개인정보 보호라는 거대한 흐름 속에서 기업들의 책임 강화와 선제적 안전조치 유도를 위한 정부의 움직임이 본격화되고 있다. 최근 발생한 에스케이텔레콤(SKT) 고객정보 유출 사고와 같은 대규모 개인정보 유출은 국민들의 불안감을 증폭시키고 있으며, 이에 대한 근본적인 해결책 마련이 시급하다는 사회적 요구가 높아지고 있다. 이러한 배경 속에서 개인정보보호위원회는 ‘개인정보 안전관리 체계 강화 방안’을 발표하며, 그동안의 사후 제재 중심에서 벗어나 기업들의 적극적인 노력을 유도하고 미비점을 보완하는 데 초점을 맞춘 새로운 접근 방식을 제시하고 있다.
이번 강화 방안은 지난 SKT 고객정보 유출 사고를 통해 드러난 제도적, 기술적 취약점을 보완하고, 기업들이 더욱 선제적이고 적극적인 개인정보 보호 안전조치를 취하도록 유인하는 데 방점이 찍혀 있다. 급속도로 발전하는 해킹 기술에 효과적으로 대응하기 위해서는 단순한 사후 처벌만으로는 한계가 있다는 문제 인식에서 출발한 이번 방안은, 5월부터 전담반을 구성하고 전문가 및 사업자 간담회, 국내외 자료 조사 등을 거쳐 현행 규제 시스템의 문제점과 기업의 인식, 투자 규모, 피해자 구제 실효성 등을 종합적으로 분석한 결과물이다.
특히, 이번 방안은 유사 사고 예방을 위한 제도 개선에 중점을 두고 있다. 주요 개인정보처리시스템의 외부 노출 취약점을 제거하고 이상 징후를 탐지하는 공격표면관리 강화, 주요 정보 암호화 적용 확대 등 선제적 조치를 정례화하는 내용이 포함되었다. 더불어, 평소 개인정보 보호를 위한 선제적·적극적 조치를 취한 기업에 대해서는 과징금 감경 등 인센티브 제공 체계를 정비할 예정이다. 또한, 이미 유출된 개인정보가 웹, 딥웹, 다크웹 등에서 불법 유통되는지 여부를 탐지하고, 관련 정보를 발견 시 신속하게 사업자 및 유관기관과 공유하여 2차 피해 예방을 적극 지원한다. 개인정보보호 관리체계(ISMS-P) 인증 제도 또한 신종 해킹 기법을 고려하여 현장 심사 중심으로 고도화하고, 사고 기업 대상 사후 관리를 강화할 방침이다.
상시적인 내부 통제 강화 또한 이번 방안의 핵심 축이다. 개인정보 보호 분야의 인력 및 예산 투자 확대를 위한 구체적인 기준을 제시하고, 기업 최고경영자의 개인정보 보호 관련 최종 책임을 명확히 한다. 실질적인 관리 주체인 개인정보보호책임자의 자율성과 책임성을 높이기 위해 지정 신고제를 도입하고, 연 1회 이사회 보고 및 직무 여건 보장 등 법적 권한과 역할을 강화한다. 민간에서도 개인정보 영향평가를 활성화하기 위한 대상, 방법, 기준 구체화와 평가기관 및 인력의 전문성 제고도 추진한다.
엄정한 처분과 권리 구제 실질화 역시 강화된다. 개인정보 유출 사고가 반복되는 기업에 대해서는 과징금 가중 등 엄정하게 제재하며, 중장기적으로는 징벌적 과징금 도입을 검토하여 제재 처분의 실효성을 높일 예정이다. 개인정보 유출로 중대한 피해가 예상되는 경우, 실제 유출 피해자뿐만 아니라 유출 가능성이 있는 모든 사람에 대한 유출 통지를 확대하여 추가 피해 확산을 방지한다. 개인정보 보호법 위반에 따른 과징금을 실제 유출사고 피해자 구제에 활용하는 방안도 마련될 예정이다. 나아가 시장 감시 및 권리 구제 지원을 위한 개인정보 옴부즈만을 설치하고, 전문 인력 양성과 신기술·신제품의 개인정보 침해 위협에 대한 선제 대응으로 정보 주체의 권리 구제 기반을 강화한다. 일정 규모 이상의 기업에서 예상치 못한 사고에 대비하기 위한 다양한 보험 상품 개발 및 개선을 유도하여 손해배상 보장 제도를 내실화하고 자율적 피해 구제 확산을 지원한다.
개인정보보호위원회 고학수 위원장은 이번 사고를 계기로 대규모 개인정보를 처리하는 사업자들이 개인정보 보호를 단순한 비용이 아닌 고객 신뢰 확보를 위한 기본적 책무이자 전략적 투자로 인식하고, 개인정보 보호에 대한 신뢰가 확산되기를 기대한다고 밝혔다. 이번 강화 방안이 산업 현장에 실질적으로 적용될 수 있도록 후속 조치도 차질 없이 추진될 전망이다.
