38호(200610) 디지털칼럼

불필요한 개인정보 수집 및 유출을 줄이는 쉽고도 효과적인 방안

개인정보 유출 규모가 점점 더 커지고 있다. 올해 초고속 인터넷 서비스 회사에서 유출된 개인정보만 해도 4월에 771만 명, 5월 837만 명, 9월 300만 명이나 된다. 밝혀져서 보도된 것만 이 정도다. 5월 837만 명만 따져도 초고속 인터넷 가입자 67.5%의 개인정보가 유출된 셈이다. 기사에 의하면 주민번호, 성명, 주소, 전화번호를 포함한 개인정보들은 한 명 당 1원 정도의 껌 값에(?) 온라인으로 손쉽게 거래되고있다.
더 늦기 전에 개인정보 보호를 위한 특단의 대책이 필요한 상황이다. 그러나 정보통신부는 '주민번호 대체수단' 외에는 별다른 방안을 내놓지 않고 있다. 정통부가 추진하는 '주민번호 대체수단'은 인터넷 사업자가 회원 가입 시 마케팅(혹은 마케팅을 빙자한 개인정보 판매) 등의 목적을 위해서 주민번호 등 개인 식별이 가능한 민감한 개인정보를 수집하는 것 자체를 금지하는 것이 아닌 단순한 권고사항이므로 효과적이지 않다.

그렇다면, 어떻게 해야 '주민번호'와 같은 민감한 개인정보의 유출을 막을 수 있을까? 접근 권한이 있는 내부자가 데이터베이스에서 수백만 명의 개인정보를 빼내는 데는 얼마 걸리지 않는다. 내부자에 의해 개인정보가 유출되는 것을 완전히 막기란 사실상 어렵다. 그리고 한번 유출된 개인정보는 순식간에 여러 사람에게 퍼져 나가 되돌릴 수도 없다. 따라서 민감한 개인정보는 수집 자체를 막는 것이 개인정보의 유출을 막는 가장 효과적인 방법이다.

그러나 현실적으로 인터넷 서비스 제공자의 주민번호 수집 자체를 금지하기는 어렵다. 예를 들어, 초고속 인터넷 서비스 사업자는 인터넷 범죄 수사 정보 제공, 요금 징수를 위해서 주민번호가 필요하다. (법에서도 의무적으로 받도록 되어있다.) 그리고, 병원에서도 건강보험 처리를 위해서 주민번호를 보관할 필요가 있다.
개인정보 보호를 위해서는 주민번호와 같은 민감한 개인정보의 수집을 막아야 하나, 이렇듯 주민번호의 활용이 불가피한 경우도 분명히 존재한다. 해결책이 없을까? 있다. 그것도 아주 쉬운 방법이 있다. 인터넷 사업자에게 주민번호와 같은 민감한 개인정보가 유출된 경우에 유출 사실을 해당 당사자에게 직접 알려야하는 의무를 엄격히 부가하기만 하는 것으로도 강력한 억제수단이 될 수 있다.

