[논평] 개인정보 유출, 특단의 대책이 필요하다.(2)

- 정보보호 국가인증 의무대상 확대하고, 벌금과 제재도 강화해야 -

​

개인정보 불법거래가 도를 넘었다. 얼마 전 대형마트에서 사기성 경품행사로 고객정보가 유출되는 일이 있었다. 그런데 며칠 지나지 않아 국민의 85%인 4400만 명의 의료정보가 불법으로 거래되어 해외로 유출되었다는 충격적인 사실이 드러났다. 이에 보건복지부와 건강보험심사평가원은 의료정보시스템 인증등록 제도를 도입하겠다고 나섰다. 정부도 의료정보시스템에서 개인정보를 불법 취득하면 최대 3년 동안 인증을 취소하겠다고 했다. 항상 사고가 터지고 나서야 부랴부랴 대책을 마련하겠다며 뒷북을 친다. 지난해 카드사에서 1억 건이 넘는 개인정보가 유출되는 대형사고가 터졌었다. 그런데도 1년 넘게 무너진 외양간을 고치지 않고 방치하다가 더 큰 사고가 터지고 말았다. 이번에는 1억 건이 아닌 무려 ‘47억’ 건의 개인정보가 유출되었다.

이번 의료정보 불법거래에 연루된 기업과 기관이 매우 광범위하다는 점에서 사태의 심각성이 더욱 크다. 1차적으로는 셀 수 없이 많은 병원과 약국이 연루되었고, 여기에다 의료재단과 의료정보 업체, 심지어 통신업계 1위 기업까지 연루되었다. 소위 ‘알만한’ 기관, 재단, 기업이 국민의 진료정보를 불법으로 거래해왔다는 것에 실망이 크다. 이번 사태를 통해 우리사회에 깊숙이 뿌리내린 ‘개인정보’에 대한 도덕적 해이가 적나라하게 드러난 것이다.

앞으로도 ‘개인정보범죄 정부합동수사단’의 수사가 활발하게 이루어져서 아직 드러나지 않은 개인정보 불법거래를 낱낱이 밝혀야 할 것이다. 연루된 기업이나 기관에 대한 징벌적 과징금 수위도 대폭 강화해야 한다. 그러나 무엇보다도 근본적인 예방책과 정보보호관리 실태를 실질적으로 관리·감독하는 특단의 대책 마련이 시급하다.

당장은 현재의 국가 인증제도인 정보보호관리체계(ISMS)를 재정비해서 이를 적극 활용할 필요가 있다. ISMS는 기업이나 단체가 정부의 정보보호지침을 준수하는지 점검하고 보안시스템을 관리하는 능력을 인증하는 제도다. 이를 통해 개인정보를 취급하는 기업과 기관에 대한 관리·감독이 하루빨리 이루어질 수 있도록 해야 한다. 다만, ISMS 인증 의무대상을 ‘매출액 100억 또는 이용자 수가 100만 명 이상인 정보통신서비스 사업자’로 제한할 것이 아니라 대규모 개인정보유출을 일으킨 카드사, 대형마트, 통신사업자 등으로 대상을 확대해야 할 것이다. 인증의무를 이행하지 않을 시 부과하는 과태료도 현재 ‘천만 원 이하’에서 대폭 높여야 한다.

국민 전체가 불법 정보거래의 ‘호갱’으로 전락할 위기에 봉착해 있다. 정부는 이를 더 이상 좌시(坐視)해서는 안 된다. 당장 ISMS 인증제도를 활용해 기업들의 개인정보보호 실태를 점검하기 바란다. 동시에 불법거래에 연루된 기업과 기관을 엄중히 처벌하는 모습도 국민에게 보여야 할 것이다.

2015. 07. 24

사단법인 민생경제정책연구소