[이데일리 방성훈 기자] 일본에서 해킹에 따른 개인정보 유출이 잇따르는 가운데, 이미 탈퇴한 서비스에서 정보가 새어나가는 일까지 벌어지고 있다. 법적으로 개인정보 삭제는 ‘노력하면 되는’ 의무에 그치는 데다, 기업들도 마케팅에 쓰려고 탈퇴 회원의 정보를 쥐고 있어서다.

29일 니혼게이자이(닛케이)신문에 따르면 일본에선 회원 탈퇴 후 쓰지 않게 된 서비스에서 정보가 지워지지 않고 남아 있다가 유출로 이어진 사례가 나오고 있다. 대규모 유출이 잇따르자 일본 개인정보보호위원회는 지난 7일 기업들에 쓸 필요가 없어진 개인정보를 삭제하라고 다시 한번 촉구했다.

도쿄에 사는 40대 남성은 매일같이 기업들로부터 개인정보가 유출됐다는 연락을 받고 있다. 이 남성은 “예전에 살던 동네에서 다니던 치과의 예약 시스템에서 유출 연락이 왔을 땐 무슨 일인가 싶어 놀랐다”고 말했다. 정보를 지워달라고 연락하자, 치과는 직접 방문해 절차를 밟으라고 안내했다고 한다.

일본 개인정보보호법은 기업이 개인정보를 이용할 필요가 없어지면 “지체 없이 삭제하도록 노력해야 한다”고 규정하고 있다. 반드시 지워야 하는 의무가 아니라, 노력하면 되는 ‘노력의무’다.

기업 쪽 사정도 있다. 기업 데이터 보호에 정통한 가게시마 히로야스 변호사는 “영업 부서 등에서 향후 마케팅이나 판촉에 활용하고 싶다는 요구가 강해, 탈퇴한 사람의 정보도 계속 보유하는 기업이 많다”고 설명했다.

서비스 가입 때 제시되는 약관 등에서 이용자가 탈퇴 후 데이터 이용에 동의한 경우도 많아, 대부분은 법적으로 문제가 없다. 탈퇴 후 정보를 “신속히 삭제하거나 이용을 중지한다”, “일정 기간 보관한 뒤 삭제한다”고 개인정보 처리방침 등에 밝힌 기업도 있지만, 가게시마 변호사는 “이렇게까지 신경 쓰는 기업은 아직 소수”라고 지적했다.

세법 등 다른 법률이 거래 정보를 일정 기간 보존하도록 요구하는 경우도 있다. 이 때문에 정보를 곧바로 지우기는 대부분 어렵다.

이용자가 직접 삭제를 요구할 수는 있다. 개인정보보호법상 보유 정보가 사실과 다르거나, 위법·부적절하게 수집·이용된 경우 삭제를 청구할 수 있다. 기업이 정보를 쓸 필요가 없어졌거나 유출이 발생하는 등 이용자의 권리가 침해될 우려가 있을 때도 이용 중지나 삭제를 요구할 수 있다.

하지만 탈퇴했다고 해서 모두 ‘이용할 필요가 없어진 경우’에 해당하는 것은 아니다. 기업이 탈퇴 후에도 문의 응대나 부정 사용 방지를 위해 정보가 필요하다고 판단하거나, 다른 법률상 보존해야 하는 정보도 있기 때문이다.

본인 확인 문제도 걸림돌이다. 본인인지 확인하지 않고 정보를 지우거나 공개하면 2차 피해로 이어질 수 있어, 기업은 신분 확인 서류를 요구하기도 한다. 세코 슈헤이 변호사는 “삭제를 요구하는 기업에 새로운 개인정보를 넘기는 데 거부감을 느끼는 사람이 많아, 삭제가 지지부진해지는 경우도 많다”고 말했다.

일본에선 지금까지 삭제 요구 자체가 드물어 대응에 익숙하지 않은 기업도 많다. 데이터 활용이 늘면서 하나의 정보가 여러 용도로 쓰이고 있는 점도 삭제를 어렵게 한다. 한 기업 담당자는 “시스템이 개별 삭제 청구에 바로 대응하도록 만들어지지 않아 여러 단계를 거쳐야 해 쉽게 응할 수 없다”고 털어놨다.

세코 변호사는 “수많은 웹서비스를 이용하는 상황에서 기업 하나하나에 삭제를 요구하는 것은 현실적이지 않다”며, 비밀번호를 돌려쓰지 말고 2단계 인증 등을 설정하는 게 중요하다고 조언했다.