개인정보 유출 사실이 최종 확인될 때까지 기다린 뒤 고객에게 알리던 기업의 사고 대응 방식이 바뀐다. 앞으로는 개인정보가 실제 외부로 빠져나갔는지 확정되지 않았더라도 유출 가능성을 인지한 즉시 정보주체에게 알려야 한다.
9일 개인정보보호위원회에 따르면 오는 11일부터 기업을 비롯한 개인정보처리자는 개인정보의 유출 가능성을 알게 된 경우 정보주체에게 지체 없이 통지해야 한다.
기존에는 개인정보가 유출됐음을 안 경우 통지하도록 했지만 개정 개인정보 보호법은 통지 시점을 유출 가능성을 인지한 단계로 앞당겼다. 사고 초기부터 정보주체가 피해 가능성을 알고 비밀번호 변경 등 필요한 대응에 나설 수 있도록 하기 위한 조치다.
예를 들어 온라인 쇼핑몰이 해킹 흔적을 발견했지만 고객 이름과 연락처가 실제 외부로 빠져나갔는지는 아직 확인하지 못한 상황을 가정할 수 있다.
기존에는 로그 분석과 포렌식 등을 거쳐 실제 유출 사실을 확인한 뒤 고객에게 알리는 방식이 가능했다면, 앞으로는 조사 과정에서 개인정보 유출 가능성을 인지한 시점부터 통지 여부를 판단해야 한다.
유출 규모가 확정될 때까지 기다렸다가 알리는 방식에서 먼저 위험 가능성을 알리고 이후 조사 결과를 추가 안내하는 방식으로 대응 순서가 바뀌는 셈이다.
그동안 침해사고가 발생해도 개인정보 유출 여부와 규모를 확인하는 데 상당한 시간이 걸리는 경우가 있었다. 침입 흔적을 찾은 뒤 로그 분석과 디지털 포렌식 등을 통해 공격자가 어떤 시스템에 접근했고 어떤 정보가 외부로 반출됐는지 확인해야 하기 때문이다.
해커가 내부 시스템에 침입한 뒤 개인정보를 빼내고 관련 로그나 흔적을 삭제하면 기업이 실제 유출 여부와 규모를 곧바로 확인하기 어려울 수도 있다.
이 과정이 길어질수록 정보주체는 자신의 개인정보가 위험에 처했다는 사실을 뒤늦게 알 수밖에 없다.
기업의 유출 통지가 늦어지는 문제는 실제 개인정보위 조사에서도 반복적으로 확인됐다. SK텔레콤, 모두투어, 섹타나인, 텔루스 등이 지적을 받았다.
개인정보위는 유출 가능성이 있음에도 통지가 늦어질 수 있다는 점을 제도 개선 배경으로 들었다.
통지·신고 대상이 되는 사고 범위도 넓어진다. 기존 분실·도난·유출에 더해 개인정보의 위조·변조·훼손도 유출 사고에 포함된다. 가령 랜섬웨어 공격으로 고객 정보가 외부로 빠져나간 정황은 없지만 데이터가 암호화되거나 훼손된 경우도 새 제도에서는 사고 대응 대상이 될 수 있다.
정보주체에게 사고 사실을 알릴 때는 손해배상 청구와 분쟁조정 신청 등 피해구제 방법도 함께 안내해야 한다.
기업의 고민은 사고 초기에 더 커질 수 있다. 시스템에서 이상 징후를 발견한 시점과 실제 개인정보 유출 가능성을 판단한 시점이 반드시 같지는 않기 때문이다.
해킹 흔적만으로 곧바로 개인정보 유출이라고 단정하기 어렵지만, 사실관계를 확인한다는 이유로 판단을 지나치게 늦추면 통지 의무 위반에 해당할 수 있다. 반대로 유출 여부가 불분명한 상태에서 성급하게 알리면 이용자 혼란을 키울 수 있다.
결국 기업은 사고 초기에 유출 가능성을 판단하고, 확인된 사실을 우선 통지한 뒤 조사 결과에 따라 내용을 보완하는 대응체계를 갖춰야 한다.
박진형 기자 jin@etnews.com
