[김도승의 디지털 프리즘 ①] "개인정보가 유출됐다. 그래서 나는 무엇을 해야 하나"

[프라임경제] 개인정보 유출사고가 이제 놀랍지도 않다. SKT, KT, 쿠팡에 이어 이번에는 티빙이다. 당초 2000만개 정도로 알려졌던 유출 규모는 조사 결과 약 4000만개의 계정정보로 늘어나 역대급이다. 사고가 발생하면 정부는 기업이 어떤 안전조치 의무를 위반했는지 조사하고 시정명령과 막대한 과징금을 부과한다.

물론 기업의 책임을 엄정하게 묻는 것은 필요하다. 그러나 정작 피해자인 국민에게 절실한 것은 다른 질문이다. 그래서 나는 얼마나 위험해진 것인가. 나는 지금 무엇을 해야 하는가.

개인정보가 유출됐다고 해서 위험이 모두 같은 것은 아니다. 이름이나 이메일, 전화번호가 유출된 경우와 생년월일, 연계정보(CI)·중복가입확인정보(DI), 계좌번호나 비밀번호 등이 함께 유출된 경우는 예상되는 피해의 성격과 정도가 다르다. 다른 정보가 결합되면 피싱·스미싱, 계정 탈취, 본인 사칭 등 2차 피해 가능성도 커진다.

피해자는 이런 위험을 알아야 비밀번호를 바꿀지, 금융거래를 특별히 주의해야 할지, 자신의 계정이나 신용정보를 지속적으로 확인해야 할지 판단할 수 있다. 그러나 이런 판단을 피해자인 국민에게만 맡겨둘 수는 없다. 반복되는 유출에 무력하게 체념하는 국민도 적지 않을 것이다.

대규모 개인정보 유출사고에서는 정부가 기업의 법 위반 여부만 조사할 것이 아니라 정보주체 피해위험평가를 함께 실시할 것을 제안한다. 유출된 개인정보의 종류와 민감도, 정보 간 결합 가능성, 실제 외부 반출 여부, 다크웹 등에서의 유통과 악용 가능성 등을 종합적으로 평가하고 그 결과를 국민이 알기 쉽게 행동요령을 담아 알려주는 것이다.

피해자가 당장 해야 할 일과 지속적으로 주의할 사항, 기업이 제공해야 할 적정 보호조치, 피해 발생 시 이용할 수 있는 구제수단까지 제시해야 한다. 개인정보보호위원회도 그동안 쿠팡 사건 등에서 2차 피해 예방과 다크웹 모니터링 등을 요구해 왔다. 그러나 사업자에게 피해를 최소화하라고 요구하는 것과 국가가 이번 사고로 국민이 어떤 위험에 놓였는지를 직접 평가해 설명하는 것은 다른 차원의 역할이다.

이번 티빙의 보상책도 이런 관점에서 볼 필요가 있다. 티빙은 해킹·피싱 등에 대해 1년간 최대 300만원을 보장하는 안심보험, 시청환경 업그레이드, 제휴 쿠폰 등을 제시했다. 

포인트나 쿠폰은 고객에 대한 보상일 수는 있어도 유출로 발생한 위험을 줄이는 보호조치라고 보기는 어렵다. 보험은 그나마 2차 피해에 대비한다는 점에서 의미가 있지만, 왜 보장기간이 1년이고 300만원이면 충분한지, 이번 유출로 예상되는 위험을 제대로 보장하는지 알기 어렵다.

더욱이 피해자가 이런 조치를 받기 위해 별도로 신청기간을 확인하고 직접 신청해야 한다. 탈퇴한 회원은 가입도 다시 해야 한다. 개인정보 유출은 피해자가 선택한 일이 아니다. 피해예방을 위해 객관적으로 필요한 조치라면 가능한 한 별도의 신청 없이 제공하고, 정보 처리에 법적 장애가 있다면 신속하게 국가가 제도를 정비해야 한다.

대규모 개인정보 유출사고를 완전히 없애기는 어렵다. 디지털화가 심화될수록 오히려 이러한 위험은 커질 가능성이 높다. 세계 최고 수준의 디지털 인프라를 갖춘 우리나라는 그만큼 방대한 개인정보가 대규모 플랫폼과 기업에 집중돼 있다. 

기업은 개인정보 침해사고가 발생하면 천문학적 과징금과 막대한 사회적 비용을 감수해야 하는 만큼, 해커 입장에서는 금전적 요구를 관철하기 좋은 표적이 될 수도 있다.

디지털 사회에서 중요한 것은 사고를 제로로 만드는 것만이 아니라 사고가 발생했을 때 국민의 피해를 얼마나 신속하게 평가하고 최소화할 수 있는 체계를 갖추느냐다. 개인정보 보호정책의 성과를 얼마의 과징금을 부과했는가로만 평가해서는 안 되는 이유다. 

이제는 피해자에게 어떤 위험이 발생했는지 국가가 신속히 알리고 잘 설명했는가, 기업이 그 위험에 상응하는 보호조치를 제공하도록 했는가를 함께 물어야 한다.

개인정보위는 위법행위를 적발하고 제재하는 기관을 넘어 국민의 위험을 평가하고 필요한 보호와 권리구제 방법을 제시하는 정보주체 보호기관이어야 한다. 그래야 비로소 이름 그대로 개인정보'보호'위원회다.

김도승 전북대 로스쿨 교수(개인정보보호법학회 회장)

◆ 김도승 전북대 로스쿨 교수는?

행정법을 전공하고 데이터, 인공지능, 개인정보보호 및 정보보안, 디지털정부 혁신의 법정책적 과제를 연구하고 있다. 

현재 개인정보보호법학회 회장, 한국공법학회 부회장, 국가인공지능전략위원회 법률TF 위원, 언론진흥기금관리위원회 위원, 개인정보분쟁조정위원회 위원으로 활동하고 있다. 

디지털 전환이 국가와 기업, 시민의 관계를 어떻게 바꾸고 있는지에 관심을 두고 관련 정책 논의에 지속적으로 참여하고 있다.