작년에 리니지 2의 개인 아이디와 비밀번호가 엔씨소프트의 과실에 의해 유출된 사건에 대해 피해자 1인당 50만 원의 위자료 판결이 나왔다. 올해에는 리니지 회원 가입에 28만 명의 명의가 도용되어 사용된 것을 알면서도 방조한 혐의로 엔씨소프트 부사장이 입건되었고, 현재 홈페이지에서 명의 도용을 확인한 사람들이 로마켓(www.lawmarket.co.kr)을 통해서 집단 소송 중에 있다. 민감한 개인정보 유출 사실을 정보주체에게 통보를 의무화하면 이러한 집단 소송이 더욱 활성화될 수 있다. 초고속 인터넷 서비스 업체를 통해서 유출된 837만 명에게 해당 사실이 통보되어서 모두 민사소송을 걸었다고 가정해 보자. 1인당 10만 원의 위자료를 지급하라는 판결만 나와도 초고속 인터넷 서비스 업체는 8,370억 원이라는 어마어마한 돈을 배상해야 한다.
초고속 인터넷 서비스 업체의 입장에서 정통부가 부과한 개인정보 관리 소홀 과징금 3,250만 원은 무시할 수 있는 액수지만 기업이 한순간에 망할 수 있는 8,370억 원이라는 어마어마한 금액은 무시할 수 없을 것이다. 민감한 개인 정보를 수집하여 관리를 잘못하면 회사가 망할 수 있다는 인식이 널리 퍼진다면 불필요한 개인정보를 수집하는 일은 급격히 줄어들 수 있다. 그리고 민감한 개인정보를 수집할 필요가 있는 업체들도 민사소송에서 관리 소홀 책임을 면하기 위해서 정보통신부가 발표한 '인터넷상의 개인정보보호를 위한 가이드'에 나와 있는 모든 방안을 사용하여 엄격히 개인 정보를 관리할 것이다. 예를 들어, 인터넷을 통해서 암호화되지 않는 상태로 민감한 개인 정보를 전송하는 것을 없애고, 민감한 개인정보를 데이터베이스에 저장할 때는 암호화할 것이며, 데이터베이스에 언제 누가 어떤 개인 정보를 조회한 지에 대한 접속 로그를 남기고 주기적으로 개인정보 유출이 있는지를 확인할 것이다.
이렇게 개인정보 유출 사실을 해당 당사자에게 직접 알릴 의무를 부가하는 것만으로 인터넷 사업자의 불필요한 개인정보 수집을 막고, 개인정보 관리를 엄격히 하도록 유도할 수 있다. 실제로 2004년 주민번호 누출 사건을 경험한 EBS는 회원 정보에서 주민번호를 삭제하는 결정을 내렸다. EBS는 현재 정보통신가 추진하고 있는 '인터넷 실명제' 대상 국내 기업 중 유일하게 실명확인 없이 가입할 수 있는 웹 사이트이다.

초고속 인터넷 가입자의 67.5%에 해당하는 개인정보가 누출되었다면 초고속 인터넷 서비스에 가입한 내 개인정보도 팔리고 있을 가능성이 무척 높다. 그러나 아직 초고속 인터넷 서비스 업체에서 개인 정보가 누출되었다고 사용자에게 통보했다는 사실을 들어본 적이 없다. 자신들의 관리 소홀로 누출된 개인정보의 정보주체에게 누출 사실을 알리는 것은 개인정보 관리의 책임이 있는 기업으로서 당연히 해야 할 일이다. 이렇게 당연히 해야 할 일을 의무화하는 것으로 불필요한 개인정보 수집 및 개인 정보 누출을 급격히 줄일 수 있다.

개인정보 보호 효과는 없으면서 특정 기업에 개인 식별정보에 기반을 둔 사업을 가능하게 해주는 '주민번호 대체수단'과 개인정보 보호에 악영향을 미치는 '제한적 인터넷 실명제'를 추진하느라고 바쁜 정보통신부 공무원을 위해서 인터넷 서비스 제공자에게 개인정보 누출을 고지할 의무를 부가하는 구체적인 조문을 정리하는 것으로 글 맺음을 대신한다.

(제X조) 개인정보 유출 시 정보주체 고지 의무 1. "인터넷 서비스 제공자"는 민감한 개인 식별정보가 누출된 사실을 안 지 1주일 이내에 유출된 개인정보의 범위, 유출 대상, 유출 날짜, 유출 경위를 정보주체에게 전자우편, 전화 등 직접적인 방법으로 알려야 한다. 2. 정보주체에게 직접 연락할 방법이 없는 경우에는 정보주체가 쉽게 인식할 수 있도록 웹 사이트에 표시하고, 일간지에 2회 이상 광고해야 한다. 3. 유출된 정보주체를 특정할 수 없는 경우에는 유출 가능성이 있는 모든 정보주체에게 고지하여야 한다. 4. "인터넷 서비스 제공자"가 다른 사업자에게 제공한 개인정보가 유출된 경우에도 고지해야 한다. 5. 1항에서 "민감한 개인 식별정보"라 함은 주민등록번호, 통장번호, 카드번호 등 그 자체만으로 개인을 식별하는 데 사용할 수 있는 개인정보를 말한다. 6. 1항에서 "정보주체"라 함은 취급되는 정보에 의하여 식별되는 자로서 당해 정보의 주체가 되는 자를 말한다. 7. 1항에서 "인터넷 서비스 제공자"라 함은 영리 혹은 비영리를 목적으로 인터넷을 이용하여 정보를 제공하거나 정보의 제공을 매개하는 하는 자를 말한다.