개인정보 유출 심각한데, 소 잃고 외양간만 찾는 정부

개인정보보호위원회가 공공부문의 개인정보 보호 수준을 강화하기 위해 10월부터 오는 12월 초까지 주요 공공기관에 대한 개인정보 실태 점검을 추진한다. 이번 점검의 목적은 공공기관의 개인정보 관리 미흡 방지 및 개인정보 유출 사건 재발 방지다.

개인정보위는 공공부문 개인정보 관리수준 진단 미흡기관과 최근 개인정보 유출 및 오남용 의심 사례 등이 발생한 기관을 포함한 총 20개 기관에 대해 개인정보 실태 점검을 진행하기로 했다. 주요 점검 사항은 접근 권한의 최소·차등 부여, 인사이동으로 개인정보취급자가 변경된 경우 접근 권한의 변경·말소, 접근권 한 부여·변경·말소내역 기록 및 보관 등이다.

접속기록의 보관 및 점검, 접속기록의 안전성 확보 조치 부분에서 접속기록 항목·보유기간의 적정성, 점검 항목·주기의 적정성, 접속기록의 안전성 확보 조치 등도 점검한다. 또한 사용자 계정 관리 부분에서는 계정의 공동 사용과 공인인증서 및 비밀번호의 공동 사용 등도 살펴보고 개인정보 오남용 방지를 위한 점검 체계 및 소명 절차의 적정성 등도 추가로 확인한다.

최장혁 개인정보위 부위원장은 “공공기관은 다양하고 민감한 개인정보를 처리하고 있는 만큼 민간보다 높은 수준의 개인정보 보호 노력이 요구된다”며 “그럼에도 불구하고 개인정보 무단 유출 또는 사적·불법 이용 등의 사건이 연이어 발생하고 있다”고 지적했다. 이어 “국민의 개인정보를 안전하게 보호해 공공부문에 대한 국민의 신뢰를 회복할 수 있도록 주요 공공부문의 개인정보 처리실태를 지속적으로 점검하겠다”고 밝혔다.

공공기관 개인정보 유출 심각

공공기관의 개인정보 유출 및 오남용 사고는 최근 들어 비일비재하다. 개인정보위에 따르면 지난해에만 14만4,000여 건의 개인정보 유출이 공공기관 내부에서 일어났다. 유형별로는 업무상 과실이 55.6%, 해킹이 44.4%였다. 특히 업무상 과실이 지난해 해킹을 처음으로 앞질렀다는 점은 괄목할 만하다.

개인정보 유출로 인한 피해는 절대 가볍지 않다. 지난 2012년 7월 공무원과 통신사가 담합해 심부름센터에 개인정보를 매매한 사건이 발생했던 바 있다. 당시 개인정보 유출 규모는 3,000여 건이었으며 매매 금액은 무려 4억2,000만원에 달했다.

또 성 착취 동영상을 제작해 유포한 ‘박사방’의 조주빈을 도운 최 씨도 지방자치단체 소속 사회복무요원이었다. 서울 송파 위례동 주민센터에서 근무하던 최 씨는 특정인과 동거가족의 개인정보를 조주빈에게 전달함으로써 범죄 행위를 도왔다. 이를 개인의 일탈로 치부하기엔 이미 지나온 길이 너무 멀다. 개인정보위의 개인정보 실태 점검은 이처럼 수없이 반복되어 온 개인정보 유출 사건을 바로잡기 위한 첫걸음이다.

끝없이 되풀이되는 유출 사고

그러나 한편으로 소 잃고 외양간 고치는 것 아니냐는 비판을 피하진 못할 것이다. 애초 최근 공공기관의 개인정보 유출 사건이 다시금 도마 위에 오른 것 자체가 신당역 스토킹 살인 사건의 영향이 컸기 때문이다. 개인정보위는 지난 7월에도 공공부문 개인정보 유출 방지대책을 보고했던 바 있다. 당시 개인정보위는 △취급자에 대한 처벌 강화 △공공부문 개인정보처리시스템 보호 강화 △사각지대 없는 보호 관리체계 구축 △공공부문 개인정보 보호 기반 구축 등 방안을 제시했다.

그러나 지난 9월 말 서울교통공사를 통해 개인정보를 취득한 가해자의 손에 또 하나의 꽃이 스러지고야 말았다. 지금까지 박사방 사건, 송파 신변 보호 가족(전 여자친구 가족) 살인사건 등 굵직한 사건을 여럿 지나면서도 현실은 달라지지 않았다.

장기 대책 마련 시급, 처벌 수위 강화도 필요

앞으로도 소 잃고 외양간 고치기만 반복할 수는 없다. 정부 차원의 종합 대책이 절실하게 필요한 때다. 물론 정부가 개인정보 유출을 막지 않았다는 건 아니다. 앞서 언급됐던 박사방 사건, 개인정보 매매 사건 등 굵직한 사건이 터질 때마다 정부는 대책을 내놓거나 실태 점검에 나서는 등 직접 움직이는 모습을 보여왔다.

다만 그것이 일회성 이벤트에 그치는 경우가 많다는 게 문제다. 사실 이번 실태 점검 또한 신당역 스토킹 살인 사건이 이슈화됨에 따라 어영부영 준비됐다는 감이 없지 않다. 이러한 일회성 점검은 잠깐의 눈속임에 요긴할 뿐 근본적인 해결책은 될 수 없다. 보다 장기적인 대책 마련이 시급하다.

우선 개인정보 유출에 따른 처벌 수위를 강화해야 한다. 실제 개인정보 유출 규모는 지난해 14만여 건에 달했으나 중징계 건수는 10건이 채 넘지 않는다. 이와 관련해 이동휘 동신대 정보보안학과 교수는 “처벌이 약하고 벌금형에 그치다 보니 개인정보 유출이 심각한 범죄임을 인식하지 못한다”라고 지적했다.

개인정보 유출에 대한 감시체계 재정비도 필요하다. 이상 거래 징후를 바로 알아내듯 내 정보를 누가, 어떤 경로로 유출했는지 바로 알 수 있도록 해야 한다는 것이다. 현재 우리나라의 감시체계로는 이 같은 일련의 과정이 매끄럽지 못해 적잖은 피해를 보고 있다.

공공기관은 개인정보 보호에 누구보다도 앞장서야 할 입장에 서 있다. 그러나 개인정보를 직접 다루는 위치에 잡아먹힌 공무원이 적지 않다는 사실은 정부와 사회가 뼈아프게 반성해야 할 점이다. 우리나라가 개인정보 유출에 따른 신변 위협을 느끼지 않아도 될 선진적인 국가로 거듭날 수 있기를 바라며 개인정보 유출의 신천지로 전락한 공공기관을 바로잡겠단 개인정보위의 의지를 기꺼이 응원하는 바다.