 계획이다. 중복된 규제를 정리하기로 했다.

김민석 국무총리가 22일 정부서울청사에서 열린 통신사 및 금융사 해킹사고 관련 긴급 현안 점검회의에서 발언하고 있다. 김 총리는 “기업의 신고가 있어야만 조사가 가능했던 그간의 상황을 직권으로 조사할 수 있도록 조사 권한을 강화하겠다”고 밝혔다. 뉴시스

김민석 국무총리는 이날 정부서울청사에서 열린 ‘통신사 및 금융사 해킹사고 관련 긴급 현안점검회의’에서 “기업의 신고가 있어야만 조사가 가능했던 기존 방식에서 벗어나 직권으로 조사할 수 있는 권한을 강화하겠다”며 “보안 의무 위반에 대한 제재 수위도 높여 기업의 책임성을 확실히 하겠다”고 강조했다. 이어 “관계 부처 장관들은 해킹과의 전쟁에 임한다는 각오로 대책 마련과 사태 수습에 나서 달라”고 주문했다.

임재혁 기자 heok@donga.com
송진호 기자 jino@donga.com
이윤태 기자 oldsport@donga.com