개인정보보호위원회의 제재 원칙이 시험대에 서게 됐다. 판단 기준을 사안별로 다르게 검토하는 방식은 예측 가능성을 떨어트리는 등 문제가 있다는 지적이 나온다. 전문가들은 개인정보 유출 사례가 늘어나는 추세인 만큼 개인정보보호법 보강이 필요하다고 제언했다.
최근 문제가 불거진 사안은 위탁업체가 해킹을 당하면서 농촌진흥청(농진청)과 국립농업과학원(농과원), 국립축산과학원(축산원) 세 기관의 개인정보가 유출된 건이다. 지난해 4월 SI 업체 미소테크의 네트워크 저장장치(NAS)가 해킹당하면서 이 회사에 개인정보처리시스템 운영 등 업무를 위탁한 세 기관의 개인정보가 유출됐다.
같은 해킹으로 발생한 유출이었지만 처분은 제각각이었다. 농진청은 과징금 1억6800만원과 시정 권고를, 농과원은 과징금 2310만원과 시정명령을 받았지만, 축산원은 과징금 없이 시정명령만 받았다.
과징금 부과는 '개정법 적용 여부'에 따라 달라졌다. 2023년 9월 15일부터 시행된 개인정보보호법은 위탁자가 관리·감독·교육을 소홀히 해 수탁자가 개인정보보호법을 위반하는 경우 위탁자에게도 과징금을 부과할 수 있다고 규정한다. 관리·감독 의무는 개정 전에도 있었지만 과징금 부과 근거는 개정하면서 추가됐다.
개인정보위 의결서에 따르면 세 기관은 모두 개정 전 개인정보보호법이 적용돼야 한다고 주장했다. 농진청과 농과원은 2022년 12월에, 축산원은 2020년 9월에 위탁계약이 종료되면서 관리·감독 의무도 소멸했다고 설명했다.
개인정보위는 의결서를 통해 "작위의무를 이행하지 않은 위법 상태는 그 의무가 이행될 때까지 계속된다고 보는 법리에 따라 수탁자 관리·감독 의무 위반 상태는 적어도 '정보화 용역사업 보안강화계획'이 수립된 2025년 5월까지 계속됐다"며 농진청·농과원 측 주장에 반박했다. 개인정보 처리실태를 제대로 점검·확인하지 않은 잘못은 해결될 때까지 지속되니, 개정 후 법률을 적용한다는 뜻이다.
반면 축산원의 관리·감독 의무는 위탁 계약 종료와 함께 소멸했다고 간주했다. 축산원은 유출 사고 발생 시까지 미소테크가 NAS를 구축·운영한다는 사실을 인지하지 못했고, 위탁 기간 중 현장 점검을 실시하지도 않았다. 농진청의 현장 보안 점검은 "정보보안 중심으로 실시됐고 일평균 3.6개의 사업을 점검했다 보니 실효적인 점검이라고 보긴 어렵다"고 판단한 것과 상반된다.
개인정보위는 연속성을 기준으로 적용했다는 입장이다. 농진청과 농과원은 해당 계약 종료 후에도 미소테크와 다른 정보화 사업 계약을 맺어 관리·감독 의무가 유지됐는데, 축산원은 그렇지 않다는 것이다. 다만 연속성은 기존에 정해 둔 기준이 아니라 개인정보위가 이번 사안을 검토하면서 도입한 개념이다.
독자들의 PICK
지금 3,414명 읽는 중
개인정보보호법이 엄밀하지 않고 사례가 충분히 축적되지 않은 만큼 사안별 판단 방식이 불가피한 상황이다. 이에 개인정보보호법 보강 필요성이 제시된다.
황석진 동국대 국제정보보호대학원 교수는 "계약이 실질적으로 연속된다고 한다면 과징금을 부과하는 게 맞다고 보지만, 농진청 입장에서도 같은 해킹으로 다른 처분을 받으니 억울할 수 있다"면서 "개인정보 유출 사고가 속출하는 만큼 국회에서 개인정보보호법을 촘촘히 개정할 필요가 있다"고 했다.
