개인정보유출 기업, 통지시점 제각각…모호한 법령에 혼선[only이데일리]

[이데일리 이미나 기자]

[이데일리 김형일 기자] 쿠팡, 신한카드 등 개인정보 유출 사고가 빈번한 가운데, 기업들의 유출 사실 통지 시점이 늦어지고 있어 피해자들이 피싱 등 2차 피해에 노출될 우려가 있다는 지적이다. 특히 관련 법령상 유출 인지 시점에 대한 기준이 명확하지 않아 기업들의 통지 시점이 제각각이라는 지적도 나오고 있다.

28일 금융권에 따르면 신한카드는 지난 23일 홈페이지를 통해 신규 카드 영업을 목적으로 한 일부 직원들의 일탈로 가맹점주 개인정보 약 19만 2000건이 카드 모집인들에게 유출됐다고 공지했다. 앞서 지난달 12일 개보위가 공익 제보를 토대로 사실 확인을 요청한 이후, 한 달하고도 열흘이 지나서야 유출 범위와 함께 피해 보상 방안 및 재발 방지 대책을 발표한 셈이다.

개인정보보호법 시행령에 따르면 기업(개인정보처리자)은 개인정보가 유출된 사실을 인지한 후 72시간 내에 피해자(정보주체)에게 유출된 개인정보와 유출 시점·경위 등을 알려야 한다. 다만 천재지변이나 그 밖에 부득이한 사유가 있을 경우 이를 해소한 후 지체없이 알리게 돼 있다.

실제 현장에서는 유출 사실의 범위와 경위를 파악하느라, 고지가 지연되는 사례가 반복되고 있다. 개보위가 유출된 개인정보 종류와 유출 시점·경위가 확인되지 않았을 경우, 이를 확인하는 작업을 거치도록 하면서 사실상 피해자에게 이를 알리는 시점이 늦어지고 있다.

최근 개인정보 유출이 발생한 쿠팡(11월)과 SK텔레콤(4월) 역시 유출 사실을 인지한 이후 72시간 내 피해자에게 이를 알리지 않은 사례로 분류된다. 이처럼 사고 발생 시점과 인지 시점, 실제 고객 통지 시점이 서로 달라지면서 기업별 대응 속도를 둘러싼 논란도 이어지고 있다. 개보법의 세부 기준 미비와 기업 내부통제의 한계가 동시에 드러났다는 지적이 나오는 이유다.

특히 피해자 통지 시점을 둘러싼 해석 차이가 논란의 핵심으로 떠오르고 있다. 개보법 제34조상 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출됐음을 알게 됐을 때에는 지체 없이 해당 정보주체에게 관련 사실을 알리도록 규정하고 있다. 하지만 유출 인지 시점을 어디로 볼 것인지에 대한 명확한 기준은 담기지 않았다. 아울러 이번 신한카드 사태처럼 개보위가 유출 사실과 범위에 대한 확인 절차를 거친 후 기업들에게 알릴 의무를 부여하고 있어 해석상 혼란이 발생할 수 없다는 것이다.

기업들은 개보법이 규정하고 있는 유출 항목과 발생 시점, 경위를 특정하는 데 시간이 필요하다는 입장이다. 반면 개보법이 정보주체의 피해 최소화에도 방점을 찍고 있는 만큼, 유출 사실 확인 절차를 밟기 전에 즉시 현재 상황을 알리도록 해야 한다는 반대 목소리도 나오고 있다.

익명을 요청한 법조계 인사는 “개보법 제34조에서 규정한 ‘알게 됐을 때’라는 표현은 법적으로 다소 추상적”이라며 “각호에서는 유출된 개인정보의 항목과 시점, 경위 등 구체적인 내용과 함께 정보주체의 피해를 최소화하기 위한 조치를 함께 요구하고 있다”고 설명했다. 이어 “관련 판례가 일관되지 않은 점도 이러한 구조적 모호성에서 비롯된 측면이 있다”고 덧붙였다.

반면 기업들의 법적 책임을 강화해 내부통제 역량을 끌어올리고, 관련 시스템 투자를 유도해야 한다는 목소리도 나온다. 강형구 금융소비자연맹 부회장은 “유출 사실을 알고도 고지가 지연될 경우 피해자들은 장기간 불확실한 위험에 노출될 수밖에 없다”며 “현행 과징금 상한인 매출액의 3% 수준을 10%로 상향하는 입법 논의가 본격화한다면 기업들이 자체적으로 역량을 끌어올릴 것”이라고 봤다.