정보유출범, 개인정보보호법으론 징역
특별법 우선 적용 과태료 가능성 높아
“특정기술 의무 규정, 기업에 법회피망”
특별법 우선 적용 과태료 가능성 높아
“특정기술 의무 규정, 기업에 법회피망”
■ 정보보호법 전면 손질하자
(3) `보안 구멍` 키우는 개인정보보호법
정보보호를 강화하려면 여기저기 난립해 있는 각종 정보보호 관련 법제도를 정비하고 단순하면서 명확한 법제로 재정비해야 한다는 목소리가 나온다. 특히 정보보호에 관한 `일반법'인 개인정보보호법 자체도 수많은 `보안 구멍'을 지니고 있다는 지적이 높다.
6일 전문가들은 일반법인 개인정보보호법 자체에도 모순 조항이 적지 않고, 시장을 왜곡하거나 보안 체계를 흐트러뜨릴 우려가 있다며 대대적인 개정을 해야 한다고 입을 모았다.
대표적인 것이 개인정보보호법의 처벌 및 책임에 관한 규정이다. 고학수 서울대 법학전문대학원 교수는 "1억400만 신용카드 이용자의 정보를 빼낸 코리아크레딧뷰로(KCB) 직원이 어떤 형벌을 받게 될지 현행법에 따라 살펴보면 그 모순을 알 수 있다"고 설명한다.
현행 개인정보보호법에 따르면 `영리'를 목적으로 정보를 무단 유출한 자는 법률 제71조에 의거 최고 5년 이하의 징역, 또는 5000만원 이하의 벌금을 물어내는 `형사처벌'을 받는다. 만약 정보유출로 인한 공무방해 등의 혐의가 드러나면 10년 이하 징역 또는 1억원 이하 벌금으로 형이 무거워진다.
그런데 실제 정보유출범이 이같은 형벌을 받게 될 가능성은 그리 높지 않다. 법률만 놓고 본다면 이번 신용카드 정보유출 사건의 경우, 개인정보보호법이 아닌 신용정보(신용정보 이용 및 보호에 관한 법률)법을 따르기 때문이다. 신용정보법에는 정보유출자에 대한 `과태료' 처분만 있고 형사처벌 조항은 없다. 직원의 부정을 책임져야 하는 KCB 역시 신용정보법에 따르면 `기관 경고'를 받는데 그친다.
이는 개인정보보호법에 있는 제6조 조문 때문이라는 것이 고 교수의 설명이다.
그는 "해당조문은 `개인정보 보호에 관하여는 정통망법(정보통신망 이용촉진 및 정보보호 등에 관한 법률), 신용정보법 등 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다'고 명시하고 있다"면서 "일반법인 개인정보법보다 개별법이 우선 적용되도록 했기 때문에 신용카드 정보유출범에게 과태료 처분밖에 내리질 못하는 맹점이 발생하는 것"이라고 지적했다.
개인정보보호법의 `어설픈 기술 의무 규정'도 도마에 올랐다. 이 법에서는 제24조 고유식별정보의 처리제한을 명시하며 이를 위해 암호화를 하라고 명령하고 있다. 시행령과 시행규칙에서는 더 많은 암호화 관련 규정들이 쏟아져 나온다.
조규곤 지식정보보안산업협회장은 "암호화는 개인정보, 민감한 정보를 `안전하게' 저장하라는 취지를 담고 있다. 그렇다면 그에 상응하는 기술적 조치를 해당 기업들이 다양한 방법으로 취할 수 있다"면서 "그런데 법률에서 `암호화'를 못박으니 오히려 기업들은 암호화 한가지를 구현해놓고 `법을 지켰다'고 보안투자를 외면한다"고 꼬집었다.
뿐만 아니라 의무조항 시행으로 다른 보안조치는 취하지 않아 결국 기업의 전체 정보보호 체계를 혼란스럽게 하기도 한다.
조 회장은 "법률에서 너무 상세한 기술(그것도 현장과는 거리가 있는 어설픈 기술)을 규정하면 오히려 그 규정 때문에 기업들의 보안 거버넌스 자체가 흔들린다"면서 "법률은 정보보호에 대한 대 원칙과 책임을 규정해야지 세부 기술은 그 변화를 따라갈 수도 없고 일일이 적어 넣을 수도 없는 것이 현실"이라고 강조했다.
