[화담일보 = 화담일보기자] 개인정보가 유출될 때 사람들은 대개 사고가 발생한 기관의 사과문을 먼저 접한다. 그러나 피해가 왜 발생했고 어떤 점을 고쳐야 다시 같은 일이 일어나지 않을지에 대한 설명은 훨씬 늦게 도착하곤 한다. 국회예산정책처가 9월 29일 공개한 'NABO Focus 제177호'는 개인정보 유출사고 대응 재정사업을 살피며 사고조사 처리 장기화, 공공·민간 부문에 맞춘 대응체계의 부족, 조사 결과가 현장 개선으로 이어지지 못하는 문제를 제기했다. 예산을 투입해 사고를 조사하는 것만으로 디지털 신뢰가 회복되는 것은 아니라는 질문을 던진다.
[사고를 조사하는 행정에서 사고를 줄이는 행정으로]
개인정보 보호는 사고가 발생한 뒤 책임자를 찾는 일만을 뜻하지 않는다. 조직이 평소 어떤 정보를 수집하고, 누가 접근하며, 언제 파기하는지 관리하는 체계까지 포함한다. 필요 이상의 개인정보를 수집하거나 오래 보관한다면 보안장비를 강화해도 위험의 원인이 완전히 사라지지 않는다. 사고 이후 조사는 중요하지만 예방 설계가 빠진 상태에서는 비슷한 유형의 침해가 반복될 수 있다.
공공예산이 쓰이는 사업이라면 투입액과 교육 횟수, 점검 건수보다 실제 위험이 줄어들었는지를 따져야 한다. 단순히 사고가 적게 신고됐다는 숫자만으로 성과를 판단하기도 어렵다. 신고 체계가 좋아지면 이전에는 드러나지 않던 사고가 더 많이 확인될 수 있기 때문이다. 정책 평가에는 예방 수준과 사고 발견 능력, 대응의 정확성, 사후 개선 여부를 함께 담는 지표가 필요하다.
정부와 공공기관은 사고 예방을 개별 기업의 자율적 선택에만 맡기기 어렵다. 개인정보는 한 번 외부에 퍼지면 회수하기 어려운 특성이 있고, 한 조직의 실수가 다수 시민에게 영향을 줄 수 있다. 그렇다고 규제의 수를 늘리는 방식이 언제나 정답은 아니다. 지켜야 할 기준을 분명히 하고 현장에서 실천 가능한 지원체계를 만드는 것이 더 중요하다.
[공공과 민간은 같지 않다]
국회예산정책처가 공공·민간 부문별 사고 특성을 고려한 대응이 미흡하다고 지적한 대목을 주목해야 한다. 공공기관은 법률과 행정 절차에 따라 광범위한 정보를 취급하는 경우가 많고, 민간기업은 서비스 구조와 거래관계, 외부 위탁업무에 따라 위험이 달라질 수 있다. 같은 체크리스트를 일률적으로 적용하면 서류상 점검은 끝나도 실제 취약한 지점이 남는 문제가 생긴다.
대규모 기관과 영세사업자에게도 똑같은 방식의 부담을 지우는 것이 반드시 공정한 것은 아니다. 보호해야 할 정보의 성격과 위험의 크기는 엄정하게 판단하되 기술인력이나 관리 자원이 부족한 조직에는 실질적인 지원이 뒤따라야 한다. 특히 외부 업체가 보관하거나 처리하는 정보에 관한 책임, 권한 설정, 계약 종료 후 정보 파기 등은 조직 규모와 무관하게 확인할 영역이다.
민간의 혁신이 활발하려면 기업들이 개인정보를 책임 있게 활용할 수 있는 예측 가능한 제도가 필요하다. 보호와 혁신을 어느 한쪽의 승리로만 설명하는 논쟁은 문제 해결에 도움이 되지 않는다. 개인정보 최소 수집, 목적에 맞는 사용, 침해 발생 시 설명 책임은 신뢰 가능한 디지털 서비스의 토대다. 그 책임을 지키는 기업이 부당하게 불리해지지 않는 경쟁 환경을 조성해야 한다.
[조사 결과를 현장으로 돌려보내야 한다]
사고 원인이 규명됐는데도 그 경험이 유사 기관의 예방 수준을 높이는 데 활용되지 못한다면 공적 자원의 효과는 제한적일 수밖에 없다. 국회예산정책처는 조사 결과의 예방 환류와 현장 개선 연계가 미흡하다는 문제도 제기했다. 조사 이후의 조치계획과 이행 여부를 확인하지 않는다면 행정기관은 새로운 사건을 처리하느라 같은 위험을 반복해서 만날 수 있다.
