올 1월 KB국민카드, 롯데카드, NH농협카드 사용자 개인정보 1억건이 유출되는 사고가 발생하면서 개인정보보호에 대한 사회적 관심이 높아지고 있다. 카드 3사는 3개월간 영업정지라는 중징계를 받았고, 피해자들의 집단소송도 앞두고 있다.

개인정보로 인해 받을 수 있는 형사처벌은 1000만원 이하의 벌금 또는 2년이하의 징역이다. 이밖에 1억원 이하의 과징금이나 3000만원 이하의 과태료가 부과될 수도 있다. 개인정보 유출의 파급효과를 고려하면 처벌은 생각보다 무겁지 않다. 정보를 유출당한 피해자들의 집단소송도, 법원이 인정하는 손해배상금이 통상 10만원 내외여서 생각보다 큰 문제가 아니라고 볼 수도 있다. 피해자 1000명과의 집단소송에서 패하더라도 손해배상금이 1억원 내외 수준이기 때문이다.

그러나 고객의 신뢰를 잃게 된다는 점은 생각보다 심각한 문제다. 개인정보 유출이 확인된 직후 해당 카드사 고객들이 집단이탈했고, 이로 인해 경쟁 카드사의 주가가 치솟는 현상까지 벌어진 바 있다.

여기에 손해배상액과 과징금을 늘리는 방향으로 관련 법도 개정돼 더욱 주의를 요한다. 17일 방송통신위원회와 한국인터넷진흥원이 공동으로 개최한 ‘2014년 사업자 개인정보보호 정기교육’에서는 개인정보 유출에 따른 피해사례와 개정 정보통신망법의 내용이 소개됐다.

17일 방송통신위원회와 한국인터넷진흥원이 공동으로 개최한 ‘2014년 사업자 개인정보보호 정기교육’에서는 개인정보 유출에 따른 피해사례와 개정 정보통신망법의 내용이 소개됐다.   ©중기이코노미

개인정보보호에 대한 인식이 부족하던 당시에는 수집한 개인정보를 거래하거나, 손쉽게 마케팅용으로 이용하는 일이 많았다. 하지만 대형 개인정보 유출사고가 발생하면서 피해자들의 인식도 높아졌고, 개인정보 수집과 이용에 대해 손해배상을 청구하는 일도 잦아졌다.

이벤트 대행업체 A사는 이용자 동의없이 개인정보를 수집해 TM에 활용했다가 분쟁조정위원회 결정에 의해 손해배상을 하게 됐다. 온라인 쇼핑몰 사업자 B사는 탈퇴 회원의 개인정보를 파기하지 않고 광고성 이메일을 발송했다가 마찬가지로 손해배상을 하게 됐다. 또 C사는 홈페이지에 기술적·관리적 보호조치를 제대로 하지 않아, 인터넷 검색사이트에 자사의 개인정보 파일이 노출돼 손해배상을 해야 했다.

이처럼 개인정보 유출에 따른 손해배상과 소비자 신뢰 상실을 피하기 위해서는 관련 법을 확인하고 준수해야 한다. 특히 카드사 정보유출로 인해 지난 5월 개정된 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’이 11월29일 시행을 앞두고 있다.

개정된 정보통신망법은 기존 조항을 구체화하거나 허용범위를 축소하는 것을 주 내용으로 하고 있다.

대표적으로 개인정보 수집을 제한한 제23조 1항의 경우 기존에는 제공자의 사상, 신념, 과거의 병력 등 개인의 권리나 사생활을 침해할 우려가 있는 개인정보는 수집해서는 안되지만, 이용자의 동의나 다른 법률에 따라 허용된 경우에는 예외적으로 수집을 허용해왔다. 개정안에서는 사생활 정보에 가족 및 친인척 관계, 학력, 기타 사회활동 경력 등을 추가해 관련 정보를 구체화했다. 또 예외적으로 허용되는 경우에도 “필요한 범위에서 최소한으로” 수집해야 한다고 규정해 제한규정을 강화했다.

제23조 2항의 경우 기존에도 “필요한 최소한의 정보 외의 개인정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부하여서는 아니된다”고 규정해왔다. 개정안은 여기서 필요 최소한의 정보를 “해당 서비스의 본질적 기능을 수행하기 위해 반드시 필요한 정보”로 구체화했다. 인터넷 홈페이지의 회원가입을 비롯한 각종 계약 관계에서 ‘개인정보 제공에 동의하지 않는 경우 서비스를 받을 수 없다’고 규정했다가는 제공을 원한 개인정보의 내용에 따라 소송을 당할 수도 있다는 의미다.

영업양수에 따른 개인정보 이전 시 이용자에 대한 고지 의무도 구체화됐다. 기존에도 영업양수에 다른 개인정보 이전 시 이용자에게 그 사실을 알려야 한다고 정하고 있었는데, 개정안에서는 그 사실과 함께 “영업양수자 등의 성명(법인의 경우 법인의 명칭), 주소, 전화번호 및 그밖의 연락처”를 알려야 한다고 규정했다.

개인정보 누출 시에는 그 사실을 지체없이 알리고, 방송통신위원회에 신고해야 한다는 기존 규정에 “정당한 사유없이 24시간을 경과하여서는 아니된다”는 내용이 추가됐다. 24시간을 경과한 경우에는 정당한 사유를 방통위에 소명해야 하며, 소명을 하지 않거나 그 내용이 거짓인 경우에는 3000만원 이하의 과태료를 부과한다는 규정도 신설됐다.

개인정보 파기의 경우 “복구·재생할 수 없도록” 방법이 구체화됐다. 위반 시에는 2년 이하의 징역 또는 2000만원 이하의 벌금을 부과하도록 처벌도 강화됐다.

서비스 제공자의 고의 또는 과실로 개인정보가 유출될 경우, 이용자는 손해액에 대한 구체적인 입증 없이 최고 300만원 이하 범위에서 손해배상을 청구할 수 있다는 규정도 신설됐다. 고의 또는 과실이 없었다는 입증은 서비스 제공자가 해야 한다.

개인정보 유출에 따른 과징금 한도는 기존보다 세 배 많은 매출액의 100분의 3으로 변경됐다. 개인정보 관리 등을 위탁한 경우에는, 수탁자가 법규를 위반했을 때 이를 위탁한 서비스제공자에게 과징금이 부과되는 방안도 신설됐다.

또 8월18일 이전에 기존 보유 주민등록번호를 파기해야 한다.

한국인터넷진흥원은 중소사업자를 대상으로 기존 웹사이트를 주민번호 미수집 형태로 전환하고 보유 정보는 파기할 수 있도록 무료로 기술지원을 하고 있다. 지원대상은 연 매출액 30억원 이하 또는 상시근로자 50인 미만 사업자 중 웹사이트 운영 사업자이며 주민등록번호를 수집 또는 보유하는 사업자다. 기술지원을 받기 위해서는 개인정보보호 포털(www.i-privacy.kr) 홈페이지를 통해 신청할 수 있으며, 관련 내용은 국번없이 118번으로 전화해 문의할 수 있다.

<저작권자 ⓒ 중기이코노미. 무단전재 및 재배포 금지>