<10문10답 뉴스 깊이보기>주민번호 수집-발신번호 조작 금지… 잠자던 法案 기지개?

클릭하시면 더 큰이미지를 보실 수 있습니다

국내 일부 카드사에 보관된 카드 가입자들의 개인정보가 대거 유출된 사건이 파문을 일으키고 있는 가운데 대책을 촉구하는 국민들의 요구가 거세지고 있다. 이에 따라 정치권은 국회에 장기 계류 중인 개인정보 보호법안들을 서둘러 통과시키겠다고 목소리를 내고 있다. 그러나 국민들은 국회에 계류돼 있는 법안들이 무슨 내용인지, 그동안 각종 개인정보보호법에 관심을 두지 않던 정치권이 왜 너도나도 ‘2월 국회 통과’를 외치는지 어리둥절할 따름이다.

그동안 정부와 정치권이 무엇을 하고 있다가 ‘사후약방문’식으로 호들갑을 떨고 있느냐는 비판도 나오고 있다. 또한 과연 이들 법안과 대책들이 제2, 제3의 개인정보 유출 사태를 막을 수 있을지에 대해서도 의구심이 가시지 않고 있다. 이번 개인정보 유출 사태로 정치권이 개인정보보호법을 다루는 현주소와 국회 통과 이후 전망, 선진국들의 개인정보 관리 실태 및 대응 방식 등을 따져본다.

1. 2월 임시국회서 처리될 법안

여야는 2월 임시국회에서 ▲개인정보보호법 개정안 ▲신용정보보호법 개정안 ▲전기통신사업법 개정안 ▲전기통신망법 개정안 등 국회에 계류 중인 정보보호 관련 법안들을 최우선 처리한다는 방침이다. 국회에 따르면 이번 19대 국회 들어 개인정보보호법 개정안 10건이 발의됐다. 이 가운데 9건이 상임위 단계에 계류 중이고, 지난해 발의돼 3년 가까이 국회에서 처리되지 않고 있는 법안도 3건이다.

주요 정보보호 법안으로는, 개인 정보 파기 시 해당 정보가 복구·재생되지 않게 하는 개인정보보호법 개정안, 정보 유출 사고 발생 후 24시간 내 이용자 및 관계 기관에 통지·신고해야 하는 정보통신망법 개정안, 보안 대책이 부족한 금융기관에 대한 과태료를 3000만 원으로 인상하는 신용정보법 개정안 등이 있다.

2. 법안의 구체적 내용은

이찬열(민주당) 의원은 금융회사 등이 주민등록번호·여권번호·운전면허번호 등 숫자만으로 개인을 특정할 수 있는 정보를 수집할 경우 반드시 암호화하도록 하는 법안을 지난해 12월 발의했다. 정보 자체가 유출되더라도 암호가 걸려 있으니 피해를 최소화할 수 있다는 것이다.

컴퓨터 하드디스크 등과 함께 파기된 개인정보를 재생·복구할 경우 3000만 원 이하의 과태료를 물리는 내용의 강은희(새누리당) 의원안과 현재 대통령 소속인 개인정보보호위원회를 예산권을 가진 중앙행정기관으로 격상하는 내용의 변재일(민주당) 의원안 등도 쟁점법안으로 꼽힌다. 또 스팸 문자와 스미싱 등의 악용을 막기 위한 발신번호 변작 방지 법안 등도 국회에 계류돼 있다.

3. 법안들 국회서 ‘낮잠’… 왜

개인정보보호 강화 법안들이 국회에서 낮잠을 자고 있는 이유는 이들 법안 자체가 ‘언 발에 오줌 누기’식으로 면피 성격이 짙은데다가 개인정보보호에 대한 여론의 관심이 수그러들자 심사를 차일피일 미뤄온 탓이다. 대형 개인정보 유출 사태가 터질 때마다 정치권이 앞다퉈 법안을 내놓고는 국민적 관심사에서 멀어지면 자연스레 ‘후순위 법안’으로 밀려나는 악습이 반복돼왔다.

주민등록번호 수집행위를 금지하는 내용을 골자로 한 개인정보보호법 개정안(황영철 새누리당 의원 발의)이 지난해 6월 국회에서 처리된 것 이외에는 논의가 전혀 이뤄지지 않고 있다. 신용정보보호법도 19대 국회 들어 방치되긴 마찬가지다. 이 법안들이 일찍부터 논의됐다면 반복되는 개인정보 유출 사태의 피해를 최소화할 수 있었다는 지적이 잇따르는 것도 이 때문이다.

