‘이러니 허구한 날 개인정보 유출당하지….’

한국인터넷진흥원(KISA)의 개인정보보호 관리체계(PIMS) 인증 심사를 분석해본 결과 우리 기업들의 개인정보보호 수준이 전반적으로 크게 미흡한 것으로 나타났다.

2일 관련업계에 따르면 KISA는 기업의 개인정보보호 관리 수준을 높이기 위해 지난 2011년부터 온라인상으로 개인정보를 수집하는 기업을 대상으로 PIMS 인증제도를 시행해 오고 있다. PIMS 인증 신청 기업을 대상으로 심사를 거쳐 인증을 부여하는 것인데, 심사 과정에서 미비점이 드러나면 해당 기업에 통보하고 이를 적절히 해결했을 경우 PIMS 인증을 해주는 것이다. PIMS 인증을 받게 되면 예기치 못한 개인정보 유출 관련 사고 발생 시 법적으로 과징금·과태료를 경감받게 된다.

기업 입장에선 PIMS 인증을 받게 되면 소비자들에게 개인정보보호 관리를 잘한다는 인식을 심어줄 수 있는 데다 개인정보 유출 사고 시 비용을 줄일 수 있는 등 두 마리 토끼를 잡을 수 있는 셈이다.

KISA 관계자는 “지금까지 30여 개 기업이 PIMS 인증을 받았는데 이들은 비교적 개인정보보호 관리를 잘하는 곳이라고 할 수 있다”며 “하지만 인증 심사 과정에서 보면 국제 수준에 크게 미흡한 게 사실”이라고 말했다. 그는 이어 “이들의 사정이 이런데 아예 PIMS 인증 신청을 하지 않는 기업의 경우 개인정보보호 관리 수준은 말할 필요가 없을 것”이라고 덧붙였다. 지금까지 PIMS 인증을 받은 주요 기업으로는 LG전자, SK텔레콤, LG유플러스, 네이버, 다음커뮤니케이션, GS칼텍스, 현대백화점, 넥슨, 엔씨소프트 등이다.

KISA가 지난해 말까지 PIMS 인증을 받은 기업 21곳을 대상으로 조사한 자료에 따르면 9개 기업(42.9%)이 PIMS 인증 1차 심사 개인정보 취급자 감독 항목에서 불합격했다. PIMS에 따르면 업무상 개인정보를 취급하는 개인정보 취급자는 최소한으로 제한하고, 개인정보 취급자 명단 관리와 통제 방안을 마련해야 한다. 하지만 개인정보 취급자 선정이나 절차가 없는 데다 취급자 선정의 정확성이 떨어지는 기업이 적지 않았다. 심지어는 거의 모든 직원에게 고객 개인정보 조회 권한을 주는 기업도 있었다. 개인정보 취급자 권한관리, 개인정보 취급방침, 물리적 접근통제, 개인정보 처리기록 검토 및 위변조 방지 등의 항목에서도 결함을 보인 기업들이 많았다.

유회경 기자 yoology@munhwa.com