정보 유출한 기관, 과징금·형사처벌 어디까지

서강대 18만 건, 뚫린 통합 계정

서강대가 8월 15일 통합 로그인 시스템이 외부 공격을 받아 약 18만 건의 개인정보가 유출됐다고 밝혔다. 새어나간 항목은 학번과 이름, 소속, 이메일, 휴대전화 번호이고 암호화된 통합 비밀번호도 들어 있다. 재학생만이 아니라 졸업생과 자퇴생, 전자공학과 70학번인 박근혜 전 대통령까지 명단에 포함됐다.

학교는 공격 IP를 차단하고 서비스 접근을 제한했다고 설명했다. 이 사건이 남기는 질문은 하나다. 기관이 이렇게 정보를 흘리면, 실제로 어떤 처벌을 받나.

과징금은 매출의 3%, 다만 기관은 상한이 있다

Photo by Zulfugar Karimov on Unsplash

2023년 9월 시행된 개정 개인정보보호법으로 과징금 계산 방식이 크게 바뀌었다. 예전에는 '위반과 관련된 매출액'의 3%였지만, 지금은 기업 '전체 연매출액'의 3%까지 물릴 수 있다. 매출 규모가 큰 기업일수록 과징금이 수백억, 수천억 단위로 뛴다는 뜻이다.

문제는 대학이나 공공기관처럼 매출이라 부를 것이 마땅치 않은 곳이다. 이 경우 법은 20억 원을 상한으로 정해 두었다. 최근 공공기관 유출 사고에서 기업이라면 수천억이 나올 사안이 억대에 그칠 것으로 전망되면서, 기관에 지나치게 관대하다는 지적이 나온다. 서강대도 학교법인이어서 이 상한 구조의 적용을 받을 가능성이 크다.

"해킹당했으니 우리도 피해자"는 통하지 않는다

기관들이 흔히 내세우는 논리가 있다. 외부에서 침입당했으니 기관도 피해자라는 주장이다. 그러나 법은 그렇게 보지 않는다. 개인정보처리자에게는 접근 통제, 암호화, 접속 기록 관리 같은 안전조치 의무가 있고, 이 의무를 소홀히 한 상태에서 유출이 났다면 고의가 없었더라도 책임이 성립할 수 있다.

형사처벌도 별도로 열려 있다. 정보를 목적 외로 이용하거나 제3자에게 무단 제공하는 등 중대한 위반에는 5년 이하 징역이나 5천만 원 이하 벌금이 따른다. 양벌규정이 있어 실무자만이 아니라 법인에도 벌금이 부과된다.

다만 갈리는 지점이 있다. 안전조치를 충실히 지켰는데도 예상하기 어려운 방식으로 뚫렸다면, 보호조치 위반과 유출 사이의 인과관계가 인정되지 않아 제재가 가벼워질 수 있다. 무게를 가르는 것은 해킹이라는 사실 자체가 아니라 관리를 얼마나 소홀히 했는가다.

기관이 벌을 받아도 내 보상은 따로다

기관 제재와 개인 구제는 다른 트랙에서 움직인다. 과징금은 국고로 들어가지 피해자에게 배분되지 않는다. 피해자가 직접 챙겨야 하는 것은 손해배상이다.

개인정보보호법은 손해액을 증명하기 어려운 피해자를 위해 법정손해배상을 둔다. 구체적 피해를 입증하지 못해도 300만 원 이하 범위에서 배상을 청구할 수 있고, 이때 과실이 없었다는 사실은 기관이 입증해야 한다. 기관의 고의나 중과실이 인정되면 실제 손해액의 최대 5배까지 물리는 징벌적 손해배상도 가능하다.

소송이 부담스럽다면 개인정보 분쟁조정위원회를 이용하는 방법이 있다. 2023년 개정으로 공공기관과 일정 규모 이상 기업은 조정 절차에 의무적으로 참여해야 한다.

유출 통지를 받았다면

• 어떤 항목이 유출됐는지부터 확인한다. 비밀번호가 포함됐다면 같은 비밀번호를 쓰는 다른 사이트를 즉시 바꾼다.
• 통지문에 적힌 발생 시점과 경위를 보관해 둔다. 배상이나 조정에서 근거가 된다.
• 피해가 작고 입증이 어렵다면 법정손해배상이나 분쟁조정이 현실적이다. 금전 피해가 크고 관리 부실이 뚜렷하다면 징벌적 손해배상까지 검토할 수 있다.
• 기관 처벌 여부와 상관없이 개인 구제는 별도로 청구해야 한다는 점을 기억한다.

출처

1. 서강대, 18만명 개인정보 유출…박근혜 전 대통령도 포함(종합)
2. ‘개인정보 사고’ 기업 과징금 전체 매출액 3%로 높아진다
3. 개인정보 보호법 위반에 대한 과징금 부과기준 (국가법령정보센터)
4. 개인정보 유출시의 조치방안 (찾기쉬운 생활법령정보)
5. 개인정보유출 과징금 ‘기업 6천억 vs 기관 7억’