"보안 불패는 환상, 과징금 대신 피해구제 기금 조성해야" [only이데일리]

[글=최경진 가천대 교수(전 개인정보보호법학회장), 정리=이데일리 권하영 기자] 연이은 대규모 개인정보 유출은 단순한 보안 사고를 넘어 구조적 위험 신호다. 첨단 해킹에 당했다기보다 계정·권한 관리나 인사 절차 같은 기본 통제가 허물어진 사례가 많다. 기본이 취약한 상태에서 추진한 디지털 혁신은 사상누각일 수밖에 없다. 지금 필요한 것은 거창한 구호가 아니라 ‘기본’을 다시 세우는 일이다.

정부는 반복적·중대한 유출 사고를 낸 기업에 대해 과징금 상한을 매출의 10%로 올리는 방안을 내놨다. 기본을 지키지 않아 피해를 키운 기업에 책임을 묻는 취지는 불가피하다. 다만 제재 강화만으로 논의가 흐르는 데는 냉정한 점검이 필요하다. 규제의 목적은 기업을 무너뜨리는 것이 아니라 보안 수준을 높이고 재발을 막는 데 있기 때문이다. 개인정보 가치가 커질수록 탈취·오남용 시도는 늘고, AI 확산은 공격을 더 정교하게 만든다. 창과 방패의 싸움에서 방패가 늘 이길 수는 없다. ‘사고 제로’를 목표로 삼는 접근은 현실적이지 않다.

최경진 전 개인정보보호법학회장(현 가천대 교수 및 한국인공지능법학회장)

중요한 것은 사고가 나지 않게 만드는 것만이 아니라, 사고가 발생하더라도 시스템과 사회가 충격을 빠르게 흡수하고 정상화하는 ‘회복탄력성’이다. 이를 좌우하는 핵심은 초기 대응의 속도와 정확성이다.

그러나 현실에서는 기업들이 비난 여론과 제재를 우려해 신고에 소극적인 경우가 적지 않다. 신고를 ‘스스로 매를 버는 절차’로 만들 것이 아니라, 2차 피해를 막기 위해 정보를 투명하게 공유하는 ‘책임 있는 행동’으로 정착시켜야 한다. 성실하고 신속하게 신고하고 피해 확산을 차단한 기업에는 명확한 인센티브를 부여하는 방식으로 제도의 방향을 바꿀 필요가 있다.

국민 개개인의 권리 회복 장치도 강화돼야 한다. 사고가 터지면 시민들은 “내 정보가 유출됐는지”, “지금 무엇을 해야 하는지”를 알기 어려워 불안에 빠진다. 한 곳에서 유출 여부 확인, 대응 방법 안내, 맞춤형 지원까지 받을 수 있는 원스톱 체계를 마련해야 한다. 필요하다면 주민등록번호 변경 같은 행정 조치부터 집단적 피해 구제와 손해배상 절차 개선까지, 실질적 보호가 가능하도록 제도를 촘촘히 설계해야 한다.

과징금 제도 역시 전향적 개편을 검토할 만하다. 기업이 납부하는 수십·수백억원의 과징금이 국고로 귀속되는 구조에서는 정작 피해자인 국민에게 직접적인 회복이 돌아가기 어렵다. 일률적인 과징금 부과에 그치기보다, 기업이 피해 구제 기금을 조성하고 보안 시스템을 전면 개선하는 방안을 제시하도록 한 뒤, 규제 당국이 적정성을 심사해 확정하는 ‘동의의결’ 방식도 선택지가 될 수 있다.

중요한 것은 얼마나 신속하게 대응하고, 2차 피해를 예방하며, 재발 방지 조치를 취하는가에 있다. 이제 AI 시대 디지털 회복탄력성 강화를 위해 개인정보, 정보보안, 사이버안보를 아우르는 통합법제 논의를 본격화해야 한다. 오히려 지금이 규제 패러다임을 전면적으로 전환할 절호의 기회일 수 있다. 개인정보 침해 사고가 발생할 때마다 규제가 강화되는 단기적 대응 패턴으로부터 벗어나, 중장기적인 시각에서 합리적이고 실효적인 규제 체계를 정비해야 할 시점이다.