[한겨레 프리즘] 멍청한 법률 / 이순혁

이순혁 경제부 기자

지난 7월 말 우리나라 최대 통신기업 케이티(KT)가 해킹을 당해 가입자 870만여명의 개인정보가 유출된 사실이 바깥에 알려졌다. 석 달이란 세월이 길어서였을까? 언론도, 시민들도 아무 일 없었다는 듯이 이제는 별 관심이 없어 보인다. 케이티도 언제 그런 일이 있었느냐는 듯이 평온한 분위기다.

그런데 이런 장면, 너무 익숙하다. 대규모 개인정보 유출 사고가 터지면 매번 그랬다. 2005년 엔씨소프트를 시작으로 개인정보 유출 사고는 꾸준히 발생했다. 2008년엔 옥션(1081만명)이 중국발 해킹을 당하더니, 하나로통신(현 SK브로드밴드·600만명)과 지에스(GS)칼텍스(1100만명)에서도 사고가 났다. 지난해에는 현대캐피탈(175만명), 에스케이(SK)커뮤니케이션즈(3500만명), 한국엡손(35만명), 넥슨(1321만명) 등에서 개인정보가 유출됐고, 올해에는 교육방송(400만명)과 케이티가 바통을 이어가고 있다.

왜 이런 개인정보 유출 사고가 끊이지 않는 걸까? 여러 이유가 있을 텐데, 현행 법률 체계도 여기에 한몫하고 있다.

2008년 정부는 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(정보통신망법)을 개정해 기업의 개인정보 보호 조처를 의무화했다. 다음과 같은 내용이다.

1. 개인정보를 안전하게 취급하기 위한 내부관리계획의 수립·시행 2. 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영 3. 접속기록의 위조·변조 방지를 위한 조치 4. 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한 보안조치 5. 백신 소프트웨어의 설치·운영 등 컴퓨터 바이러스에 의한 침해 방지조치 6. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 보호조치.(제28조 1항)

친절하게도 분야별로 해야 할 일을 조목조목 명시해놓았다. 그런데 이 조문이 되레 사고를 낸 기업들에 면죄부를 주고 있다. 해킹을 당해 개인정보가 유출돼도 내부관리계획을 세우고, 외부 침입 방지·차단 시스템을 운용하고, 백신을 설치하고, 개인정보를 암호화했다면? ‘법적인’ 책임을 다한 셈이 되기 때문이다.

이런 멍청한(!) 법률 탓에 개인정보 유출로 기업이 법적인 처벌을 받은 경우는 단 한 번도 없었다. 넥슨의 경우 유일하게 경찰이 기소 의견으로 송치했지만, 그나마 검찰이 무혐의 처분을 하고 말았다.

정보통신망법에서는 앞서 언급한 2~5항의 조처를 취하지 않아 “이용자의 개인정보를 분실·도난·누출·변조 또는 훼손한 경우”, 해당 기업에 “1억원 이하의 과징금을 부과할 수 있다”(제64조의 3)고 규정하고 있다. 그런 조처를 제대로 취했는지 여부는 오랜 기간 수사와 재판 과정을 거쳐서 최종 확정될 수 있는 사안이다. 결국, 재판이 끝난 뒤라야 과징금을 부과할 수 있다는 얘기다. 이 때문에 방송통신위원회는 넥슨에 ‘게임 출시 알림 문자메시지 전송을 외주업체에 맡기면서 이용자 동의를 받지 않았다’며 과징금 7억여원을 부과했을 뿐, 개인정보 유출에 대한 책임은 묻지 못하고 있다.

과징금 액수 또한 다른 경우(당사자 동의 없이 개인정보를 수집하는 등)엔 상한이 매출액의 100분의 1인데, 개인정보 유출 때만 1억원이다.

미국처럼 포괄적으로 의무를 부과하고 책임을 묻도록 하면 될 텐데, 법률을 왜 이리 황당하게 만들었을까? 당시 국회의원들이 뇌물이라도 먹은 게 아닌지 의심스러울 정도다.

케이티 해킹 사건이 터진 지 석 달, 이제 또다른 개인정보 유출 사고가 터질 때가 된 듯하다. 그러면 잠시 또 호들갑을 떨다가, 언제 무슨 일이 있었느냐는 듯이 잠잠해질 것이다. 물론 처벌은 없을 테고.

이순혁 경제부 기자[e-mail]