작년 말 국내 교수들이 2012년의 사자성어로 선정한 것이 `거세개탁(擧世皆濁)'이었다. 이는 굴원의 어부사에 나오는 말로 현실이 혼탁하여 어느 누구도 바르게 행하기 어려움을 개탄한 말이다. 수년간 우리나라의 개인정보 오남용과 유출의 현실을 직시하고 있는 필자로선 작년말 지식인들이 선정한 이 네 글자가 혼탁한 개인정보보호 현실에 경종을 울리는 돌직구가 아닌가 할 정도로 탁월했다는 느낌을 지울 수가 없었다.
연초 의사인 한 친구의 집에 일어난 보이스피싱 사건을 접하면서 정보보호 업계에 종사하는 한 사람으로서 깊은 자괴감을 느끼지 않을 수 없었다. 짐작하건대 범죄조직이 경제적으로 여유가 있어 보이는의사 가족을 대상으로 아내와 딸의 전화번호를 불법적으로 입수하여 딸이 휴대전화 통화가 어려운 수업시간에 이 사건을 벌였다고 한다면 친구의 직업, 아내의 휴대전화번호, 딸의 휴대전화번호 등 가족의 개인정보가 통으로 유출된 경우일 듯 하다.
이런 상황은 통계를 확인해 봐도 쉽게 이해할 수 있다. 우리나라의 사이버 범죄 발생건수는 보고되었거나 신고된 것만도 대략 연간 약 12만 건, 개인정보 유출 피해건수는 연간 약 6000만 건 정도로 추산된다고 한다. 지난 4년 간 개인정보유출 사고로 보도된 것만 모아도 2억 건이 넘는다 하니 우리 국민들은 매년 최소 한 번 이상 자신의 개인정보를 자신의 의지와 상관없이 누군가에게 유출 당하고 있는 셈이다.
그래도 희망은 있다. 2011년 9월 30일에 제정된 개인정보보호법은 개인정보 처리자들의 허술한 처리 관행에 분명히 경종을 울리고 있으며, 행정안전부ㆍ방송통신위원회ㆍ개인정보보호위원회 등 주무부처가 나서서 계도활동을 펼치고, 한국개인정보보호협의회 등과 같은 자율규제단체도 구성이 되어 여러 가지 노력을 하고 있으니 조금씩 나아지지 않겠는가 하는 생각이다. 하지만 `개인정보보호'란 정보의 주인인 개인, 처리자인 기업 그리고, 규제자로서 정부 등 3주체의 일관되고 지속적인 노력의 집합체인 고로 작금의 현실이 제대로 개선되려면 몇 가지 되짚어봐야 하는 것이 있다.
첫째는 개인정보보호의 방향과 목표가 명확해야 한다. 개인정보보호는 개인정보의 주체인 개인에게 자신의 정보에 대한 자기의사결정권을 확보해 주어야 한다는 명확한 목표를 재확인하는데서 출발해야 한다. 이를 위해 모든 개인정보 제공자와 개인정보 처리자에게 개인정보보호법 제3조 `개인정보보호원칙'을 진지하게 읽어볼 것을 권고하고 싶다.
둘째는 개인정보의 주체, 즉 개인정보를 제공하는 개인에게 드리고 싶은 말씀이다. 개인정보 제공시 처리자가 어떤 목적으로 이용, 제공하며 보호조치는 어떻게 하겠다고 약속하고 있는지 약관 및 동의서의 문구와 내용을 한번만이라도 확인해 보기 바란다. 미심쩍으면 아무리 탐이 나는 경품이 있을지라도 가입도 하지말고 제공도 하지 마시기 바란다.
셋째는 기업과 사회 일반의 개인정보 처리자들의 문제이다. 기업에 있어 개인정보보호의 시작은 법률이 정한 한도 내의 최소한의 개인정보 수집에서부터다.사적이익을 추구하는데 있어 과다한 욕심이 불필요한 개인정보의 수집과 목적 이외의 이용 및 제공으로 이어지고 있으니 최소한의 수집 원칙을 제대로 지켜줄 것과 내가 수집한 개인정보는 폐기 시점까지 내가 책임져야 한다는 수집자의 의무를 가볍게 여기지 말 것을 당부한다.
넷째는 우리나라의 개인정보보호를 주도하고 있는 정부의 역할에 관해서이다. 정부는 광범위하게 발생하고 있는 보이스피싱, 파밍 등의 범죄와 전화금융사기 등개인정보 유출 및 이로 인해 발생하는 역작용이 단순히 피해 당사자의 피해로만 끝나는 것이 아니라 만인의 만인에 대한 불신으로 확산되고사회구성원 간의 신뢰에 금을 가게 할 수 있다는 심각성을 인식하고, 잠재적 오남용 가능 집단 뿐 아니라 일반 개인정보 처리자에게도 명확히 인식시켜야 한다.
정보보호컨설팅이 본업인 필자로서는 문제를 파악함에 있어 근인(根因)을 분석하는데 공을 많이 들인다. 개인정보 유출 2억 건의 현실에도 많은 표면적인 원인이 있겠으나, 중요한 것을 중요하게 인식하지 않는 기존의 관행이 근본원인이라는 것이 필자의 진단이니, 이를 해결할 극적인 변화는 기존의 관행을 뒤집는 3주체의 인식전환과 기본원칙에 충실한 실천으로부터 시작됨을 다시 강조하고 싶다.
