"개인정보 다루는 기업…사고대응 매뉴얼 만들고 모의훈련 해야"[최석진의 로앤비즈]

정보유출 피해 입은 개인
공동소송 원고인단 참여가 최선
개인정보위 분쟁조정 절차 이용도

개인정보 취급하는 기업
꾸준한 예산조직 확보가 필수
정기적 외부 컴플라이언스 수행해야

11일부터 '유출 가능성 통지 제도' 시행
징벌적 과징금 제도 도입으로
과징금 상한 대폭 상향돼

지난 4일 국내 최대 미용·의료 정보 플랫폼 '강남언니' 이용자 약 22만명의 개인정보가 유출되는 사고가 발생했다. 각종 성형 수술부터 피부 시술까지 병원별 가격과 후기를 비교해주는 앱인 만큼 이름, 연락처 등 일반적인 개인정보 외에도 상담 내용과 시술 전후 사진까지 유출된 것으로 알려져 2차 피해에 대한 우려가 큰 상황이다.

비슷한 시기 하이브의 팬 커뮤니티 플랫폼 '위버스'에서도 42만여건의 계정 정보가 유출됐고, 지난 5월에는 온라인 동영상 서비스(OTT) 티빙 해킹 사고로 약 3954만개 계정의 정보가 유출되기도 했다.

왼쪽부터 법무법인 태평양 강태욱·이강혜 변호사. 법무법인 태평양

이처럼 끊임없이 발생하고 있는 대규모 개인정보 유출 사고와 관련해 개인정보를 처리하는 기업과 정보주체인 고객이 유의할 점, 그리고 사고 방지를 위해 필요한 대책을 법무법인 태평양의 강태욱(사법연수원 31기)·이강혜(변호사시험 2회) 변호사, 두 전문가에게 물었다.

판사 출신인 강 변호사는 2020년 세계적인 법률 전문 매체 ALM이 주최하는 'The Asia Legal Awards'에서 아시아 유일의 '올해의 개인정보보호 분야 변호사(Data Privacy Lawyer of the Year)'로 선정된 바 있는 개인정보 분야 최고 전문가다. 개인정보보호위원회 개인정보보호법 개정 연구위원·제도혁신자문단 위원·개인정보처리방침 평가위원을 지냈고, 현재 개인정보보호위원회 자문변호사, 과학기술정보통신부 고영향AI 전문위원을 맡고 있다.

LG 전자를 거쳐 태평양에 합류한 이 변호사는 2024년 개인정보보호에 기여한 공로를 인정받아 개인정보보호위원회 위원장 표창을 받았고, 중앙일보 베스트 변호사와 리걸타임즈 라이징스타로 선정되는 등 기업법무 시장의 차세대 리더로 주목받는 개인정보보호·IT 분야 전문가다.

-대규모 고객 개인정보 유출 사고가 끊임없이 발생하고 있다. 원인이 어디에 있다고 보나.

▲강= 온라인과 모바일의 활용이 일상화를 넘어 우리의 삶에 필수적인 수준으로까지 확대된 것이 가장 큰 원인일 것이다. 모든 데이터들이 디지털화하고, 이 데이터들이 온라인에 쉽게 복제가 가능한 상태로 저장되는 것과 비교해, 이러한 데이터들에 대한 관리 체계의 고도화와 그에 대한 인식 수준은 아직 따라가지 못하는 탓이 크다고 본다. 그리고 단기적으로는 AI 기술이 급격하게 발전함에 따라 과거에는 쉽게 발견되기 어려웠던 보안 취약점들이 더 쉽게 발견되고 해커에 의해 악용될 가능성이 높아진 것에 비해 이에 대응하는 보안 방어력은 충분히 업그레이드되지 못하고 있는 점도 이유가 될 수 있겠다.

-판례의 추이는 어떤가.

▲강= 과거 법원은 대규모 고객의 개인정보 유출에 대해 해킹을 당한 기업에 그 책임을 인정하지 않는 경우가 더 많았다. 여러 가지 이유가 있었겠지만 해킹 사고 자체가 그리 많지 않았고, 그래서 기업에 안전조치 소홀에 대한 일반적인 과실책임을 묻기가 쉽지 않았다는 점도 이유가 됐을 것이다. 대규모 유출 피해가 지속적으로 발생하면서, 그에 대한 규제기관의 과징금 처분도 점점 더 강화돼 가고 있고 기업의 책임도 더 강하게 요구되고 있는 추세로 보인다. 다만, 이 같은 최근 한국의 추세와 비교해 해외의 경우에는 그와 같은 추세가 확인되지 않는다는 점은 다소 차이가 있다.

