KT·LG유플러스, 개인정보 유출되자 '기록'부터 싹 지웠다
조사 방해 막을 제도 필요성... 기업 책임 강화 목소리 커져
집단소송·징벌배상 도입 요구... 개인정보 보호체계 시험대
[지데일리] 개인정보를 지켜야 할 통신사가 오히려 은폐 의혹의 중심에 섰다.
KT와 LG유플러스의 개인정보 유출 대응 과정에서 드러난 서버 로그 삭제와 자료 폐기 정황을 두고 참여연대가 강력한 비판을 제기하며 철저한 책임 추궁을 요구하고 나섰다.
개인정보보호위원회는 30일 불법 팸토셀 관리 의무를 위반해 1만6647명의 민감한 개인정보를 유출한 KT에 539억7900만원의 과징금을 부과했다.
또한 악성코드 감염 사실을 확인하고도 이를 숨기기 위해 로그를 삭제하고 서버를 폐기한 KT와 LG유플러스에 대해 각각 고발 조치와 수사의뢰 처분을 내렸다.
이번 사건은 개인정보 유출 피해가 특정 가입자에게만 국한되지 않았다는 점에서 심각성이 크다. KT에서는 해킹으로 네트워크 내부 38개 서버가 악성코드에 감염된 정황이 확인됐고, 이 과정에서 368명이 약 2억4000만원 규모의 무단결제 피해를 입었다.
특히 KT가 2024년 3월 감염 사실을 파악한 뒤 서버 10대의 로그를 삭제하면서 전체 가입자의 개인정보 유출 여부를 확인하기 어려워졌다는 점이 핵심 쟁점으로 떠올랐다.
참여연대는 KT가 개인정보보호법을 위반하면서까지 서버 기록을 삭제한 행위 자체가 전체 가입자의 정보 유출 가능성을 보여주는 정황이라고 지적했다.
기업이 사고 원인을 규명해야 할 시점에 관련 자료를 없앤다면 피해 규모와 책임 범위를 명확히 밝히기 어려워지고, 이는 개인정보 보호 제도의 근간을 흔드는 행위가 될 수 있다.
LG유플러스 역시 개인정보보호위원회의 조사 착수 전에 APPM 서버 등 관련 시스템의 운영체제를 재설치하거나 폐기한 사실이 문제로 지적됐다.
보안 사고가 발생했을 때 기업은 신속한 피해 차단과 함께 객관적인 조사를 위한 자료 보존 의무를 다해야 한다. 하지만 자료 확보 이전에 서버 변경이나 폐기가 이뤄지면 감독기관의 조사 역량이 약화되고 피해자들은 정확한 피해 사실조차 확인하기 어려워진다.
참여연대는 이번 사안을 기업이 책임을 회피하기 위해 증거를 없앤 행위로 규정하며 강력한 처벌을 요구했다.
통신사는 국민 생활과 밀접한 서비스를 제공하는 만큼 개인정보 관리 책임이 일반 기업보다 더욱 무겁다. 막대한 양의 개인정보를 보유한 기업이 보안 투자를 소홀히 하고 사고 이후 대응 과정에서 자료 관리까지 제대로 하지 않는다면 같은 문제가 반복될 가능성이 높다.
현재 개인정보보호위원회는 조사 과정에서 방해 행위를 처벌할 수 있는 제도 마련을 추진하고 있다. 그러나 사고 발생 후 제도를 보완하는 방식만으로는 기업의 은폐 행위를 막는 데 한계가 있다는 지적도 나온다. 감독기관의 조사 권한 강화와 함께 기업 내부의 보안 관리 체계를 상시 점검할 수 있는 장치가 필요하다.
특히 개인정보 유출 피해자가 직접 권리를 행사할 수 있는 집단소송제도와 징벌적 손해배상제도 도입 논의도 다시 힘을 얻고 있다.
현재 구조에서는 대규모 피해가 발생해도 기업이 부담하는 비용과 책임이 충분하지 않다는 비판이 이어져 왔다. 기업이 개인정보 보호를 비용이 아닌 생존과 직결된 경영 과제로 인식하도록 만들기 위해서는 강력한 책임 체계가 필요하다는 목소리가 커지고 있다.
이번 KT와 LG유플러스 사태는 개인정보 보호가 기술 문제에만 머무르지 않고 기업 윤리와 법 집행의 문제라는 점을 보여준다.
국민의 정보가 기업의 자산처럼 취급되는 현실에서 보안 사고 이후 책임 있는 대응과 투명한 공개는 선택이 아니라 의무다. 앞으로 정부와 국회가 제도 개선을 통해 기업의 은폐 가능성을 차단하고 피해자가 제대로 구제받을 수 있는 환경을 마련해야 한다는 요구가 나온다.