개인정보 침해 “해커보다 직원실수가 더 심각”

프린트

Live 중기 ㅣ 산업뉴스 개인정보 침해 “해커보다 직원실수가 더 심각” 불감증 원인, 경각심 필요…컴퓨터보안·직원교육 함께 해야

기사입력2015-08-03 00:00

윤주희 기자 (jooheey15@junggi.co.kr) ㅣ다른기사보기

#1. 초등·중학생을 대상으로 수학과 영어를 가르치는 A학원은 경시대회에서 입상한 수강생이나 특목고에 합격한 수강생들의 사진과 이름, 학교 등을 기재한 현수막을 내걸고 팸플릿을 만들어 학원에 비치했다. 그런데 얼마 전 현수막에 이름이 올랐던 한 학생의 부모가 학원을 상대로 손해배상을 청구했다. 자녀의 개인정보를 동의 없이 사용해 피해를 봤다는 것이다. A학원은 “성적이 좋은 수강생들을 격려하고, 다른 학생들의 학습 동기를 부여하기 위한 것 일뿐 다른 뜻은 없었다”고 해명했지만 학부모는 이를 받아들이지 않았다. 법원 역시 “수강생의 개인정보를 현수막 등에 기재하는 행위는 불특정 제3자에게 개인정보를 제공하는 것”이라며 “해당 수강생의 법정대리인 동의가 없었다면 명백한 불법”이라고 판결했다.

#2. C회사는 직원채용시 각 단계별 합격자를 인터넷으로 발표한다. 회사 홈페이지에 합격자의 이름과 생년월일을 게재해 본인확인을 하도록 하고 있다. 그런데 최근 C사에 지원한 D가 “합격자 목록에 이름과 생년월일을 기재하는 것은 개인정보 침해”라며 “삭제하지 않을 경우 개인정보 분쟁조정위원회에 신고하겠다”고 알려왔다. 깜짝 놀란 회사는 자사의 합격자 발표 방식에 문제가 있는지 한국인터넷진흥원에 문의했고, “홈페이지를 통해 합격자를 발표할 경우, 비밀번호 등으로 본인만 확인할 수 있는 방법을 제공해야 한다“는 답변을 들었다. 이에 따라 C사는 앞으로 합격자를 발표할 때 응시번호나 수험번호만 기재하거나 성명의 일부분을 ‘홍＊동’처럼 마스킹 처리하는 방법을 고민하고 있다.

#3. E경찰서는 가정집에서 불법 도박판이 벌어진다는 신고를 받고 출동해, 현장에서 현금 수천만원을 압수하고 F 등 5명을 불구속 입건했다. 이후 경찰의 조사를 받던 F는 자신을 신고한 사람이 누구인지 알고 싶다며 경찰에게 신고자를 알려 줄 것을 요구했다. 경찰은 안 된다고 거절했지만, F가 이 문제를 가지고 계속해서 귀찮게 굴자 신고자의 휴대전화 번호 마지막 4자리를 가르쳐 줬다. 이 정보만으로는 특정인을 식별할 수 없을 것이란 판단에서였다. 그러나 F는 자신이 입수한 번호를 이용해 주변 사람들의 휴대전화 번호를 추적했고, 결국 신고자를 찾아냈다. 이후 F의 연락을 받은 신고자는 A경찰서가 자신의 개인정보를 유출했다며 소송을 제기했다. 법원은 “해당 정보만으로는 특정 개인을 식별할 수 없더라도, 다른 정보와 용이하게 결합해 특정인으로 판단할 수 있는 가능성이 있다면 개인정보에 해당한다”며 A경찰서에 손해배상을 하라고 판결했다.

사업자 개인정보보호 정기교육 모습 ©중기이코노미

개인정보보호법이 강화되면서 이처럼 자신도 모르게 개인정보를 침해하는 경우가 늘고 있다. 한국인터넷진흥원이 지난달 30일 주최한 2015년 사업자 개인정보보호 정기교육에서 건양대학교 정보보호학과 차건상 교수는 “많은 사업자들이 개인정보보호를 위해 컴퓨터 보안에 매달리는데, 사실 해킹 등에 의한 정보 유출보다 사람의 실수나 고의에 의한 침해가 더 심각하다”며 “사람은 컴퓨터와 달리 통제가 쉽지 않은 만큼 많은 노력이 필요하다”고 말했다.

차 교수에 따르면, 담당 직원에 의해 발생하는 개인정보 침해는 주로 수집한 개인정보를 사용할 때 발생한다. 그는 “이미 수집한 정보라도 ▲이용자로부터 동의 받은 목적이나 ▲요금정산을 위해 필요한 경우 ▲법률에 특별한 규정이 있는 경우 등이 아니라면 사용할 때 다시 한 번 이용자의 동의를 받아야 한다”며 “그러나 많은 담당자들이 이를 잘 모르고 있다”고 말했다.

개인정보보호법 제17조에 따르면, 개인정보 처리자는 이미 동의를 받았거나 법규에서 정한 특별한 경우가 아니라면 이용자의 개인정보를 제3자에게 마음대로 제공해선 안 된다. 여기서 ‘제3자’란 이용자로부터 동의를 얻어 개인정보를 수집한 기업 이외의 모든 개인·법인·조직을 말하며, ‘제공’이란 저장매체 등을 이용한 물리적 이전, 네트워크를 통한 전송, 제3자의 접근 권한 부여, 제3자와의 공유 등이 포함된다. 더불어 이용자가 14세 미만의 아동인 경우엔 개인정보보호법 제22조 제5항에 의거, 이용자 자신이 아니라 부모 등 법정대리인의 동의를 얻어야만 한다.

개인정보 제3자 제공 동의 방법

<자료=2015 사업자 개인정보보호 정기교육 자료집>

따라서 사업자가 수집한 목적 이외에 다른 용도로 개인정보를 사용할 예정이라면, 미리 고객에게 개인정보 제3자 제공 동의서를 받아야 한다. 이때 동의서에는 제공받는 자와 목적, 항목, 보유기간, 동의여부 등이 포함돼야 한다. 예를 들어, 온라인 쇼핑몰이 구매자에게 상품을 보내기 위해 배송업자에게 고객정보를 공개하고자 할 경우, 구매자 정보(아이디, 이름, 주소 등)를 어디까지 공개할 것인지, 이를 배송 후 몇 개월까지 보관토록 할 것인지 등을 밝혀야 한다.

한편, 차 교수는 기업들이 실수로 인한 개인정보 침해를 줄이려면 “조직 내 개인정보 담당자가 정기적으로 개인정보 교육을 받을 수 있게 해야 한다”고도 말했다. 그는 “조직 내 개인정보 침해는 직원들의 불감증이 가장 큰 원인”이라며 “개인정보보호에 대한 중요성과 유출사고에 대한 경각심을 일깨울 수 있는 다양한 교육 프로그램을 진행할 필요가 있다”고 강조했다.

또한 차 교수는 “조직 내 개인정보 데이터베이스(DB)를 주기적으로 관리·통제할 수 있는 시스템을 만들 것”도 주문했다. 그는 “많은 회사들이 수집한 고객 DB를 텔레마케팅(TM), 사이버마케팅(CM) 등 채널별로 카피해 나눠준 뒤 알아서 관리하게 한다”며 “이렇게 되면 DB 내용이 바뀌더라도 이를 통제할 수 없게 돼, 이미 탈퇴한 회원에게 광고메일이 발송되는 등 분쟁을 일으킬 소지가 생긴다”고 말했다.