-법원이 인정한 배상액이 1인당 수십만원에 그치는 이유는?

▲강= 1인당 피해액으로만 보면 법원이 그동안 다른 여러 유형의 피해들에 대해 그 책임을 인정한 사례와 비교해 볼 때 그 금액이 특별히 과소하다고 생각하지는 않는다. 그리고 위 금액들이 대부분 실제 2차 피해가 발생하지 않고 유출 자체로 입은 정신적 손해에 대한 것이라는 점을 고려한다면 더욱 그렇다.

-지난해 말 개인정보 유출에 따른 손해배상과 관련해 대법원에서 중요한 판결이 나왔다.

▲강= 개인정보 보호법 제39조의2 법정손해배상 제도에 대한 대법원의 선례가 많지 않았다. 기존의 개인정보 유출 사고가 발생한 경우에 그 정보주체가 유출 사고만 입증하면 개인정보처리자가 손해배상책임을 부담해야 한다는 주장들이 있어 왔는데, 이 판결에서 대법원은 법정손해배상책임을 지는 경우에도 원고, 즉 정보주체가 손해의 발생을 구체적으로 주장·입증할 필요는 없지만, 피고가 피해가 없다는 점을 주장하는 경우에는 그러한 피고의 주장에 대한 주장·증명 여부를 심리해야 한다고 밝혔다. 해당 판결로 손해가 발생하지 않았음이 명백한 경우에는 개인정보처리자가 정보주체에게 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 증명해 책임을 면할 수 있다는 점이 명확해졌다. 또 개인정보 유출 사고로 인해 어떠한 피해를 입었는지를 판단하기 위한 기준을 제시했다는 점에서도 매우 의미 있는 판결이다. 나아가 이 판결에서 대법원이 법원이 제시한 기준에 따라 피해가 발생했다고 볼 수 없다고 판단한 원심의 결론이 타당하다고 판단했다는 점도 유의미하다고 할 것이다.

-개인정보 유출 피해를 당한 피해자는 어떻게 대응해야 하나.

▲이= 유출 피해를 입은 정보주체 개인의 입장에서 판단한다면 일종의 공동구매와 같이 공동소송 원고인단에 참여하는 것이 거의 유일한 수단일 것으로 생각된다. 개인이 단독으로 소송을 제기하는 것도 가능하지만, 투입되는 비용과 시간을 고려해야 할 것이고, 대법원 판결에서 확인한 바와 같이 '피해가 없다'는 피고의 주장에 대한 대비도 필요할 것으로 보여지기에 선택하기 쉽지 않은 대응 방식이라고 생각된다. 또한, 개인정보보호위원회의 분쟁조정 절차를 이용하는 방법도 있다.

-평소에 개인정보 관리를 위해 주의해야 할 점은.

▲강= 정기적으로 비밀번호를 변경하는 습관을 들이는 것이 필요하다. 개인정보를 제공할 때 동의문 등에 기재돼 있는 고지 사항을 꼼꼼히 확인해야 한다. 개인정보 보호법상 여러 개의 동의 박스가 있을 수밖에 없는데, 어떠한 이유로 동의를 하게 되는지 잘 살펴봐야 한다. 그리고 랜섬웨어 등이 포함된 스팸메일에 대비하기 위해서는 메일을 클릭하거나 동의 버튼을 누를 때 기계적으로 해서는 안 되고, 항상 발신자와 그 내용을 주의 깊게 확인하는 습관을 들일 필요가 있다.

▲이= 또한 PC를 사용하고 난 후에는 반드시 전원을 끄는 습관을 가지는 것도 필요하다고 생각되며, IT전문 인력의 경우 주말이나 공휴일에 업무를 수행하는 경우가 많은데 이때 보안 정책이 느슨해지지 않도록 유의하는 것이 좋겠다.

강태욱 법무법인 태평양 변호사. 법무법인 태평양

-개인정보를 취급하는 기업은 어떤 사전 조치가 필요한가.