윤원석 싸이버원 이사
연초 의사인 한 친구의 집에 일어난 보이스피싱 사건을 접하면서 정보보호 업계에 종사하는 한 사람으로서 깊은 자괴감을 느끼지 않을 수 없었다. 짐작하건대 범죄조직이 경제적으로 여유가 있어 보이는의사 가족을 대상으로 아내와 딸의 전화번호를 불법적으로 입수하여 딸이 휴대전화 통화가 어려운 수업시간에 이 사건을 벌였다고 한다면 친구의 직업, 아내의 휴대전화번호, 딸의 휴대전화번호 등 가족의 개인정보가 통으로 유출된 경우일 듯 하다.
이런 상황은 통계를 확인해 봐도 쉽게 이해할 수 있다. 우리나라의 사이버 범죄 발생건수는 보고되었거나 신고된 것만도 대략 연간 약 12만 건, 개인정보 유출 피해건수는 연간 약 6000만 건 정도로 추산된다고 한다. 지난 4년 간 개인정보유출 사고로 보도된 것만 모아도 2억 건이 넘는다 하니 우리 국민들은 매년 최소 한 번 이상 자신의 개인정보를 자신의 의지와 상관없이 누군가에게 유출 당하고 있는 셈이다.
그래도 희망은 있다. 2011년 9월 30일에 제정된 개인정보보호법은 개인정보 처리자들의 허술한 처리 관행에 분명히 경종을 울리고 있으며, 행정안전부ㆍ방송통신위원회ㆍ개인정보보호위원회 등 주무부처가 나서서 계도활동을 펼치고, 한국개인정보보호협의회 등과 같은 자율규제단체도 구성이 되어 여러 가지 노력을 하고 있으니 조금씩 나아지지 않겠는가 하는 생각이다. 하지만 `개인정보보호'란 정보의 주인인 개인, 처리자인 기업 그리고, 규제자로서 정부 등 3주체의 일관되고 지속적인 노력의 집합체인 고로 작금의 현실이 제대로 개선되려면 몇 가지 되짚어봐야 하는 것이 있다.
첫째는 개인정보보호의 방향과 목표가 명확해야 한다. 개인정보보호는 개인정보의 주체인 개인에게 자신의 정보에 대한 자기의사결정권을 확보해 주어야 한다는 명확한 목표를 재확인하는데서 출발해야 한다. 이를 위해 모든 개인정보 제공자와 개인정보 처리자에게 개인정보보호법 제3조 `개인정보보호원칙'을 진지하게 읽어볼 것을 권고하고 싶다.
둘째는 개인정보의 주체, 즉 개인정보를 제공하는 개인에게 드리고 싶은 말씀이다. 개인정보 제공시 처리자가 어떤 목적으로 이용, 제공하며 보호조치는 어떻게 하겠다고 약속하고 있는지 약관 및 동의서의 문구와 내용을 한번만이라도 확인해 보기 바란다. 미심쩍으면 아무리 탐이 나는 경품이 있을지라도 가입도 하지말고 제공도 하지 마시기 바란다.
셋째는 기업과 사회 일반의 개인정보 처리자들의 문제이다. 기업에 있어 개인정보보호의 시작은 법률이 정한 한도 내의 최소한의 개인정보 수집에서부터다.사적이익을 추구하는데 있어 과다한 욕심이 불필요한 개인정보의 수집과 목적 이외의 이용 및 제공으로 이어지고 있으니 최소한의 수집 원칙을 제대로 지켜줄 것과 내가 수집한 개인정보는 폐기 시점까지 내가 책임져야 한다는 수집자의 의무를 가볍게 여기지 말 것을 당부한다.
넷째는 우리나라의 개인정보보호를 주도하고 있는 정부의 역할에 관해서이다. 정부는 광범위하게 발생하고 있는 보이스피싱, 파밍 등의 범죄와 전화금융사기 등개인정보 유출 및 이로 인해 발생하는 역작용이 단순히 피해 당사자의 피해로만 끝나는 것이 아니라 만인의 만인에 대한 불신으로 확산되고사회구성원 간의 신뢰에 금을 가게 할 수 있다는 심각성을 인식하고, 잠재적 오남용 가능 집단 뿐 아니라 일반 개인정보 처리자에게도 명확히 인식시켜야 한다.
정보보호컨설팅이 본업인 필자로서는 문제를 파악함에 있어 근인(根因)을 분석하는데 공을 많이 들인다. 개인정보 유출 2억 건의 현실에도 많은 표면적인 원인이 있겠으나, 중요한 것을 중요하게 인식하지 않는 기존의 관행이 근본원인이라는 것이 필자의 진단이니, 이를 해결할 극적인 변화는 기존의 관행을 뒤집는 3주체의 인식전환과 기본원칙에 충실한 실천으로부터 시작됨을 다시 강조하고 싶다.
윤원석 싸이버원 이사
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