강은성기자 esther@
(3) `보안 구멍` 키우는 개인정보보호법
정보보호를 강화하려면 여기저기 난립해 있는 각종 정보보호 관련 법제도를 정비하고 단순하면서 명확한 법제로 재정비해야 한다는 목소리가 나온다. 특히 정보보호에 관한 `일반법'인 개인정보보호법 자체도 수많은 `보안 구멍'을 지니고 있다는 지적이 높다.
6일 전문가들은 일반법인 개인정보보호법 자체에도 모순 조항이 적지 않고, 시장을 왜곡하거나 보안 체계를 흐트러뜨릴 우려가 있다며 대대적인 개정을 해야 한다고 입을 모았다.
대표적인 것이 개인정보보호법의 처벌 및 책임에 관한 규정이다. 고학수 서울대 법학전문대학원 교수는 "1억400만 신용카드 이용자의 정보를 빼낸 코리아크레딧뷰로(KCB) 직원이 어떤 형벌을 받게 될지 현행법에 따라 살펴보면 그 모순을 알 수 있다"고 설명한다.
현행 개인정보보호법에 따르면 `영리'를 목적으로 정보를 무단 유출한 자는 법률 제71조에 의거 최고 5년 이하의 징역, 또는 5000만원 이하의 벌금을 물어내는 `형사처벌'을 받는다. 만약 정보유출로 인한 공무방해 등의 혐의가 드러나면 10년 이하 징역 또는 1억원 이하 벌금으로 형이 무거워진다.
그런데 실제 정보유출범이 이같은 형벌을 받게 될 가능성은 그리 높지 않다. 법률만 놓고 본다면 이번 신용카드 정보유출 사건의 경우, 개인정보보호법이 아닌 신용정보(신용정보 이용 및 보호에 관한 법률)법을 따르기 때문이다. 신용정보법에는 정보유출자에 대한 `과태료' 처분만 있고 형사처벌 조항은 없다. 직원의 부정을 책임져야 하는 KCB 역시 신용정보법에 따르면 `기관 경고'를 받는데 그친다.
이는 개인정보보호법에 있는 제6조 조문 때문이라는 것이 고 교수의 설명이다.
그는 "해당조문은 `개인정보 보호에 관하여는 정통망법(정보통신망 이용촉진 및 정보보호 등에 관한 법률), 신용정보법 등 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다'고 명시하고 있다"면서 "일반법인 개인정보법보다 개별법이 우선 적용되도록 했기 때문에 신용카드 정보유출범에게 과태료 처분밖에 내리질 못하는 맹점이 발생하는 것"이라고 지적했다.
개인정보보호법의 `어설픈 기술 의무 규정'도 도마에 올랐다. 이 법에서는 제24조 고유식별정보의 처리제한을 명시하며 이를 위해 암호화를 하라고 명령하고 있다. 시행령과 시행규칙에서는 더 많은 암호화 관련 규정들이 쏟아져 나온다.
조규곤 지식정보보안산업협회장은 "암호화는 개인정보, 민감한 정보를 `안전하게' 저장하라는 취지를 담고 있다. 그렇다면 그에 상응하는 기술적 조치를 해당 기업들이 다양한 방법으로 취할 수 있다"면서 "그런데 법률에서 `암호화'를 못박으니 오히려 기업들은 암호화 한가지를 구현해놓고 `법을 지켰다'고 보안투자를 외면한다"고 꼬집었다.
뿐만 아니라 의무조항 시행으로 다른 보안조치는 취하지 않아 결국 기업의 전체 정보보호 체계를 혼란스럽게 하기도 한다.
조 회장은 "법률에서 너무 상세한 기술(그것도 현장과는 거리가 있는 어설픈 기술)을 규정하면 오히려 그 규정 때문에 기업들의 보안 거버넌스 자체가 흔들린다"면서 "법률은 정보보호에 대한 대 원칙과 책임을 규정해야지 세부 기술은 그 변화를 따라갈 수도 없고 일일이 적어 넣을 수도 없는 것이 현실"이라고 강조했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