이번에도 여야는 오는 2월 임시국회에서 관련 법안을 논의, 처리키로 공감대를 형성하고 있다. 그러나 이번에도 실제 법으로 만들어질 수 있을지는 장담할 수 없어 보인다.

4. 與·野 ‘개정 포인트’ 이견

여야는 한목소리로 관련자의 엄중 문책을 강조하며 2월 임시국회에서의 개인정보보호법 처리를 내세우고 있지만 세부 내용에서 이견을 보여 진통이 예상된다. 특히 개인정보를 유출·활용한 금융회사에 대해 ‘징벌적 과징금’을 부과키로 한 방안을 놓고 여야가 찬반으로 맞서고 있다. 정부와 새누리당은 금융사에 대해 정부가 거둬들이는 ‘과징금’을 부과토록 하는 방안을 제시했으나, 민주당은 피해당사자들이 배상받는 주체가 되는 ‘징벌적 손해배상제’의 도입을 주장하고 있다.

새누리당은 개인정보를 유출·활용한 금융회사에 대한 처벌을 대폭 강화키로 하고 과징금을 최대 50억 원까지 부과할 수 있도록 했으며 형벌 수준도 10년 이하의 징역 또는 5억 원 이하의 벌금으로 해 금융관련법의 최고 수준으로 대폭 상향하는 방안을 추진 중이다.

반면 민주당 소속 정무위원들은 성명을 내고 “금융위가 주장하는 징벌적 과징금제는 금융 사고를 ‘정부의 세수 확대 기회’로 활용하겠다는 오해를 사기에 충분하다”며 반대 입장을 밝혔다. 그러면서 “반복되는 대규모 정보유출 사고를 근본적으로 막기 위해서는 무엇보다 집단소송제와 징벌적 손해배상제 도입이 필요하다”고 주장하고 있다.

5. 근본적 해결 힘든 까닭

2월 임시국회에서 관련 법안들이 통과된다 해도 개인정보 유출을 근본적으로 막기는 쉽지 않다는 게 전문가들의 공통된 의견이다. 그러나 전문가들은 동시에 관련 법안들이 유기적으로 엮여 ‘그물망’처럼 작용할 경우 개인정보 유출 가능성을 최소화할 수 있는 만큼 관련 법안들의 시급한 개정이 필요하다고도 했다.

관련 법안의 정비에도 불구하고 근본적 해결이 쉽지 않은 이유로는 우선 개인정보가 매매되는 ‘암시장’의 존재가 꼽힌다. 개인정보가 매매되는 상황이 계속되는 한 개인정보를 불법적으로 빼내려는 시도는 상존할 수밖에 없다. 또 공인인증서 등 한국의 ‘온라인 금융 시스템’ 자체가 보안에 상당히 취약하다. 한 전문가는 “IT 정보 시스템 운영 업무를 외부에 용역과 하도급을 주는 것 자체가 보안과 개인정보 유출에 얼마나 소홀한지를 보여주는 것”이라며 정부와 기업, 금융기관 등의 보안 의식 개선이 선행돼야 한다고 지적했다.

6. 정부 ‘개인정보 유출 대책’

정부는 개인정보 유출에 대한 해법으로 금융사의 과도한 개인정보 보유나 공유를 금지토록 하겠다고 밝혔다. 개인정보 유출로 사회적 파문을 일으키면 금융사 최고경영자(CEO) 해임뿐만 아니라 매출액의 1%에 달하는 징벌적 과징금까지 부과토록 할 방침이다.

또한 이번에 1억여 건의 고객 정보 유출 사태를 일으킨 KB국민·롯데·NH농협카드는 CEO 해임 권고 및 영업 정지 3개월의 중징계를 주는 방안도 검토 중이다. 이 과정에서 금융회사가 대출 모집인을 이용해 영업했다면 해당 대출 모집인은 영구 퇴출된다. 지금은 금융회사가 개인 신용 정보를 보유할 수 있는 기간이 최장 10년이지만 앞으로는 5년으로 제한된다. 금융지주나 대기업 그룹 소속 회사들이 계열사로부터 얻은 개인정보를 고객 모집 등 마케팅 목적으로 활용하는 것이 금지된다. 또 금융회사가 무차별적으로 개인정보를 얻을 수 없게 된다. 지금은 해당 금융회사의 계열사 등 제3자에 대한 정보 제공에 동의하지 않으면 카드 가입 등이 불가능한데, 앞으로는 고객이 선별적으로 골라서 정보 제공에 동의할 수 있도록 바뀐다.

이와 관련, 현오석 경제부총리 겸 기획재정부 장관은 “이번 기회에 개인정보 보안 대책을 경제혁신 3개년 계획에 포함시키고 필요시 법도 개정하겠다”고 말했다.

