"증거부터 지우자" 손 댔다간 '매출 3%' 과징금 철퇴…개인정보법 수술

(서울=뉴스1) 김민수 기자 = 앞으로는 개인정보 유출에 따른 처벌을 회피하려고 유출 사실을 숨기거나 서버, 로그 삭제 등 증거를 인멸하는 행위도 '중대 제재' 대상이 된다. 증거인멸 행위에 대한 형사처벌은 물론, 유출 사실에 부과되는 과징금도 동일한 수준으로 별도 부과될 전망이다.

특히 증거를 인멸해버려 정보 유출에 따른 과실을 조사 당국이 입증하지 못하더라도, 증거를 인멸했다는 사실만으로 제재가 가능하도록 법을 개정한다. 과징금은 정보유출과 동일한 '매출액의 최대 3%' 수준이 될 전망이다.

31일 개인정보보호위원회에 따르면 위원회는 조사 착수 전 증거 은닉·폐기 행위에 형사처벌과 별도 과징금을 도입하는 내용의 개인정보보호법 개정을 추진하고 있다.

현행 개인정보 유출 과징금도 전체 매출액의 3%를 법률상 상한으로 둔다. 다만 실제 과징금은 전체 매출에서 위반행위와 관련 없는 매출을 제외한 금액을 기준으로 산정한다.

KT(030200) 펨토셀 사고의 경우 KT 전체 매출이 아니라 무단 소액결제 사고와 관련된 5세대 이동통신(5G)·롱텀에볼루션(LTE) 매출을 기준으로 삼았다. 인터넷TV(IPTV)와 유선 인터넷 등 관련 없는 독립적인 매출은 제외됐다.

개인정보위가 추진하는 증거 은닉·폐기 과징금도 법률에는 전체 매출액의 3%를 상한으로 두는 방안이다. 실제 부과액은 폐기된 서버와 로그의 범위, 고의성, 관련 개인정보처리시스템 등을 고려한 별도 기준에 따라 결정될 전망이다.

개인정보위 관계자는 "증거 은닉·폐기가 개인정보처리시스템에서 발생하는 만큼 실제 산정 과정에서는 현행 개인정보 유출 과징금의 관련 매출 산정 방식과 유사하게 운영될 가능성이 있다"고 설명했다.

다만 제도 설계 초기 단계여서 구체적인 산정 기준은 법 개정 이후 시행령과 고시를 마련하는 과정에서 확정될 예정이다.

무엇보다 사업자가 증거를 없애 조사 당국이 개인정보 유출 사실과 피해 규모를 규명하지 못하게 하더라도 은닉·폐기 행위 자체를 강하게 제재하는 것이 이번 법 개정 추진의 주요 대목이다.

서버와 로그가 사라져 실제 유출을 입증하지 못하면 현행법상 유출 과징금을 부과하기 어려울 수 있다. 개인정보위는 이 경우 은닉·폐기 과징금을 부과하고, 증거 인멸과 개인정보 유출이 모두 입증되면 두 행위를 각각 제재하는 구조를 검토하고 있다.

현행 규정은 개인정보위 조사 과정에서 증거를 은닉·폐기한 행위에는 형사처벌이나 과태료를 부과할 수 있지만 조사 착수 전 행위에는 제재 규정이 미비하다. 개인정보위는 사업자가 조사 전에 증거를 없애는 것이 오히려 유리한 선택이 될 수 있는 사각지대를 해소한다는 방침이다.

이번 제도 개선은 KT와 LG유플러스(032640)의 개인정보 유출 사고 조사 과정에서 드러난 한계를 계기로 추진됐다.

KT는 2025년 4월 악성코드 감염 여부를 전수점검하면서 침해 서버 10대의 로그를 삭제한 정황이 확인됐다. 개인정보위는 거짓 자료 제출과 진술 번복 등 조사 방해 행위에 대해 KT를 고발하기로 했다.

LG유플러스는 개인정보위 조사 착수 전에 관련 서버의 운영체제를 재설치하거나 서버를 폐기했다. 개인정보위는 이로 인해 정확한 유출 경위와 추가 유출 여부를 확인하는 데 한계가 있다고 보고 수사기관에 수사를 의뢰하기로 했다.

개인정보위는 증거 은닉·폐기 행위에 대한 신고포상금도 도입할 계획이다.

조사에 협조하지 않거나 시정명령을 이행하지 않은 사업자에게는 일 매출액의 0.3%를 이행강제금으로 부과하고, 침해사고 관련 서버와 로그를 보존하도록 명령하는 자료보전명령도 추진한다.

kxmxs4104@news1.kr