개인정보보호위원회가 대규모 개인정보 유출 사고에 대한 제재를 강화하고 사전 예방 중심의 보호체계를 구축하는 방안을 하반기 핵심 과제로 제시했다.
다만 이재명 대통령과의 업무보고 질의응답에서는 개인정보 유출 제재 시효와 '무(無)동의 모의해킹' 제도를 둘러싸고 송경희 개인정보보호위원장의 답변이 잇따라 번복되는 등 혼선이 빚어졌다.
개인정보위는 16일 대통령 업무보고에서 국민 생활과 밀접하거나 대규모 개인정보 또는 민감정보를 보유한 분야에 대한 사전 실태점검을 확대하고, 중대·반복적인 개인정보보호법 위반에는 매출액의 최대 10%까지 징벌적 과징금을 부과하겠다고 밝혔다.
100만 건 이상 대규모 유출 사건에는 전담 조사단을 구성하고, 조사 비협조 행위에 대한 이행강제금과 증거보전명령 제도도 마련하기로 했다. 유출 사실을 장기간 신고하지 않거나 관련 증거를 은닉·폐기하는 행위에 대한 제재도 강화한다.
이 대통령은 업무보고를 받은 뒤 기업들이 개인정보 보호에 충분한 비용을 투입하지 않았다고 지적했다.
이 대통령은 "개인정보가 유출돼도 적당하게 때우는 비용이 보안 비용보다 적게 드니 사실상 방치하다 대규모 정보 유출 사고가 발생한 것"이라며 "개인정보 보호 비용을 훨씬 초과하는 수준으로 제재금을 대폭 올려야 실제 보호 활동을 하게 될 것"이라고 말했다.
최근 쿠팡에 대한 대규모 과징금 부과를 의식한 듯한 발언도 이어졌다.
이 대통령은 "최근 과징금 액수가 올라가자 '나만 표적으로 해서 이런 것 아니냐'고 주장하는 기업이 있는 것 같다"며 "대한민국 정부의 방침은 제재를 강화하는 것이고, 특정 기업의 특성을 고려한 것이 아니라 법과 방침에 따라 조치했다는 점을 충분히 설명했으면 좋겠다"고 주문했다.
다만 개인정보 유출 사고의 제재 시효를 둘러싼 문답에서는 송 위원장의 답변이 잇달아 번복됐다.
이 대통령은 내부자가 개인정보 유출 사실을 알게 되더라도 재직 중에는 신고하기 어려운 만큼 퇴직 후 5년이나 10년이 지나 신고하더라도 기업에 책임을 물을 수 있어야 한다는 취지로 "제재 시효가 있느냐"고 물었다.
이에 송 위원장은 "시효가 있지는 않고, 증거가 남아 있어 확인이 가능하면 처분할 수 있다"는 취지로 답했다.
이 대통령이 "20년 뒤에 발각돼도 가능한 것이냐"고 재차 묻자 송 위원장은 "현재로서는 그렇다"고 답했다.
이어 이 대통령이 "이론적으로 정보 유출에 대한 제재에는 시효가 없다는 얘기냐. 확실하냐"고 재차 확인하자 송 위원장은 다시 "그렇다"고 말했다.
그러자 이 대통령은 "보통 제재에는 시효가 있지 않느냐"며 "일반적으로 모든 제재에는 시효가 있기 마련인데 그렇게 단정할 일은 아닌 것 같다"고 지적했다. 이어 주위를 둘러보며 "여기 아는 사람 없나"라고 묻기도 했다.
송 위원장이 증거와 기록의 현실적인 보존 기간을 설명하려 하자 이 대통령은 "사실상 그렇다는 것이 중요한 게 아니다"라며 말을 끊고 "불법 행위를 제재할 때 100년 뒤에도 할 수 있다는 것은 매우 문제가 있다"고 말했다.
송 위원장은 결국 "전반적인 체계를 다시 점검해 보겠다"고 답변을 수정했다.
이 대통령은 "상당한 시간이 지나 신고되더라도 결국 엄청난 책임을 지게 된다는 사실이 알려지면 기업들이 비용을 투입해 사고를 예방할 것"이라며 "시효 문제를 적정하게 검토할 필요가 있다"고 주문했다.
대통령의 지시는 개인정보 유출 제재의 시효를 없애라는 의미라기보다 내부자가 퇴직한 뒤에도 신고할 수 있도록 충분한 제척기간을 확보하면서도 법적 안정성을 함께 고려하는 방향으로 제도를 정비하라는 취지로 풀이된다.
