최주희(오른쪽 두 번째) 티빙 대표를 비롯한 경영진이 지난 3일 서울 중구 코리아나호텔에서 개인정보 유출 사고와 관련해 공식 사과를 하고 있다. (사진=뉴시스)
요즘 개인정보 유출 소식이 너무 자주 들립니다.
쿠팡에서는 수천만명의 개인정보가 유출됐고, KT에서는 개인정보 침해에 이어 무단 소액결제 피해까지 발생했습니다. 최근 티빙에서는 활성·휴면·탈퇴 계정을 포함해 약 3954만개의 계정과 기술자산 유출까지 확인됐습니다.
정보통신(IT) 강국, 디지털 선진국이라는 우리나라에서 개인정보는 왜 이렇게 쉽게 빠져나가는 걸까요.
물론 해외도 안전하지 않습니다. 유럽과 미국에서도 대형 개인정보 유출은 계속 발생하고 있는데요. 차이가 있다면 사고 자체보다, 사고 뒤의 책임을 어떻게 설계했느냐에 있습니다.
유럽연합은 일반개인정보보호법(GDPR)을 중대하게 위반한 기업에 전 세계 연 매출의 최대 4%까지 과징금을 부과할 수 있습니다. 미국 캘리포니아에서는 기업의 합리적인 보안조치 미흡으로 특정 개인정보가 유출된 경우 소비자가 1인당 사건별 100~750달러의 법정손해배상을 청구할 수도 있습니다.
물론 우리나라의 처벌이 무조건 약하다고 말하기는 어렵습니다. 오는 11일부터 반복적이거나 중대한 개인정보 침해에는 최대 매출액의 10%까지 징벌적 과징금을 부과할 수 있습니다. 피해자도 현행법상 300만원 이하의 법정손해배상을 청구할 수도 있습니다.
그런데 피해자 입장에서는 이야기가 달라집니다.
현행 개인정보보호법의 단체소송은 금전적인 손해배상까지 한꺼번에 해결하는 구조가 아닙니다. 결국 실질적인 보상을 받으려면 피해자가 직접 소송에 참여해야 하는데요. 실제 티빙 유출 사고에서도 이용자 1000여명이 별도로 1인당 30만원의 손해배상 소송을 제기했습니다.
기업에는 과징금이 부과되지만 피해자는 자신이 입은 피해를 구제받기 위해 다시 시간과 비용을 들여야 하는 겁니다.
원인을 보면 더 답답해집니다. 개인정보보호위원회가 지난해 조사·처분한 개인정보 유출 사건을 보면 원인의 46%가 업무 과실, 45%가 해킹이었습니다. 거대한 해커 조직의 첨단 공격만의 문제가 아니었다는 뜻입니다. 계정을 제대로 관리하고, 접근 권한을 통제하고, 오래된 취약점을 점검하는 기본적인 관리에서도 사고가 반복됐습니다.
기업에게 개인정보는 자산입니다. 누가 무엇을 사고, 어디에 살고, 어떤 서비스를 이용하는지 알수록 더 정교한 서비스를 만들고 돈을 벌 수 있습니다. 그래서 기업은 가능한 많은 정보를 모으려 합니다.
하지만 그 정보가 유출되는 순간 비용은 이상하게 개인에게 넘어옵니다. 비밀번호를 바꾸고, 카드 사용 내역을 확인하고, 스미싱 문자를 의심하고, 몇 년 뒤 내 정보가 범죄에 이용되지는 않을지 걱정하는 것은 이용자의 몫입니다. 그마저도 기업들은 상품권이나 쿠폰 몇 장으로 무마하려고 하는 실정입니다.
기업이 개인정보를 자산으로 활용했다면, 유출됐을 때의 위험 역시 기업의 부채가 되어야 하지 않을까요?
사고가 난 뒤 "비밀번호를 바꿔달라"고 이용자에게 책임을 돌리는 것이 아니라, 개인정보를 맡아 이익을 얻은 쪽이 피해 복구의 책임까지 지는 것.
그게 진짜 디지털 선진국의 조건 아닐까 싶습니다.