▲한국인터넷기업협회와 법무법인 세종이 19일 서울 광화문 D타워에서 '개인정보 보호법 개정 동향과 합리적 제도 개선 방안 세미나'를 개최했다. 업계와 학계, 법조계를 비롯한 개인정보보호위원회 관계자들이 토론을 하고 있다. 사진=정희순 기자


개인정보 유출 기업에 대한 처벌을 대폭 강화한 개인정보보호법 개정안이 오는 9월 전격 시행되는 가운데, 관련 규제가 기업 활동을 과도하게 제한한다는 지적이 제기됐다. 법안이 공포되기까지 충분한 숙의의 과정을 거치지 못한 데다 지나친 징벌적 조항이 기업 활동을 지나치게 옥죈다는 게 업계 주장이다. 다만 개인정보보 바다신릴게임 호위원회 측은 “그간 개인정보 유출 사고의 경우 피해자는 있는데 책임지는 사람이 없었다는 게 가장 큰 문제였다"며 “추가적으로 추진 중인 개정안의 경우에도 빠르게 통과될 것으로 기대한다"고 말했다.
◇번갯불 콩 구워먹듯 통과된 개보법 개정안
권세화 한국인터넷기업협회 정책실장은 19일 서울 광화문 D타워에서 열린 '개인정보 릴게임오션파라다이스 보호법 개정 동향과 합리적 제도 개선 방안 세미나'에서 “개보법 개정으로 도입된 징벌적 과징금 제도는 기업의 존립을 위협할 수 있는 과도한 규제"라며 “기업에 과도한 책임을 지우려는 일련의 흐름에 대해 산업계는 심각한 우려를 가지고 있다"고 밝혔다.
지난 10일 공포된 개보법 개정안은 개인정보 보호에 대한 기업의 책임을 강화하는 내용을 손오공릴게임 담고 있다. 지난해 여러 건의 개인정보 유출 사건이 연이어 발생하면서 기업의 책임을 강화해야 한다는 여론이 형성된 데 따른 것이다. 이날 세미나는 산업계 입장을 대변하는 인기협과 법무법인 세종이 주최한 행사로, 학계와 법조계 전문가들을 비롯해 정부 측에서는 개보위 임종철 서기관이 자리했다.
개정안은 반복되는 대규모 유출 사고에 대응해 비교 골드몽사이트 적 신속하게 국회 본회의를 통과한 '긴급 입법' 성격을 가졌다. 지난해 12월 발의된 개정안은 일주일이 채 안돼 국회 정무위원회 법안소위를 통과했고, 지난달 본회의 문턱을 넘었다. 정부는 국무회의 의결을 거쳐 지난 10일 개정안을 공포했다. 개정안 시행일은 오는 9월 11일이다.
권 실장은 “개정안이 발의된 지 일주일도 안 돼 법안소위를 오션파라다이스예시 통과하면서 산업계는 의견을 개진할 시간조차 없었다"며 “기업에게 중대한 사안들이 제대로 논의조차 이루어지지 못하고 통과됐다는 점이 매우 우려된다"고 말했다. 그러면서 “정보주체를 두텁게 보호해야 한다는 사회적 요구에는 깊이 공감하지만, 혹시 분위기에 휩쓸려서 과도하게 진행된 것은 아닌가 걱정이 크다"고 덧붙였다.
◇피해자냐 가해자냐…정보 유출 기업을 보는 시각 차
개정안에 따르면 중대한 보안 위반을 저지르거나 반복적으로 개인정보가 유출된 기업은 전체 매출액의 최대 10%까지 과징금을 물어야 한다. 또 개인정보가 유출된 정황을 확인하지 못했더라도 유출 가능성이 있다면 그 사실을 이용자들에게 고지해야 한다. 이에 더해 정부와 국회는 개보법 2차 개정을 추진 중인데, 현재 국회에 발의된 3건의 개정안은 해킹 사고 등이 발생한 기업은 스스로 무과실을 입증하도록 하고 있다.
이날 업계와 학계, 법조계 관계자들은 개정안이 정보 유출 기업을 '가해자'로만 바라보고 있다고 지적했다. 따지고 보면 기업은 해커로부터 공격을 받은 '피해 기업'인데, 개정안은 정보를 유출한 '가해 기업'으로 과도한 징벌에 초점을 맞췄다는 설명이다.
권 실장은 “국가 단위나 전문 해커 집단을 배후에 둔 사이버 공격은 날이 갈수록 고도로 진화하고 있으며, 외부의 악의적 공격을 100% 막아내는 것은 사실상 불가능하다"면서 “북한이나 해외 해커 집단 등 명백한 불법적 침해 사고에 있어 기업 역시 속수무책으로 당한 피해자임에도 불구하고 사실상 절대적인 '무과실 책임'을 지우는 것은 산업계에 대한 지나친 옥죄기"라고 말했다.
계인국 고려대 행정전문대학원 교수는 “최근 개인정보보호법의 강화되는 규제는 처벌과 제재에 집중돼 있다"며 “개인정보 유출의 문제가 단지 기업의 과실이나 관리 소홀만이 아니라 조직적인 외부의 공격과 관련된다는 점을 상기할 때, 과연 이러한 개정 동향이 정보유출을 막는데 적절한가에 대해서 매우 우려된다"고 말했다.
법무법인 세종의 윤호상 변호사도 “과거에는 그나마 정보 유출 기업을 피해자로 바라보는 시각이 강했지만 개정안은 가해자로 바라보고 있는 것 같다"며 “어찌됐건 개정안이 통과가 됐는데 추후에는 기업과 정보 주체가 상생할 수 있는 방식으로 제도가 설계되기를 바란다"고 말했다.
◇ 개보위 관계자 “책임 소재 명확히 한 것"
다만 업계와 학계, 법조계의 날선 지적에도 이날 토론에 참석한 정부 측 관계자는 개보법 2차 개정에 대해서도 의지를 명확히 했다. 법정손해배상 요건에서 개인정보처리자의 고의 및 과실 요건을 삭제한 개보법 제 39조2(법정손해배상청구) 개정안은 한정애 의원안과 김용만 의원안, 박범계 의원안 등 총 3건이 발의돼 있다.
임종철 개보위 서기관은 “정보유출 피해자 입장에서는 개인정보가 유출돼 분명한 피해를 봤는데 이를 책임지는 사람이 아무도 없다"며 “이런 상황에서 정보주체인 개인에게 피해 입증의 책임까지 물리는 상황을 이제는 끊어야 할 시점"이라고 강조했다. 그러면서 “정보 유출 기업은 개인정보 보호를 위한 안전조치 노력을 충분히 했다는 것을 입증하면 된다"며 “의무를 다 했는데도 세상에 알려지지 않은 해킹 기법 등으로 불가피하게 사고가 발생한 경우에는 법원에서 의미 있는 공방이 이루어질 수도 있을 것"이라고 덧붙였다.
2차 개정안의 법안 통과 시점과 관련해서는 “현재 발의된 법안들은 법안 소위 일정이 아직 확정되지 않은 상태"라며 “지방선거 등의 이벤트가 있다 하더라도 선거 전에 소위는 열리지 않을까 기대하고 있다"고 전했다.
정희순 기자 hsjung@ekn.kr