김동수 원광디지털대학교 교수

지난 7개월 동안 SK텔레콤, 롯데카드, 인터파크, KT에 이어 쿠팡까지 연달아 발생한 해킹·유출 사고로 6,300만 건이 넘는 개인정보가 새어나갔다.

이는 전 국민 수를 뛰어넘는 규모로, 국민이 2차 피해와 금융사기 위험에 사실상 무방비로 노출된 상태다. 개인정보 보호법 강화가 시급하다는 지적이 나오는 이유다.

개인정보 보호법은 개인정보의 처리와 보호를 통해 개인의 자유와 권리를 지키고, 나아가 인간의 존엄과 가치를 구현하기 위해 제정된 법이다.

그러나 AI 기술 발달과 빅데이터 산업의 확대로 개인정보의 종류와 수집 범위는 신상 정보에서 생체정보까지 급증하고 있으며, 이에 따른 기본권 침해 위험 또한 날로 커지고 있다.

문제의 핵심은 기업의 안보 무감각과 정부·국회의 미흡한 대응이다. 국회 현안질의에서 정부가 밝힌 바에 따르면, 쿠팡의 개인정보 유출 공격 기간은 6월 24일부터 11월 8일까지로 무려 5개월 이상 지속되었다.

기업도 정부도 이를 파악하지 못하다가 고객 신고로 뒤늦게 인지한 것은 충격적이다. 정부는 2차 피해 우려로 모니터링을 강화하겠다고 하나, 사고 이후 부랴부랴 마련하는 뒷북 대응에 불과하다.

관련 법·제도의 미비와 솜방망이 처벌 문제는 오래전부터 지적돼 왔다. 2,300만여 명의 개인정보가 유출된 SK텔레콤 사태에서도 과징금은 1,348억 원 수준에 그쳤다.

법이 규정한 ‘매출액의 3%까지 과징금 부과’ 조항을 현실화하고, 기업의 실질적 소비자 보상 제도도 도입해야 한다.

SK텔레콤 사태 이후 신속 통지 의무 강화, 과징금·과태료 상향 등을 담은 개인정보 보호법 개정안이 여러 차례 발의됐으나, 정무위원회 심사 단계에서 23차례나 계류된 채 제자리걸음이다.

국회와 정부가 말로만 개인정보보호 강화를 외치고, 실질적 입법·행정조치를 뒷받침하지 못한 셈이다. 개인정보 유출 피해는 시간이 지난 뒤 스미싱, 금융사기, 명의도용 등 다양한 형태로 나타난다.

그러나 개인정보가 여러 경로를 통해 유통·가공·재판매되기 때문에 피해자가 유출 사실과 손해 간의 인과관계를 직접 입증하기는 현실적으로 어렵다.

현행법은 개인정보처리자에게 정보주체의 열람·정정·삭제·처리정지 요구권을 적극적으로 고지할 의무를 부과하지 않는다.

제3자로부터 수집한 개인정보의 경우에도 ‘정보주체의 요청이 있을 때만’ 출처와 목적을 고지하도록 되어 있어, 피해자 다수가 권리를 행사하지 못하는 구조적 한계가 존재한다.

또한 공공기관 외 대규모 민간 기업에 대한 개인정보 영향평가 의무가 없어, 막대한 민감정보를 다루는 사업자의 위험 요소가 제대로 점검되지 않는 실정이다.

이제는 개인정보의 처리·수집 단계부터 정보주체 권리 고지 절차를 대폭 강화하고, 영향평가 의무 대상을 민간까지 확대하는 등 전면적인 제도 개선이 필요하다.

유출 이후 사후 대책에 머무를 것이 아니라, 발생 가능성을 원천적으로 차단하는 법·제도적 장치를 총체적으로 재정비해야 한다. 개인정보 보호는 선택이 아니라 국가의 기본 책무이자 기업의 최소한의 책임이다.

정부와 국회가 더 이상 책임을 회피해서는 안 된다. 이번 연이어 터진 대규모 유출 사태를 계기로, 실효성 있는 입법과 정책이 조속히 마련되길 기대한다.