최근 사실상 전국민의 개인정보가 한꺼번에 유출되어 나라 전체가 극심한 혼란에 휘말리고 불안한 사태를 겪고 있다. 아직도 카드를 재발급받거나, 탈회를 고민하는 사람도 있고, 기관에서는 해당 카드사를 문책하는 절차가 진행중이다. 그동안 글로벌 정보기술(IT) 강국이라고 호들갑떨던 위세가 하루아침에 땅바닥으로 떨어지게 된 것은 물론 개인정보 유출 이슈가 국가적으로 엄청난 사회적 비용을 지불하는 불행한 사태였음은 분명하다.
앞으로 이러한 사태를 예방하기 위한 다양한 방지대책들이 논의되는 것이 그나마 다행이다. 물론 이 시점에서 볼 때 이것이 가장 중요한 핵심이며 관련 법개정이 강구되어야 한다. 이러한 관점에서 국민의 한사람으로서 몇가지 실제적인 제안을 하고자 한다.
첫째, 개인정보를 보관할 수 있는 기관이나 기업 등 대상 주체와, 개인정보 항목들을 구분하여 법으로 제한해야 한다. 단순히 홍보 정도 기능을 갖는 기관이나 기업의 홈페이지에서도 회원가입을 유도하고 이때 따라하기 차원에서 중요한 개인정보들을 요구하고 수집하여 불필요한 위험을 확산시키고 있다. 또한 이름과 이메일 등 극히 몇가지만 보관해도 되는 예를 들면 쇼핑몰 사이트의 경우에도 추후 마케팅에 활용할 목적으로 수많은 개인정보를 수집해서 보관까지 해두는 경우가 비일비재하다. 즉 구매 행위에 들어가지 않은 상황인데도 굳이 노출되었을 때 위험한 전화번호, 주소, 결재에 필요한 정보 등 개인정보를 왜 미리 수집하려고 하는지 재고해야 할 것이다. 또 어떤 사이트에서는 탈회한 경우에도 개인정보를 완전히 삭제하지 않는 등 정보보호에 너무 무심한 상황에 처해 있다고 본다. 상세한 사항에 대해서는 논의가 필요하겠지만 기관이나 기업 유형별로 보관해도 되는 개인정보와 보관해서는 안되는 개인정보 항목들을 법규로 정의할 필요가 있다고 본다.
둘째, 핵심적인 개인정보를 굳이 저장할 경우에는 반드시 소스는 배제하고, 누출에 대비하여 반드시 암호화하고 그 범위를 지금보다 최대로 확대할 필요가 있다. 대부분의 공공기관 사이트의 경우에는 개인의 주민등록번호 정도는 암호화하여 관리하고 있지만, 주소, 전화번호, 컬러 사진, 소속직장 등의 개인정보들은 대체로 암호화하지 않는 것으로 나타나고 있다. 암호화된 자료의 경우 화면에 표출시 처리 속도 등에 일부 영향을 줄 수 있지만 필요시 전문가들에 의해에만 평문으로 전환이 가능하고 따라서 전체 자료를 유출하는 위험을 상대적으로 크게 줄일 수 있다고 본다.
셋째, 개인정보를 저장하고 있는 해당 기업이나 기관에서는 유효한 관리 기간 설정을 의무화할 필요가 있다. 필자는 마이너스 자동대출 통장을 하나 가지고 있는데, 기간 연장을 해야한다고 1년마다 은행으로부터 호출을 당하며 신분증을 제시하고 서명까지 해주고 있다. 그러나 정보보호기관에서 운영하는 무슨 클린사이트에 들어가보니 필자의 개인정보를 바로 클린해주지도 못하고 있는 것은 물론, 10년이 넘어 사용하지도 않는 사이트에서도 회원가입 정보를 유지하고 있는 것으로 파악되고 있다. 따라서 개인정보를 수집하는 기업이나 기관에서는 가입 약관을 통해서 예를 들면 최대 3년을 기준으로 회원이 사용하지 않는 경우에는 무조건 탈회하는 것을 전제로 일정 횟수의 안내 후에 개인 정보를 삭제하도록 해야 할 것이다. 또한 많은 사이트에서 일회성 사용시를 감안하여 회원가입을 하지 않고도 용무를 마칠 수 있도록 하거나 로그오프시 그동안 사용한 개인 정보를 고객들의 동의후 곧바로 삭제하도록 하고, 탈회 절차도 아주 용이하게 설계하여 정보보호에 철저한 기업이나 기관 이미지를 구축할 필요가 있다.
넷째, 개인정보에 대한 공유 범위를 제한하여야 한다. 고객 숫자가 상대적으로 많은 기업에서는 예외없이 회원 가입시 알지도 못하는 수십개의 유관 기업, 계열사들에게 정보를 제공해야 한다면서 고객들의 동의를 의무적으로 강요하고 있다. 이처럼 무차별적인 개인정보 제공의 대상 범위도 문제일 뿐 아니라 제공한 정보가 불필요하거나 폐기해야할 시점에서의 회수 여부도 아주 불분명하다. 개인정보를 누군가에게 제공시에는 고객이 실시간으로 동의한 후 사용하도록하는 수준에서부터 월단위 또는 년단위 그리고 상시공유까지 다양한 유형을 정의하여 고객들이 선택할 수 있게 해야 할 것이다. 이밖에도 이번 사태를 계기로 개인정보의 보호에서도 선진국을 지향하는 각계의 보다 창의적인 연구와 논의를 기대한다.