▲강= 기업의 입장에서는 법상 요구되는 안전성 확보조치를 준수하는 작업이 필요하다. 또한 정보보안 부분은 지속적인 관리가 필요한 영역이므로, 단순히 일회성 투자가 아니라 꾸준한 예산과 조직의 확보가 필요하고, 고객 개인정보의 관리를 위해 정기적인 외부 컴플라이언스 수행 등이 필요하다.

▲이= 사고가 발생하면 기업 입장에서는 매우 혼란스럽고 즉각적으로 대처하기 어려운 상황에 놓일 수 있으므로, 이러한 혼란을 줄이고 적절한 대응을 하기 위해 사전에 사고 대응 매뉴얼을 작성하고 모의 훈련을 하는 방안을 권하고 싶다.

-유출 사고가 발생했을 때 기업이 가장 먼저 취해야 할 조치는.

▲이= 일단 사고의 규모와 중대성을 파악하는 것이 가장 중요하다. 그리고 회사에서 사전에 정한 내부관리 계획과 유출 사고 대응 매뉴얼에 따라 TF를 구성하고 보고 체계를 최대한 단축하는 등의 대응이 필요하다. 무엇보다 최대한 빠르게 보안 이슈를 해결하기 위한 조치를 취할 필요가 있다. 또한 사고 상황을 가능한 한 신속하고 명확하게 파악해 대응 준비를 하고, 이와 동시에 대응 방안을 고객에게 솔직하게 알려 고객이 대비할 수 있도록 조치하는 것도 중요하다.

-피해 고객들에 대한 기업의 자발적인 보상이 향후 소송에 영향을 미치나.

▲이= 기업의 자발적인 보상은 매우 필요한 부분이고, 실제 소송에서 피해 고객에게 얼마를 배상해야 하는지에 구애됨이 없이 고객 보호라는 정책적인 측면에서도 매우 중요할 것이다. 또한, 이와 같은 보상 방안은 실제로 고객에게 보상 조치가 이뤄진 것이므로 손해배상 소송에서 배상액을 산정함에 있어서도 적극적으로 고려될 가능성이 크다.

이강혜 법무법인 태평양 변호사. 법무법인 태평양

-최근 개정된 개인정보 보호법령 중 꼭 알아둬야 할 내용은.

▲이= 올해 3월 법 개정 때 '유출 가능성 통지 제도'가 도입돼 11일부터 개인정보처리자는 개인정보가 유출됐음을 알게 됐을 때뿐만 아니라 유출 가능성이 있음을 알게 됐을 때에도 일정한 경우 유출 가능성이 있는 모든 정보주체에게 유출 가능성이 있는 개인정보의 항목과 유출이 있었을 것으로 의심 또는 인정되는 시점과 그 경위 등을 통지할 의무가 생겼다. 개인정보 유출에 대한 징벌적 과징금 제도가 도입돼 반복적이거나 고의·중과실로 인한 개인정보 유출의 경우 과징금 상한이 종전 전체 매출액의 3% 이내에서 전체 매출액의 10% 이내로 크게 상향됐다. 또 최근 법 개정으로 AI 특례가 신설돼 내년 3월 9일부터는 AI 기술 개발을 위해 일정한 요건을 갖춘 경우 개인정보처리자가 보호위원회의 심의·의결을 거쳐 적법하게 수집한 개인정보를 당초 수집한 목적 외로 이용할 수 있게 된다.

-개인정보 유출 사고와 관련해 정부가 추진해야 할 정책이나, 국회 입법이 필요한 내용이 있다면.

▲강= 개인정보 유출 사고에 대한 제재도 중요하지만, 그것보다는 사전적인 투자 유인, 보안조치 강화, 인력 및 거버넌스 체제 구축 등의 대비 체계 마련이 더욱 중요할 것 같다. 나아가 최고경영자(CEO)나 개인정보보호 책임자(CPO)의 책임을 강화하는 것도 중요하겠지만, 투자를 늘리고 보안조치를 스스로 강화하도록 유인하는 정책들을 많이 마련할 필요가 있다. 그리고, 유출 사고가 발생했을 때 책임의 문제도 중요하지만, 개인정보보호를 담당하는 조직이나 책임자, 팀원들이 자신의 일에 자부심을 갖고 사고 대응에 매진할 수 있는 근무 환경을 마련하도록 하는 것도 매우 중요하다고 생각한다.

최석진 로앤비즈 스페셜리스트 csj0404@asiae.co.kr