사후 제재 중심의 개인정보보호, 한국을 해커 온상으로 만든다

올해와 지난해 연달아 발생한 대규모 개인정보유출 사건은 기존의 개인정보보호와 관련한 규제가 더 이상 효과적으로 작동하지 않는다는 점을 여실히 보여줬다. 이에 개인정보보호는 사건이 발생한 이후 해결책을 찾는 ‘사후약방문(死後藥方文)’이 아닌 선제적 대응이 필요하다는 주장이 힘을 얻고 있다.

고려대 정보보호대학원 최동근 교수는 23일 국회에서 열린 ‘사전예방 중심 개인정보 보호 체계 구축을 위한 토론회’의 토론자로 나서 현행 개인정보보호 관련 정책의 개선점을 제시했다.

최 교수가 이날 발표한 내용에 따르면, 현재 정부의 개인정보보호 관련 규제는 일정 부분 억지력을 제공하지만 이미 발생한 피해에 대한 회복이 어렵다는 한계가 존재한다.

이는 결국 사고가 발생한 기업을 해커나 범죄자보다 먼저 조사하기 때문에 피의자 검거가 뒷전으로 밀리는 현상을 야기하며 이로 인해 기업은 개인정보보호와 관련된 사건이 발생해도 신고를 꺼리게 된다. 결국 이 같은 분위기가 이어지면 한국은 글로벌 해커들의 ‘맛집’으로 선택될 수 있다고 최 교수는 경고했다.

“AI 환경에서는 자동화된 데이터 수집과 학습, 결합과 추론 과정에서 새로운 개인정보 위협이 발생하고 있다”고 말한 최 교수는 “기존의 규제 방식만으로는 이러한 위험에 대응할 수 없다”고 주장했다.

사전 예방 중심의 개인정보 보호 체계의 핵심으로 최 교수는 ▲위험 기반 규제 체계 확립 ▲기업 거버넌스 강화 ▲‘프라이버시 바이 디자인’ 등을 꼽았다.

한편, 그는 정책적인 보완을 위해서는 예방 투자에 대한 인센티브 체계 확립이 중요하다고 강조했다.

최 교수는 “개인정보 사전예방 대응을 위한 세제 혜택 마련과 기 확보된 과징금 등의 재원을 중소기업 및 영세기업, 1인 기업의 개인정보 예방 활동에 투자해야 한다”고 말한 그는 “특히 중소기업의 보호 역량 지원 정책이 중요하다”고 강조했다.

덧붙여 최 교수는 ‘데이터 공급망 전반에 대한 거버넌스 구축’의 필요성을 제기했다. 개인정보 처리는 단일 기업이 아닌 플랫폼과 클라우드, 외주, 해외 서비스 등이 연결된 데이터 생태계 속에서 이뤄지고 있기 때문에 거버넌스가 중요하다는 것이 그의 주장이다.