개선 방향은 분명하다. 조사 결과의 공개 가능 범위 안에서 반복되는 취약 요인을 분류하고, 기관들이 실제 적용할 수 있는 지침과 점검 도구를 제공해야 한다. 피해자의 개인정보나 새로운 공격 방법이 불필요하게 노출되지 않도록 하면서도, 다른 조직이 사고의 교훈을 얻을 수 있도록 정보의 전달 방식을 설계할 필요가 있다.
평가도 보고서 발간으로 끝나서는 안 된다. 개선 권고가 현장의 접근권한 정비, 위탁관리 개선, 위험 정보 삭제, 교육체계 보완으로 연결됐는지 확인해야 한다. 이 과정에서 당사자에게 지나친 행정서류만 요구하면 현장은 보호 활동보다 보고 업무에 시간을 쓰게 된다. 필요한 증빙과 실질적 개선을 구별하는 운영 능력이 중요하다.
[피해자의 시간은 행정의 시간보다 빠르다]
개인정보 유출의 피해 가능성은 조사 종료를 기다려주지 않는다. 시민은 자신의 정보가 어떤 범위에서 노출됐는지, 당장 무엇을 해야 하는지, 이후 어떤 통지를 받을 수 있는지 알아야 한다. 조사 과정의 정확성은 지켜야 하지만 지연되는 동안 위험을 줄이는 안내와 지원도 적시에 제공될 필요가 있다. 성급한 책임 단정과 늦은 피해 안내 사이에서 하나만 고르라는 식의 행정은 바람직하지 않다.
사고 책임은 근거에 따라 분명하게 물어야 한다. 다만 처벌 수위를 높이는 것만으로 예방 능력이 자동 향상되지는 않는다. 내부 인력의 훈련, 보안 투자, 조직의 의사결정, 감독기관의 사후 검증이 함께 작동할 때 제도의 실효성이 높아진다. 보안 사고를 숨길 유인이 생기지 않도록 신고와 개선의 경로도 현실적으로 설계해야 한다.
[재정사업에는 예방 성과를 확인하는 체계가 필요하다]
예방 중심 정책은 사고가 일어나지 않았다는 사실을 증명하기 어렵다는 한계를 갖는다. 그렇다고 관련 사업을 단순한 예산 집행률로만 평가할 수는 없다. 기관별 위험 진단의 이행, 발견된 취약점의 수정 여부, 모의훈련 이후의 대응 속도 개선, 사고 발생 시 이용자 안내의 적시성 등 다양한 중간 지표를 조합해 평가할 수 있다. 다만 지표가 늘어날수록 현장의 보고 부담도 증가하므로 꼭 필요한 항목을 선정해야 한다.
특히 외부 위탁업무가 많은 조직에서는 계약서에 보안 의무를 적었다는 사실만으로 충분하지 않다. 어떤 데이터에 접근할 수 있는지, 업무 종료 후 자료를 회수하거나 파기했는지, 침해 상황에서 연락할 책임자는 누구인지 확인할 필요가 있다. 조직마다 업무의 흐름이 다르므로 공통 지침과 현장별 위험평가를 함께 운영하는 편이 실효성에 가깝다. 개인정보를 취급하는 과정 자체를 줄이는 선택도 중요한 예방 전략이다.
피해가 발생했을 때 무엇을 알릴지 미리 준비하는 것도 재정사업의 평가 대상이 될 수 있다. 개인정보 처리기관과 감독기관의 책임을 구분하고 피해 통지가 지나치게 기술적인 용어로만 구성되지 않게 해야 한다. 이용자는 자신에게 필요한 행동을 이해해야 하며 불필요한 불안이나 확인되지 않은 피해를 확정적으로 전달받아서는 안 된다. 정확성과 신속성을 함께 추구하는 훈련이 필요하다.
예산을 적게 쓰는 것이 언제나 효율적인 것은 아니다. 피해 규모와 회복 비용을 줄일 수 있는 사업이라면 충분한 투자가 필요하다. 반대로 관리체계를 실제로 개선하지 못하는 형식적인 점검에는 높은 집행률만으로 좋은 평가를 주기 어렵다. 국회는 집행기관을 단순히 질책하는 데 그치지 말고 증거에 기반한 평가 기준을 보완해야 한다. 신뢰를 지키는 돈이 어디에 쓰이고 어떤 위험을 줄였는지 시민에게 설명할 책임이 있다.
개인정보 보호정책의 성공은 발표된 대책의 분량이나 예산 규모가 아니라 시민의 불안을 실제로 덜어냈는지로 평가돼야 한다. 국회와 정부는 사고조사 기간의 적정성, 위험에 비례하는 예방사업, 권고의 이행 확인을 한 체계 안에서 점검해야 한다. 디지털 사회가 커질수록 개인정보는 부수적인 기술 문제가 아니라 공동체의 신뢰를 지탱하는 공적 책임이다. 사고가 터진 뒤의 속도뿐 아니라 사고가 나기 전의 준비를 평가하는 행정으로 전환해야 한다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}