개인정보유출, 근본 대책 마련 ‘시급’

본인확인기관 지정 폐지·동의없는 개인정보 공유 금지 등 대책 필요

[보안뉴스 김경애] 카드사 개인정보 유출사고에 이어 KT 가입자 정보 유출, 통신 3사와 금융기관 등의 개인정보가 중국을 경유해 불법 유통됐다.

이에 따라 개인정보 수집부터 감독체계에 이르기까지 우리 사회의 개인정보 보호를 위한 법제도적 환경이 취약하다는 사실이 여실히 드러났다.

그럼에도 불구하고 지난 10일 금융위원회와 금융감독원이 발표한 ‘금융분야 개인정보 유출 재발방지 종합대책(이하 종합대책)’은 금융당국의 권한은 강화한 반면, 근본적 차원의 제도적 환경 개선을 외면하고 있어 실효성 논란이 가열되고 있다.

이와 관련 민주당 민병두 의원(정무위원회), 이찬열, 진선미 의원(안전행정위원회), 유승희(미래창조과학방송통신위원회), 경실련, 소비자시민모임, 진보네트워크센터, 참여연대, 함께하는 시민행동은 12일 국회 정론관에서 개인정보 대량유출을 막을 근본대책을 촉구하는 공동 기자회견을 열었다.

공동 기자회견단이 개인정보 대량 유출을 막을 대책으로 촉구한 내용은 △본인확인기관 지정 폐지 △금융지주회사 내에 동의없는 개인정보 공유 금지 △소비자 집단소송제도 마련 △주민번호체제 개편 △개인정보보호위원회의 독립성과 권한 강화 등이다.

본인확인기관은 이용자가 어떤 사이트에 가입했는지에 대한 정보, 개인의 취향이나 관심사에 대한 정보를 포함하고 있어 위험하다는 것. 특히 금융 개인정보 유출사건을 일으킨 코리아크레딧뷰로(KCB)와 이번 해킹사건의 당사자인 KT 모두 방통위가 지정한 본인확인기관이다.

또한, 모바일 환경에서 다양한 앱을 통해 자동으로 수집되는 개인정보가 증가하고, 있어 본인확인 정보와 결합한다면 심각한 사생활 침해까지 야기할 수 있다. 뿐만 아니라 최근 중국 인터넷 사이트 등을 통해 아이핀 수천 건이 유통되고 있어 아이핀 역시 안전하지 않다는 것이 공동 기자회견단의 설명이다.

구글, 아마존, 트위터, 페이스북 등 해외 기업들은 본인확인 없이 운영되고 있다. 이에 따라 공동 기자회견단은 본인확인기관 지정을 폐지하고, 인터넷에서 불필요한 본인확인을 하지 않도록 법제도를 정비해야 한다고 밝혔다.

‘종합대책’은 금융지주회사 내에서 고객의 개인정보를 ‘외부영업’에 이용하는 것만 제한했을 뿐 여전히 금융지주회사 내 정보주체의 동의없는 개인정보 공유를 허용하고 있다. 이는 정보주체의 동의없는 제3자 제공 금지라는 개인정보 보호원칙에 위반된다. 금융지주회사에게만 특혜를 줄 이유는 없고, 고객의 개인정보를 우선해야 한다고 밝혔다.

소비자 집단소송제도 마련과 관련해 공동 기자회견단은 “개인정보 유출기업의 과징금 부과는 정부의 권한만 강화할 뿐 소비자 배상은 될 수 없다”며 “기업의 보안 투자를 유도하기 위해서는 개인정보 보유 부담을 높여야 한다. 소비자 집단소송 제도는 소비자에게 정보유출로 인한 피해보상과 더불어 기업들의 책임성을 높일 수 있는 방안”이라고 밝혔다.

‘종합대책’에서는 최초 거래 시에만 주민번호를 수집하겠다고 하나 여전히 주민번호를 보유하도록 하고 있다. 주민번호는 금융부문에서 신용도 조회, 과세기반 확보(금융소득종합과세 등)를 위한 공공부문과의 연계시 식별값이라고 표현했는데, 이는 여전히 개인정보를 통합하는 열쇠로 주민번호를 활용하겠다는 것이다. 이에 신용조회나 공공부문 연계는 별도의 방법이 도입돼야 한다는 것. 따라서 주민번호는 임의 번호체제로 변경하고 필요할 경우 번호를 변경할 수 있도록 하며, 그 사용을 고유목적 외에는 사용할 수 없도록 해야 한다고 공동 기자회견단은 강조했다.

개인정보 유출사고가 반복되는 이유로 개인정보를 관리, 감독할 컨트롤 타워의 부재를 지목한 공동 기자회견단은 “개인정보 감독 권한이 각 부처에 분산돼 있으며, 각 정부부처는 산업 진흥을 명분으로 개인정보에 대한 감독을 소홀히 하고 있다”고 지적했다.

또한 공동 기자회견단은 “개인정보보호위원회는 ‘심의’ 기능만 있을 뿐, 개인정보 침해사건의 조정, 시정명령, 자료제출요구, 조사권 등 실질적인 권한이 없다”며 “개인정보보호위원회의 독립성과 권한을 강화해 우리 사회 전반의 개인정보보호 대책를 일관성 있게 추진할 수 있도록 해야 한다”고 덧붙였다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)