안연식 가천대 경영대학 교수
앞으로 이러한 사태를 예방하기 위한 다양한 방지대책들이 논의되는 것이 그나마 다행이다. 물론 이 시점에서 볼 때 이것이 가장 중요한 핵심이며 관련 법개정이 강구되어야 한다. 이러한 관점에서 국민의 한사람으로서 몇가지 실제적인 제안을 하고자 한다.
첫째, 개인정보를 보관할 수 있는 기관이나 기업 등 대상 주체와, 개인정보 항목들을 구분하여 법으로 제한해야 한다. 단순히 홍보 정도 기능을 갖는 기관이나 기업의 홈페이지에서도 회원가입을 유도하고 이때 따라하기 차원에서 중요한 개인정보들을 요구하고 수집하여 불필요한 위험을 확산시키고 있다. 또한 이름과 이메일 등 극히 몇가지만 보관해도 되는 예를 들면 쇼핑몰 사이트의 경우에도 추후 마케팅에 활용할 목적으로 수많은 개인정보를 수집해서 보관까지 해두는 경우가 비일비재하다. 즉 구매 행위에 들어가지 않은 상황인데도 굳이 노출되었을 때 위험한 전화번호, 주소, 결재에 필요한 정보 등 개인정보를 왜 미리 수집하려고 하는지 재고해야 할 것이다. 또 어떤 사이트에서는 탈회한 경우에도 개인정보를 완전히 삭제하지 않는 등 정보보호에 너무 무심한 상황에 처해 있다고 본다. 상세한 사항에 대해서는 논의가 필요하겠지만 기관이나 기업 유형별로 보관해도 되는 개인정보와 보관해서는 안되는 개인정보 항목들을 법규로 정의할 필요가 있다고 본다.
둘째, 핵심적인 개인정보를 굳이 저장할 경우에는 반드시 소스는 배제하고, 누출에 대비하여 반드시 암호화하고 그 범위를 지금보다 최대로 확대할 필요가 있다. 대부분의 공공기관 사이트의 경우에는 개인의 주민등록번호 정도는 암호화하여 관리하고 있지만, 주소, 전화번호, 컬러 사진, 소속직장 등의 개인정보들은 대체로 암호화하지 않는 것으로 나타나고 있다. 암호화된 자료의 경우 화면에 표출시 처리 속도 등에 일부 영향을 줄 수 있지만 필요시 전문가들에 의해에만 평문으로 전환이 가능하고 따라서 전체 자료를 유출하는 위험을 상대적으로 크게 줄일 수 있다고 본다.
셋째, 개인정보를 저장하고 있는 해당 기업이나 기관에서는 유효한 관리 기간 설정을 의무화할 필요가 있다. 필자는 마이너스 자동대출 통장을 하나 가지고 있는데, 기간 연장을 해야한다고 1년마다 은행으로부터 호출을 당하며 신분증을 제시하고 서명까지 해주고 있다. 그러나 정보보호기관에서 운영하는 무슨 클린사이트에 들어가보니 필자의 개인정보를 바로 클린해주지도 못하고 있는 것은 물론, 10년이 넘어 사용하지도 않는 사이트에서도 회원가입 정보를 유지하고 있는 것으로 파악되고 있다. 따라서 개인정보를 수집하는 기업이나 기관에서는 가입 약관을 통해서 예를 들면 최대 3년을 기준으로 회원이 사용하지 않는 경우에는 무조건 탈회하는 것을 전제로 일정 횟수의 안내 후에 개인 정보를 삭제하도록 해야 할 것이다. 또한 많은 사이트에서 일회성 사용시를 감안하여 회원가입을 하지 않고도 용무를 마칠 수 있도록 하거나 로그오프시 그동안 사용한 개인 정보를 고객들의 동의후 곧바로 삭제하도록 하고, 탈회 절차도 아주 용이하게 설계하여 정보보호에 철저한 기업이나 기관 이미지를 구축할 필요가 있다.
넷째, 개인정보에 대한 공유 범위를 제한하여야 한다. 고객 숫자가 상대적으로 많은 기업에서는 예외없이 회원 가입시 알지도 못하는 수십개의 유관 기업, 계열사들에게 정보를 제공해야 한다면서 고객들의 동의를 의무적으로 강요하고 있다. 이처럼 무차별적인 개인정보 제공의 대상 범위도 문제일 뿐 아니라 제공한 정보가 불필요하거나 폐기해야할 시점에서의 회수 여부도 아주 불분명하다. 개인정보를 누군가에게 제공시에는 고객이 실시간으로 동의한 후 사용하도록하는 수준에서부터 월단위 또는 년단위 그리고 상시공유까지 다양한 유형을 정의하여 고객들이 선택할 수 있게 해야 할 것이다. 이밖에도 이번 사태를 계기로 개인정보의 보호에서도 선진국을 지향하는 각계의 보다 창의적인 연구와 논의를 기대한다.
안연식 가천대 경영대학 교수
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
