개인정보 유출 문제를 두고 게임업계 관계자와 이야기를 나누던 중 흥미로운 설명을 들었다. 수천만명의 가입자를 보유한 게임사 대부분이 회원가입 때 아이디와 이메일 등 기본 정보만 수집하는 경우가 많다는 것이다.
관계자는 보유한 개인정보가 많지 않아 유출 사고가 발생하더라도 피해가 상대적으로 적을 수 있다며 다소 안도하는 분위기였다. 서비스에 불필요한 정보는 처음부터 수집하지 않는 방식이다. 이름과 전화번호, 주소 등 기업이 보유한 개인정보가 많을수록 유출 사고에 따른 피해도 커질 수 있어서다.
이는 게임업계만의 문제가 아니다. 기업이 개인정보를 얼마나 안전하게 보관하느냐 못지않게 얼마나 적게 수집하느냐도 중요하다. 개인정보 보호법은 서비스에 필요한 최소한의 정보만 수집하도록 규정하고 있다. 불필요한 정보는 처음부터 수집하지 않고 보관할 필요가 없어진 정보는 제때 파기해야 한다.
개인정보 유출 사고가 반복되고 있다. 기업들은 사고가 발생할 때마다 보안 강화를 약속한다. 그러나 정작 이용자에게 얼마나 많은 개인정보를 요구하는지는 충분히 돌아보지 않는다. 서비스에 꼭 필요한 정보인지, 언제까지 보관해야 하는지부터 따져볼 필요가 있다.
개인정보 유출 사고는 업종을 가리지 않는다. 기업용 소프트웨어부터 쇼핑, 통신, 온라인동영상서비스(OTT), 의료 상담까지 광범위하게 발생하고 있다. 최근 기업용 소프트웨어 업체 더존비즈온에서도 해킹 사고가 발생해 정부가 민관합동조사에 착수했다. 회계 프로그램 이용 기업만 11만곳이 넘지만 실제 개인정보 유출 여부와 피해 규모는 조사 중이다.
사고가 발생하면 기업은 사과하고 재발 방지를 약속한다. 관계 당국은 조사에 착수하고 과징금을 부과한다. 그러나 비슷한 사고는 되풀이된다. 사후 제재만으로 개인정보 유출을 막는 데 한계가 있다는 의미다.
국회 정무위원회 소속 박성훈 국민의힘 의원이 개인정보보호위원회에서 제출받은 자료에 따르면 2020년 9월부터 올해 7월까지 개인정보보호법 위반 처분은 1821건에 달했다. 유출이 확인된 사건은 641건, 유출된 개인정보는 약 1억3964만건이었다. 부과된 과징금은 1조원을 넘어섰다.
위반 기업에는 엄정한 제재가 필요하다. 그러나 과징금이 늘어난다고 개인정보 보호 수준이 저절로 높아지는 것은 아니다. 이미 유출된 개인정보는 되돌릴 수 없다. 기업이 치르는 비용과 이용자가 입는 피해는 별개다.
개인정보는 기업이 수집하고 활용하지만 그 주인은 이용자다. 사고가 발생할 때마다 과징금 규모를 따지는 것만으로는 부족하다. 개인정보 보호의 출발점은 유출된 뒤 책임을 묻는 데만 있지 않다. 애초에 불필요한 정보를 수집하지 않는 데 있다.
