KT·LGU+처럼 정보유출 증거 없애도 제재 한계···개인정보위 "유사 사례 더 있을 것"

송경희 위원장, 조사 전 증거 은닉·폐기 제재 미비 인정
공공기관 128곳서 772만건 유출···과징금 45억원 그쳐

송경희 개인정보보호위원장이 21일 서울 영등포구 국회 정무위원회에서 열린 비금융 분야 종합감사에서 물을 마시고 있다. / 사진 = 연합뉴스

[시사저널e=김용수 기자] 개인정보 유출 사고가 발생한 기업이 정부 조사에 앞서 관련 증거를 은닉하거나 폐기하더라도 이를 직접 제재할 수단이 불충분하단 지적이 나왔다. 개인정보보호위원회(개인정보위)는 KT와 LG유플러스의 조사방해 및 증거 인멸 문제와 관련해 현행 제도의 한계를 인정하면서 유사 사례가 더 있을 것으로 추정했다. 공공기관 128곳에서 772만건의 개인정보가 유출됐지만 부과된 과징금은 45억원에 그친 사실도 드러나면서 민간기업과 공공기관에 대한 제재 실효성이 함께 도마에 올랐다.

21일 국회 정무위원회의 비금융 분야 종합국정감사에서 강준현 더불어민주당 의원은 개인정보 유출 사고가 발생한 기업이 개인정보위의 조사 착수 전에 관련 자료를 은닉하거나 폐기하는 행위에 대한 제재 수단이 부족하다고 지적했다.

강 의원은 "조사 전에 자료를 은폐하거나 은닉시켜 버리면 제재 방법이 전혀 없다"며 "이렇게 되면 정상적으로 신고한 기관만 불이익을 받는 구조"라고 비판했다.

이어 "기존 조사 전에 자료를 은폐한 업체에 어떤 조치가 가능하냐. 그냥 수사에 맡기고 마느냐"고 따져 물었다.

이에 송경희 개인정보위원장은 "전체적인 제재를 결정할 때 신속하게 조사에 협조했는지, 방해행위가 있었는지는 과징금 산정 시 고려된다"면서도 "적극적으로 은닉·폐기에 대한 것들을 제재하기에는 불충분하기 때문에 반드시 이런 제도가 필요하다"고 답했다.

특히 송 위원장은 통신업계 외에도 유사 사례가 있을 가능성을 언급했다. 강 의원이 통신사 외에 이 같은 사례가 많은지를 묻자 송 위원장은 "수사 의뢰할 정도로 정확한 증거가 나온 사건은 많지 않지만, 그렇게 추정되는 사건은 더 있을 것으로 본다"고 밝혔다.

앞서 개인정보위는 지난 7월 KT가 2024년 악성코드 감염 사실을 신고하지 않은 데 이어 일부 서버의 로그를 삭제하고 거짓 자료를 제출한 사실을 확인해 고발을 결정했다. LG유플러스에 대해서도 개인정보위 조사 착수 전 관련 서버의 운영체제(OS)를 재설치하거나 폐기해 증거를 인멸했다며 수사기관에 수사를 의뢰했다.

KT는 지난해 불법 소형 기지국(펨토셀)을 통한 개인정보 유출로 가입자 1만6647명의 정보가 유출되고 무단 소액결제 피해까지 발생한 사실이 확인돼 개인정보위로부터 539억7900만원의 과징금을 부과받았다. 다만 KT의 로그 삭제 등에 대한 고발은 별도의 악성코드 감염 사고와 관련된 조치다.

문제는 개인정보위가 조사에 착수한 이후 이뤄진 방해행위와 달리 조사 전에 증거를 은닉하거나 폐기한 행위에 대해서는 현행 제재 수단이 충분하지 않다는 점이다. 개인정보위는 지난 7월 KT와 LG유플러스에 대한 처분을 발표하면서 증거 은닉·폐기 등 조사방해 행위를 막기 위한 제도 개선을 연내 추진하겠다고 밝힌 바 있다.

이날 공공기관의 개인정보 유출 사고에 대한 제재 수준도 질타를 받았다.

조정훈 국민의힘 의원은 2022년부터 올해 8월까지 공공기관 128곳에서 개인정보 유출 사고 128건이 발생했으며, 유출 규모는 772만건에 달한다고 밝혔다. 같은 기간 이들 기관에 부과된 과징금은 45억원으로 집계됐다.

조 의원은 민간기업과 공공기관에 적용되는 제재 수준의 차이를 지적하며 공공기관도 개인정보 유출에 따른 책임을 강화해야 한다고 주장했다. 개인정보 보호를 총괄하는 개인정보위에서도 외부 해킹이 아닌 시스템 오류로 개인정보 유출 사고가 발생한 점을 들어 감독당국의 전문성과 관리 역량에도 의문을 제기했다.

특히 공공기관이 개인정보를 유출한 경우 단순한 보상 차원을 넘어 손해배상 책임을 져야 한다고 강조했다. 민간기업에는 개인정보 유출에 따른 손해배상 책임을 요구하면서 공공기관에는 다른 기준을 적용해서는 안 된다는 취지다.

이에 임기근 국무조정실장은 공공기관의 개인정보 보호에 더 강한 경각심이 필요하다며 일반적인 법 원칙상 손해배상 책임을 인정할 수 있지만, 개별 사안에 대해서는 별도 검토가 필요하다고 답했다.

송 위원장 역시 "배상에 관한 입법이 확정되면 배상으로 돼야 한다"고 밝혔다.

공공기관의 개인정보 유출에 대비한 사이버보험 가입 의무화 방안도 거론됐다. 조 의원은 공공기관을 중심으로 사이버보험 가입을 의무화한 뒤 민간기업으로 확대하는 방안을 검토해야 한다고 촉구했다.