카드사 정보유출에 시민단체 ‘뿔났다’!

서울YMCA, 3개 카드사 개인정보유출 관련 기업 책임자 처벌 촉구

개정된 개인정보 보호법, 유출·도난당한 사업자도 엄중처벌 취지

[보안뉴스 김경애] 카드사 정보유출 사태가 일파만파 퍼지고 있는 가운데 시민단체인 YMCA 시민중계실이 22일 성명서를 발표하며, 3개 카드사 고객정보유출에 대해 강력한 처벌 요구에 나섰다. 성명서 내용은 다음과 같다.

초대형 개인·신용정보 유출 사태가 발생했다. KB카드 약 5300만명, 롯데카드 약 2600만명, NH카드 약 2500만명의 개인 신상정보와 금융·신용 정보가 너무도 쉽게 유출 당한 것이다. 기업, 금융사의 수백만·수천만명 규모의 대형 개인정보 유출 사건은 이번이 처음이 아니다. 지금까지 밝혀진 것만 해도 옥션, GS칼텍스, 신세계몰, SK커뮤니케이션즈, NC소프트, 넥슨, 현대캐피탈, EBS, SONY엔터테인먼트, KT, 코웨이, 씨티은행, 스탠다드차타드은행 등 이루 헤아릴 수 없을 정도로 많다.

기업의 영업 목적을 위해 수집된 개인정보가 부실한 보안 관리로 유출되고, 유출된 개인정보가 불법 광고, 보이스 피싱 등에 악용되고 있는 상황에서, 이번과 같이 엄청난 규모의 개인·신용정보 유출 사건이 또 다시 발생한 배경에는, 대규모의 개인정보 유출로 인한 피해가 또 다른 범죄로 이어짐에도 불구하고 피해당사자에 대한 손해배상과 관리책임자에 대한 처벌 등 사후조치가 거의 이루어지지 않고 있는 현실이 있다.

2012년 3월 30일 개정 시행된 개인정보 보호법은 안전관리를 소홀히 해 이용자의 소중한 개인정보를 유출당한 사업자에 대해서도 엄중히 형사처벌하도록 하고 있다.

법 제29조는 ‘개인정보가 분실·도난·유출되지 않도록 안정성 확보에 필요한 기술적·관리적 및 물리적 조치를 하도록’ 해 개인정보처리자의 안전조치의무를 규정하고 있으며, 이를 위반하면 2년 이하의 징역 또는 1천만원 이하의 벌금에 처하도록 하고 있다. 개인정보 유실에 대한 고의가 없더라도 과실이 있으면 형사책임을 묻는 것은 개인정보 관리의 책임이 그만큼 무겁다는 것을 강조하는 것이며, 이것이 지난 법률 개정의 취지이다.

서울YMCA 시민중계실은 2012년 KT 870만 개인정보유출사건 당시, ‘정보처리 및 관리 책임을 엄격하게 규정한 개인정보 보호법 개정 취지에 맞도록 관련 책임자에 대한 엄중한 처벌을 촉구’하고, ‘해당 사건이 처리되는 결과가 사건 이후 우리 사회의 개인정보 관리 책임과 수준을 정하는 바로미터가 될 것’이라는 성명을 발표한 바 있다. 그러나 당시 제대로 된 처벌이나 손해배상은 이루어지지 않았으며, 우리는 그 결과가 이번 사태로 귀결되었음을 안타깝게 생각한다.

지난 21일 국무총리 주재로 열린 긴급관계장관회의에서 피해예방 및 재발방지대책을 즉시 마련키로 결정했다고 한다. 그 내용은 과도한 개인정보 요구 관행 전면개선, 금융사에 대한 징벌적 과징금 제도 도입, 유출관련 당사자에 대한 형사처벌 강화 등이다. 필요한 조치이긴 하나 지금까지의 정부 행태를 감안할 때 징벌적 과징금, 형사처벌 강화 등의 이행을 신뢰하기 어려운 것이 사실이다.

이번 사태 이후 카드 3사의 피해고객에 대한 대응 태도 역시 매우 실망스러운 수준이다. 충분한 사과와 재발방지 및 보상보다는 검찰 발표를 인용해 “외부에 유통되지 않았다”, “2차 피해의 우려가 없다” 운운하며 이번 사태의 파장을 축소하려는 모습만 보이고 있다. 이에 비춰 볼 때 해당 기업들이 대량의 개인·신용정보를 관리하는 데 상응하는 책임의식을 갖추고 있지 않으며, 보안을 위한 투자 등 적절한 노력이 뒤따르지 않았다고 판단할 수밖에 없다.

이번 카드3사 개인·신용정보 유출 사건 수사는 이제 ‘유출당한 카드사업자’에 대한 수사로 전환해야 한다. 그 결과에 따라 개인정보관리자의 책임을 물어 해당법령에 따라 사업자에 대해 엄중 처벌해야 한다. 금번 사건의 본질은 ‘개인정보를 빼내어 악용하고자 했던 몇몇 범죄자들의 범죄행위’가 아니며, 대량의 개인정보가 일상적으로 이용 관리되고 있는 현실에서, ‘대규모 개인정보를 보유하고 이용하는 기업들이 보안 관리를 허술히 하고 있는 죄’를 물어야 하는 문제이다.

이번 사태 수습과정에서 개인정보 안전조치의무를 소홀히 한 기업과 관련 책임자에 대한 처벌이 이루어지지 않는다면, 앞으로도 이 같은 사태와 이용자 피해는 반복 될 수밖에 없다. 수사당국은 이제 수사의 초점을 카드사와 개인정보관리 책임자로 돌려, 보안관리 책임과 관련하여 철저히 수사해야 할 것이며, 수사 결과에 따라 개인정보 보호법이 정한 바대로 엄중한 처벌이 이루어져야 한다.

이번 사건이 개인·신용정보를 취급하고 있는 모든 사업자들에게 법률과 사회가 요하는 개인정보 관리 책임을 다하고 있는지 돌아보는 계기가 되길 바란다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)