10일 오전 정부 서울청사에서 열린 개인정보 유출 재발방지 종합대책 합동브리핑. 왼쪽부터 최수현 금감원장, 안행부 박경국 1차관, 최문기 미래부 장관, 현오석 경제부총리, 신제윤 금융위원장, 김대희 방통위 상임위원<사진=뉴시스>

앞으로 관리소홀 등으로 개인정보를 유출한 금융기관은 최대 50억원까지, 불법으로 이를 활용한 금융회사는 ‘관련 매출액’의 최대 3%까지 과징금을 부과받는다. 징벌적 손해배상, 배상명령제와 같은 강력한 제재수단 도입 문제는 “추가 논의”후 입법을 논의하기로 했다.

정부는 10일 오전 금융위, 기재부, 금감원 등 관계부처 합동으로 금융분야 개인정보 유출 재발방지 종합대책을 발표했다.

그러나 정보 유출 금융사에 대한 최고 수위 제재가 피해자에게 실제적 보상이 없는 ‘징벌적 과징금’ 성격의 제재에 그쳤다는 점, 거대한 규모의 금융회사에 대한 ‘최대 50억원’과 상대적으로 매출 규모가 작은 불법정보 활용 업체에 대한 ‘관련 매출액의 3%’라는 각각의 과징금이 실효성을 얻을지는 논란이 계속될 전망이다. 지방선거가 3개월도 남지 않은 상황에서 이번에 발표된 대책의 처리 가능성에도 물음표가 붙고 있다.

과징금 최대 50억원…‘관련매출’ 최대 3%

정부는 먼저 개인정보를 유출·불법활용한 금융회사에 대해서는 사회적 파장 등을 감안해 대폭 상향된 ‘징벌적 과징금’을 신설한다고 밝혔다. 현재 법에서 정해진 과징금 수준이 너무 낮아 ‘솜방망이 처벌’로 실효성이 낮다는 여론에 따른 방안이다. 현행 정보유출시 과징금 상한은 정보통신망법에서는 1억원, 개인정보보호법에서는 5억원으로 규정하고 있다.

한 카드사는 개인정보 유출 피해자의 9살짜리 딸에게 유출 알림 우편물을 전달해 공분을 사기도 했다.<사진=피해자 제공/뉴시스>

정부는 과징금 산정에 대해 “위반행위와 불법정보 등으로 인한 영업수익, 고의·과실 정도에 따라 산정되며, 위반행위 횟수와 유출정보 건수 등을 감안해 50%까지 가중 또는 감경될 수 있다”고 설명했다.

한편 현오석 부총리는  징벌적 손해배상, 배상명령제도 등에 대해서는 “소비자 피해자 구제 필요성과 기존법 체계 등을 고려해 관계부처 논의를 추진, 4월 국회에서 입법을 논의하겠다”고 밝혔다.

징벌적 손해배상제는 징벌을 가할 목적으로 부과하는 손해배상으로, ‘징벌적 과징금’과 달리 피해자가 직접적인 배상을 받을 수 있는 제도다. 배상명령제는 피해자 소송 이전에 정부가 가해자 등에 피해 배상 및 구제계획을 실행하도록 명령하는 제도다.

한편 금융사의 CEO와 이사회는 매년 정보보호 현황 및 정책을 직접 보고받아야 하며, 이 내용을 감독당국에도 제출해야 한다. 금융회사는 신용정보 관리·보호인을 임원으로 둬야 한다. 일정규모 이상 금융회사의 정보보호최고책임자(CISO)는 타 IT 관련 직위와 겸직이 제한된다. 정보의 ‘안전성’을 책임져야 할 CISO가 ‘효율성’을 강조하는 업무를 겸해 발생할 수 있는 이해상충을 막기 위한 것이다.

개인정보 수집 줄이고 제3자 정보제공 ‘포괄적 동의’ 금지

현재 30∼50여개에 이르는 금융기관의 개인정보 수집 항목은 공통 필수항목(이름, 주민번호, 주소, 연락처, 직업, 국적)과 상품성격상 필요정보(예; 관련 상품 가입상황) 등 필수정보 6~10개로 줄어든다. 금융지주사 내 계열사 정보를 고객동의 없이 외부영업에 이용하는 것도 제한되며, 계열사간 정보 제공시에는 이용기간을 최소한으로 설정해야 한다.

제3자 정보제공시 ‘포괄적 동의’는 받을 수 없게 되며, 서비스 제공에 ‘필수적/선택적 제3자’를 구분해 당사자의 동의를 받아야 한다. 이 경우에도 정보이용 목적, 제공업체, 제공기간, 파기계획 등을 구체적으로 적시해야 한다. 아울러 거래종료 후에는 식별·거래정보 등을 제외한 여타 신상정보 등은 즉시(3개월 이내) 파기해야 한다.

금융기관의 주민번호 사용 행태도 손을 본다. 금융사는 최초 거래시에만 주민번호를 수집하되 ‘키-인’(당사자가 키패드 등을 직접 눌러 데이터를 입력하는 것) 방식으로 입력하도록 해야 한다. 이후에는 주민번호 수집 없이 여타 정보 등을 통해 신원을 확인해야 한다. 아울러 수집된 주민번호는 암호화해 안전하게 보관해야 한다. 특히 정부는 주민번호 불법활용·유출에 대해서는 일반 개인정보보다 가중 제재하겠다고 강조했다.

SMS 등 비대면 영업행위도 제한된다. 무차별적 SMS 전송을 통한 영업행위는 전면금지되고, 전화 및 이메일 등 여타 비대면 모집·권유행위는 엄격한 정보활용 기준에 따라 제한적인 범위내에서만 허용된다.

금융소비자는 앞으로 본인 정보의 이용·제공 현황을 언제든지 확인할 수 있게 된다. 금융사는 이를 위한 조회시스템을 구축해야 한다. 고객은 원하는 경우 기존의 정보제공 동의를 철회할 수 있게 된다. 아울러 고객이 “수신 거부” 의사를 밝히면 해당 금융회사는 영업목적 연락을 취할 수 없게 된다. 거래종료 고객이 개인정보의 보호를 요청할 경우, 금융회사는 파기 또는 보안조치를 취해야 한다.

정부는 이번 대책 중 법 개정이 필요하지 않은 대책은 최대한 조속히 시행하겠다고 밝혔다. 금융회사가 보유한 불필요한 정보는 즉시 파기하도록 하고, 신용정보관리보호인을 통해 파기현황을 자체점검한 후 금감원이 4분기에 이 사항을 점검한다는 계획이다. 비대면 영업 통제방안 가이드라인은 3월중 확정해 4월 시행에 들어간다.

신용정보법·전자금융거래법 등의 법률개정안은 상반기중 국회 통과를 추진한다는 계획이다. 그러나 4월 임시국회가 6.4 지방선거를 얼마 남기지 않아 열리는데다,  TF 등도 가동되지 않는 상태여서 앞으로 갈길이 멀다는 평가가 우세하다.

<저작권자 ⓒ 중기이코노미. 무단전재 및 재배포 금지>