현행 행정기본법은 위반행위가 종료된 날부터 5년이 지나면 원칙적으로 과징금 등 제재처분을 할 수 없도록 하고 있다.
다만 개인정보보호법 위반에 따른 과징금은 행정기본법이 규정한 '인허가의 정지·취소·철회, 등록 말소, 영업소 폐쇄 또는 영업정지를 갈음하는 과징금'에 해당하지 않아, 해당 5년 제척기간이 적용되지 않는다는 게 개인정보위 설명이다.
개인정보보호법상 과징금은 영업정지를 대신해 부과하는 제재가 아니라, 위반행위의 중대성과 매출액 등을 기준으로 산정하는 독립적인 금전 제재인 만큼 성격이 다르다는 것이다. 이에 따라 별도의 제척기간 규정이 없는 현행 법체계에서는 이론상 제재 시효가 없다는 해석이 가능하다고 개인정보위는 덧붙였다.
기업이나 기관의 동의를 받지 않고 시스템 보안 취약점을 점검하는 이른바 '무동의 모의해킹' 제도와 관련해서도 송 위원장의 답변은 대통령 질문의 취지를 벗어났다.
이 대통령은 AI 기술을 활용하면 사람의 능력을 뛰어넘는 수준으로 해킹 취약점을 탐색할 수 있다는 점을 언급하며, 실제 피해를 주지 않는 범위에서 정부기관이나 전문기업이 기업·기관 시스템에 사전 동의 없이 침투해 취약점을 찾고 이를 통보할 수 있는 제도 도입 여부를 물었다.
이 대통령은 "정부 산하기관이나 정부가 위탁한 민간회사가 실제 피해는 끼치지 않고 시스템을 뚫어본 뒤 '이런 취약점이 있다'고 알려주는 것이 허용돼야 할 것 같다"며 "그렇게 할 수 있는 법적 근거를 만들고 있느냐"고 질문했다.
송 위원장은 "법률적 근거를 지금 만들고 있다"면서도 "일정 기간 기관이나 기업이 시스템을 열어두고 화이트해커가 침입하더라도 법적으로 문제가 없도록 하는 제도가 있는데, 이걸 도입하는 걸 추진 중"이라고 답했다.
이에 이 대통령은 "내가 계속 묻는 것은 동의 없이 할 수 있게 하는 법이냐는 것"이라고 재차 질문했다.
송 위원장이 시스템이 열려 있는 동안 또 다른 외부 해커가 침입할 수 있어 일정한 요건을 정해 협의한 뒤 진행하고 있다는 취지로 답하자, 이 대통령은 "열어놓은 곳에 지정한 사람이 들어가 보는 것은 별도의 법이 없어도 지금도 할 수 있는 것 아니냐"고 지적했다.
이어 "본인 동의가 있으면 알아서 하는데 법이 왜 필요하냐"며 "정부 산하기관이나 민간회사가 실제 피해 없이 점검할 수 있도록 하는 법적 근거를 만들고 있느냐는 말"이라고 질문 취지를 다시 설명했다.
그제야 송 위원장은 "동의를 일일이 받지 않고 일정 기간 점검할 수 있는 제도 도입을 말씀드린 것"이라며 "정정하겠다"고 말했다.
그러자 해당 업무를 담당하고 있는 과학기술정보통신부 최우혁 정보보호네트워크정책실장이 나서 구체적인 사업 내용과 법제화 계획을 설명했다. 그는 과기부 업무보고를 위해 배석 중이었다.
최 실장은 "현재 약 2천 개 기업을 대상으로 동의 기반의 점검 서비스를 제공하고 있다"며 "민간기업과 공공기관 각각 5곳씩 모두 10곳을 대상으로 동의 없이 언제든 침투해 보는 시범사업을 진행하고 있다"고 말했다.
이어 "현재는 법적 기반이 없기 때문에 시범사업 형태로 운영하고 있다"며 "시범사업이 끝나면 내년 이후 법제화해 누구든지 공격해 볼 수 있는 환경을 만들기 위한 준비를 하고 있다"고 말했다.
이 대통령은 최 실장의 설명을 들은 뒤 "내가 궁금했던 것은 동의 없이 점검할 수 있는 법적 근거가 있느냐, 만들고 있느냐는 것이었다"며 "(그 작업을) 하고 있다는 얘기"라고 정리했다.
개인정보위는 이번 업무보고를 통해 개인정보 유출 사고에 대한 제재를 강화하는 한편 사후 처벌 중심의 개인정보 보호체계를 사전 예방 중심으로 전환하겠다고 밝혔다.