개인정보 유출 가능성 발견…기업은 언제 알려야 할까 [수사와 재판]

해커가 기업의 서버에 침입한 흔적이 발견됐지만 개인정보가 실제로 유출됐는지는 확인되지 않았습니다. 그럼에도 기업은 고객에게 이를 알려야 할까요. 11일부터 시행되는 개정 개인정보 보호법은 일정한 경우 실제 유출이 확인되기 전에도 통지의무를 부과합니다. 정보주체의 피해 예방과 기업의 부담이 충돌하는 상황을 허윤 변호사(법무법인 동인)와 함께 살펴보겠습니다.

(게티이미지뱅크)

지금까지 개인정보 보호법 제34조는 개인정보처리자가 개인정보의 분실·도난·유출 사실을 알게 된 경우 정보주체에게 유출된 개인정보의 항목과 발생 시점·경위, 피해를 최소화하기 위한 방법 등을 알리도록 규정하고 있다.

이달 11일부터 시행되는 개정법은 통지의무의 범위를 넓힌다. 개정법 제34조 제2항은 개인정보의 유형과 정보주체에게 미치는 영향, 위험 정도 등을 고려해 대통령령으로 정하는 ‘유출등의 가능성’을 알게 된 경우 유출등의 가능성이 있는 모든 정보주체에게 그 사실을 알리도록 하고 있다. ‘유출등’에는 기존의 분실·도난·유출뿐 아니라 개인정보의 위조·변조·훼손도 포함된다.

즉, 개정법은 개인정보 침해가 실제로 확인된 뒤 통지하는 데 그치지 않고, 유출이나 훼손의 현실적인 가능성이 확인된 단계에서부터 정보주체에게 경고하도록 통지의무를 앞당겨 정보주체가 스스로 피해를 예방할 기회를 주겠다는 취지다.

찬성하는 입장에서는 개인정보 사고는 사후 통지만으로 피해를 막기 어렵다는 점을 강조한다. 실제 유출 여부를 확인하려면 포렌식 등에 시간이 걸리는데, 그 사이 탈취된 정보가 계정 도용이나 보이스피싱 등에 이용될 수 있기 때문이다. 따라서 유출 가능성이 상당하다면 조사 결과를 기다리기보다 먼저 알리고 비밀번호 변경이나 추가 인증 등 예방조치를 취하도록 하는 것이 피해 최소화에 도움이 된다는 것이다.

반면 기업 입장에서는 ‘가능성’이라는 불확정적인 기준 때문에 과잉 통지가 발생할 수 있다는 우려를 제기한다. 해킹 시도가 있었다는 사실과 실제 개인정보가 유출됐다는 것은 다른 문제이고, 사고 초기에는 기업도 정확한 침해 범위를 알기 어렵다는 것이다. 그럼에도 통지 기준이 불명확하다면 기업은 제재를 피하기 위해 실제 유출 여부가 확인되지 않은 단계에서도 선제적으로 통지할 가능성이 있다. 이 경우 실제 유출이 없었음에도 개인정보 사고가 발생한 기업으로 인식돼 신뢰와 평판이 훼손될 수 있다는 것이다. 결국 쟁점은 단순한 해킹 시도와 실제 피해 위험이 있는 유출 가능성을 어디서 구분할 것인지에 있다.

▲서울 서초구 서울법원종합청사 입구. 신태현 기자 holjjak@ (이투데이DB)

입법 과정에서도 이러한 우려가 제기됐다. 이에 따라 개정법은 개인정보 침해가 의심되는 모든 경우에 일률적으로 통지의무를 부과하는 것이 아니라, 개인정보의 유형과 정보주체에게 미칠 수 있는 영향, 유출 위험의 정도 등을 고려해 대통령령으로 정하는 ‘유출등의 가능성’이 있는 경우로 그 범위를 한정하고 있다.

실제로 시행령 개정안은 개인정보처리시스템에 대한 불법적인 접근이 이루어져 개인정보 유출을 의심할 만한 객관적 정황이 있는 경우나 개인정보가 불법적으로 거래·유통되고 있는 사실을 알게 된 경우 등을 그 대상으로 구체화하고, 원칙적으로 72시간 이내에 통지하도록 하는 내용 등을 담고 있다.

물론 기업이 유출 가능성을 통지했다고 해서 곧바로 개인정보 유출 사실이나 법적 책임을 인정한 것으로 볼 수는 없다. 다만 실제 유출 여부가 확인되지 않은 단계에서 대규모 통지가 이뤄질 경우 고객 이탈이나 기업 이미지 훼손 등 현실적인 불이익이 발생할 수 있다는 우려는 남는다.

결국 개정 제도의 핵심은 정보주체의 신속한 보호와 기업의 과도한 통지 부담 사이에 어디에 기준선을 그을 것인지에 있다. 특히 어느 정도의 정황이 있어야 ‘유출을 의심할 객관적 정황’으로 볼 수 있는지가 향후 중요한 쟁점이 될 것으로 보인다. 이 기준이 지나치게 넓으면 기업에 사실상 모든 보안사고를 공개하도록 하는 부담이 될 수 있고, 지나치게 좁으면 정보주체가 피해를 예방할 기회를 놓칠 수 있다.

허윤 법무법인 동인 변호사는 “정보주체에게 피해 예방의 기회를 조기에 제공한다는 개정법의 방향은 타당하다”면서도 “유출을 의심할 객관적 정황의 의미를 구체화해 기업이 예측 가능한 기준에 따라 대응할 수 있도록 할 필요가 있다”고 설명했다.

[도움]

허윤 변호사는 법무법인 동인 개인정보보호팀, 수사대응팀에서 근무하고 있으며, 방위사업청 옴부즈만, 고위공직자범죄수사처 검사, 서울특별시의회 입법법률고문, 언론중재위원회 자문변호사, 기획재정부 사무처 고문변호사 등으로 활동했습니다.