7. 금융사 ‘정보 수집’ 과열

금융회사는 개인 신용정보를 더 많이 확보하면, 개인 신용도 판단 등을 명확히 할 수 있어 최대한 많은 양의 개인정보를 수집하려 한다. 더구나 현행 금융지주사법에 따라 지주사 내 계열사끼리는 고객의 동의 없이 마케팅 목적으로 개인정보 ‘돌려쓰기’가 가능해 금융회사들이 개인정보 수집에 열을 올리고 있다.

아울러 금융회사들은 고객들로부터 제3자와의 고객 정보 공유 동의를 받는데, 이는 제휴업체들에 고객 정보를 활용할 수 있도록 해주면, 해당 업체로부터 금전적인 대가를 받을 수 있기 때문이다. 가령 보험사에 금융사 고객 정보를 바탕으로 마케팅을 하게 해주고, 카드사는 고객에게 제공하는 주유할인 등의 혜택 일부를 이 보험사가 부담하도록 하는 식이다.

8. 카드 3사 영업정지 영향은

이번에 대규모 정보가 유출된 KB국민·롯데·NH농협카드가 3개월 정도 영업정지 조치를 받더라도 기존 고객들은 그대로 카드를 이용할 수 있다. 카드사의 모든 영업이 정지되는 게 아니라, 신규 고객 유치와 판촉 업무만 정지된다. 기존 고객의 카드 결제 및 부가서비스 이용, 카드론·현금서비스 등의 이용에는 전혀 불편이 없다.

금융당국은 고객 정보를 유출한 카드 3사에 대해 제재를 함에 있어 “기존 고객에게 불편을 끼치는 제재는 없다”고 밝히고 있는 만큼 기존 고객들은 쓰던 카드를 계속 써도 불이익이 가는 경우는 없을 것으로 관측된다. 아울러 금융당국이 향후 카드사 영업정지 기간을 3개월에서 6개월로 연장한다는 방침을 밝혔지만, 이는 소급적용이 안 돼 KB국민·롯데·NH농협카드는 3개월 동안만 영업정지 조치를 받을 가능성이 크다. 영업정지 위기에 놓인 한 카드사 관계자는 “신규 고객 모집 금지 조치를 받더라도 기존 고객에 대한 서비스는 불편함이 없도록 모든 역량을 다한다는 방침”이라고 말했다.

9. 선진국의 정보보호 시스템

나라별로 차이가 있기는 하지만 선진국의 경우 개인정보 유출 후 후속 사고 예방 관련 입법 조치가 잘 마련돼 있다.

미국은 개인정보보호와 관련된 국가기관이나 독립된 위원회는 없지만 집단적 소송이나 징벌적 손해배상제도가 발달돼 있다. 소송에 휘말릴 경우 해당 금융사나 기업은 수백만 달러에 달하는 배상 리스크에 노출되기 때문에 자체적인 내부통제가 엄격하다.

유럽연합은 미국보다 엄격한 규율을 두고 국가가 주도해 개인정보를 보호한다. 프랑스에서는 개인정보 보호 업무는 정부로부터 독립된 감독기구인 프랑스 국가정보위원회가 총괄하고 있다. 개인정보와 같은 사생활이 중요하다는 국민적 공감대가 오랜 기간 형성돼 있고, 실제 대규모 개인정보 유출 사태가 벌어진 적도 거의 없다. 독일의 경우 은행들은 각기 다른 개인정보 보호 시스템을 운영하고 있다.

10. 정보보호 업무 컨트롤타워

현재 개인정보보호 업무는 법률에 따라 국가정보원, 안전행정부, 미래창조과학부, 방송통신위원회, 금융위원회, 금융감독원, 경찰청 등으로 나뉘어 있다. 정부는 대통령 직속 독립기관인 개인정보보호위원회에 개인정보보호 업무의 컨트롤 타워 역할을 부여했지만 인사와 예산의 자율권이 없고 집행기능이 취약한 것이 사실이다. 22일 정부가 카드 개인정보 유출 수습책을 냈지만 개인정보보호 업무를 체계적으로 개선할 주체는 제시되지 않았다.

정치권에서는 개인정보보호위원회를 중앙기관으로 격상하자는 법안(변재일 민주당 의원 개인정보보호법 개정안)이 발의되기도 했다. 개인정보보호를 위한 컨트롤 타워의 필요성이 제기되고 있는 만큼 2월 국회에서 관련 해법을 기대해야 하는 상황이다.

김만용·손기은·현일훈·윤정아·박정경 기자 mykim@munhwa.com