개인정보 유출 사고가 발생한 뒤 관계당국의 조사 착수 전에 서버나 로그 등 증거를 없앤 사업자에게는 매출액의 최대 3%를 별도 과징금으로 부과하는 방안이 추진된다.

현행법상 개인정보위 조사가 시작된 뒤 자료를 숨기거나 폐기하는 행위는 제재할 수 있지만, 조사 착수 전 증거를 없앤 행위는 직접적인 제재 규정이 미비하기 때문이다.

개인정보위는 30일 KT(030200)와 LG유플러스(032640)의 개인정보 유출 사고 제재 결과를 설명하면서 이 같은 내용의 개인정보보호법 개정을 추진한다고 밝혔다.

조사 시작 전에 증거 없애면 제재 공백
이번 통신사 정보유출 관련 조사에서는 사고 발생 후 서버와 로그가 삭제되거나 폐기돼 개인정보 유출 경위와 규모를 규명하는 데 한계가 있었던 것으로 나타났다.

KT는 2025년 4월 악성코드 감염 여부를 전수 점검하는 과정에서 침해가 발생한 서버 일부의 로그를 삭제한 정황이 확인됐다. 개인정보위 조사 과정에서는 거짓 자료를 제출하고 진술을 번복한 것으로 조사돼 수사기관 고발이 결정됐다.

LG유플러스는 개인정보 유출 정황을 인지한 뒤 개인정보위가 조사에 착수하기 전 관련 서버의 운영체제를 재설치하거나 서버를 폐기했다. 개인정보위는 이 때문에 정확한 유출 경위와 추가 유출 여부를 확인하지 못하고 수사기관에 수사를 의뢰했다.

양청삼 개인정보위 사무처장은 "사업자가 사고 발생 시 증거를 미리 은닉·폐기하는 것이 오히려 유리하다고 생각할 수 있는 규제의 사각지대가 존재한다"고 말했다.

유출 과징금과 별도로 '전체매출 3%' 부과
개인정보위는 조사 착수 전 증거 은닉·폐기 행위에 형사처벌을 도입하고, 개인정보 유출 과징금과 별도로 매출액의 3% 이내에서 과징금을 부과하는 방안을 추진한다.

현행 개인정보 유출 과징금은 위반 행위와 관련된 매출액을 기준으로 산정한다. 증거 은닉·폐기 과징금은 전체 매출액을 기준으로 은닉·폐기 정도와 위법 행위의 중대성 등을 따져 별도로 산정한다는 구상이다.

구체적인 부과 기준은 개인정보 보호법 개정과 시행령 마련 과정에서 확정할 예정이다.

개인정보위는 증거 은닉·폐기 행위를 신고한 사람에게 포상금을 지급하는 제도도 도입한다. 사고 관련 서버와 로그 등을 삭제하지 못하도록 보존을 명령하는 자료보전명령과 조사에 협조하지 않거나 시정명령을 이행하지 않는 사업자에게 부과하는 이행강제금도 신설할 계획이다.

다만 새 제재는 법 시행 이후 발생한 행위부터 적용된다. 불리한 제재 규정을 소급 적용할 수 없어 이번 KT와 LG유플러스 사건에는 증거 은닉·폐기 과징금을 부과할 수 없다.

kxmxs4104@news1.kr