개인정보 유출 사고가 발생했을 때 개인정보 처리를 외부 업체에 맡긴 원청기업에 어디까지 책임을 물어야 하는지를 두고 전문가와 산업계가 엇갈린 입장을 내놨다. (왼쪽) 김승주 고려대학교 정보보호대학원 교수 (오른쪽) 권세화 한국인터넷기업협회 정책실장 사진=위즈경제

[위즈경제] 장석찬 기자 =개인정보 유출 사고가 발생했을 때 개인정보 처리를 외부 업체에 맡긴 원청기업에 어디까지 책임을 물어야 하는지를 두고 전문가와 산업계가 엇갈린 입장을 내놨다.

전문가는 수탁업체에서 중대한 사고가 반복될 경우 원청기업 최고경영자(CEO)에게 직접 관리 책임을 물을 수 있어야 한다고 주장했다. 

반면 산업계는 위장 취업이나 적법한 사실조회 절차의 악용까지 개별 기업이 모두 차단하는 것은 현실적으로 어렵다며 획일적인 책임 확대에 신중해야 한다고 맞섰다.

정부는 사후 처벌 수위를 높이는 것만으로는 개인정보 유출을 막는 데 한계가 있다며 서비스 기획·설계 단계부터 위험을 줄이는 예방 정책을 강화하겠다고 밝혔다.

이 같은 의견은 지난 22일 국회에서 열린 ‘3500만 배달앱 시대, 내 사생활은 안전할까’ 개인정보보호법 개정 정책토론회의 종합토론에서 나왔다.

◇ 원청 CEO 책임론에 산업계 신중론…“고의적 범죄까지 무한책임은 비현실적”

개인정보 처리를 외부 업체에 맡긴 원청기업의 관리·감독 책임 범위를 두고 전문가와 산업계는 뚜렷한 시각차를 보였다.

김승주 고려대 정보보호대학원 교수는 개인정보 유출 사고가 발생했을 때 원청기업이 수탁업체의 관리 소홀을 앞세워 책임을 넘기는 이른바 ‘꼬리 자르기’가 반복될 수 있다고 지적했다.

개인정보 처리 업무를 위탁했더라도 원청기업이 수탁업체의 접근 권한과 보안 체계, 개인정보 취급 과정을 실질적으로 관리·감독해야 한다는 주장이다.

김 교수는 “피해가 반복되거나 인명 피해 등 중대한 사고가 발생할 경우 중대재해처벌법의 철학을 벤치마킹해 원청기업 CEO에게 강력한 관리 책임을 물을 수 있는 법적 근거가 필요하다”고 강조했다.

반면 권세화 한국인터넷기업협회 정책2실장은 최근 개인정보 유출 사태에 대한 산업계의 책임감을 나타내면서도 고의적인 범죄와 제도 악용까지 개별 기업이 모두 사전에 차단하는 데에는 현실적인 한계가 있다고 주장했다.

권 실장은 “내부 침투를 목적으로 한 위장 취업 범죄나 법원의 적법한 사실조회 명령까지 개별 기업이 일일이 차단하고 심사하는 것은 현실적으로 어렵다”고 말했다.

플랫폼 산업의 복잡한 구조도 책임 범위를 정할 때 고려해야 한다고 강조했다.

배달 플랫폼에는 플랫폼 기업뿐 아니라 소상공인과 배달대행사, 포스(POS) 업체, 라이더 등 여러 주체가 참여한다. 개인정보가 여러 사업자와 시스템을 거치는 구조에서 특정 원청기업에 일률적으로 책임을 부과하면 시장 위축과 소상공인의 부담으로 이어질 수 있다는 설명이다.

권 실장은 배달 완료 후 24시간 이내 개인정보 마스킹과 2단계 인증 등 업계가 자체적인 보호 조치를 시행하고 있다며 “무조건적인 처벌보다는 자율규제가 실질적으로 작동할 수 있도록 제도적·기술적 지원을 강화해야 한다”고 밝혔다.

◇ 개인정보위 “사후 제재만으론 한계…예방 중심 정책 전환”

​ 

고낙준 개인정보보호위원회 예방조정심의관이 22일 국회의원회관 제3간담회의실에서 진행된 개인정보보호법 개정 정책 토론회에서 토론을 진행하고 있다. 사진=위즈경제

고낙준 개인정보보호위원회 예방조정심의관은 사고 발생 이후 과징금이나 처벌을 부과하는 방식만으로는 개인정보 유출을 충분히 막기 어렵다고 진단했다.

고 심의관은 서비스 기획과 설계 단계부터 개인정보 보호 요소를 반영하는 ‘프라이버시 바이 디자인(PbD)’을 도입하고, 개인정보 처리 위험에 따라 차등적으로 사전 실태점검을 실시하는 조직을 신설해 선제 대응하고 있다고 설명했다.

공식 행정 절차나 공공데이터 조회 체계를 편법적으로 활용해 개인정보를 수집하는 새로운 유형의 위험도 언급했다.

고 심의관은 법원의 사실조회나 행정기관의 자료 제공처럼 외형상 적법한 절차가 범죄나 사적 보복에 악용되는 문제에 대응하기 위해 관계 부처와 범정부 차원의 종합적인 논의를 이어가겠다고 밝혔다.

◇ CI값 정기 변경·공공기관 예산 삭감 등 실질 제재 제안

김 교수는 원청기업 책임 문제와 함께 연계정보(CI)의 관리 방식과 공공기관에 대한 제재 수준도 개선해야 한다고 제안했다.

김 교수는 먼저 티빙 사건 등으로 논란이 된 CI의 보안을 강화해야 한다고 주장했다.

CI는 주민등록번호를 직접 사용하지 않고 이용자를 식별하기 위해 생성되는 값이다. 당초 정기적으로 변경할 수 있도록 설계됐지만 실제로는 사실상 하나의 고정된 값처럼 사용돼, 유출될 경우 본인 인증이나 비밀번호 변경 등에 악용될 위험이 있다는 지적이다.

김 교수는 CI값을 주기적으로 변경할 수 있도록 관리 체계를 손질해 한 번의 유출이 장기간 피해로 이어지는 것을 막아야 한다고 강조했다.

공공기관의 개인정보 유출 사고에 대한 제재가 민간기업보다 약하다는 형평성 문제도 짚었다.

김 교수는 미국 연방정부 사례를 언급하며 “정보보호 수준이 기준에 미달한 공공기관에는 정보기술(IT) 예산을 삭감하는 등 실질적인 불이익을 줘 정부 기관의 경각심을 높여야 한다”고 제안했다.