9일 쿠키뉴스 취재를 종합하면 고객 개인 정보가 유출된 LG유플러스 측은 해지고객 정보유출 사실을 뒤늦게 공지한 이유에 대해 법적 리스크 검토와 유권해석 때문에 개인정보위와 협의를 하느라 늦어졌다는 입장이다. 개인정보위 측은 LG유플러스의 해지정보 관리에 문제가 있다는 논리를 펴고 있다.
LG유플러스 측은 해지 고객 정보 유출 확인이 늦어진 이유를 “임의로 해지고객 정보를 열람할 경우의 법적 리스크를 검토하는데 시간이 필요했다”고 해명했다. 이에 대해 개인정보위는 “해지 고객에 대한 관리가 아예 안 되고 있다는 이야기 아니냐”고 반문했다.
박형일 LG유플러스 부사장도 이날 국회 과학기술정보방송통신위원회 전체회의에서 해지고객 11만명의 정보가 유출됐다는 사실을 3주 가까이 몰랐냐는 위원 질의에 "검토를 했고 유권해석이 필요해서 그랬다"고 말했다.
논란은 LG유플러스 개인정보 유출 사건에서 촉발됐다. LG유플러스는 지난달 9일 18만건의 고객 정보가 유출됐다고 개인정보보호위원회(개인정보위)에 신고했다. 이후 같은 달 두 차례에 걸쳐 3만건과 8만여건이 추가 유출된 것을 확인했다. 해지 고객의 정보 유출은 최초 신고보다 3주 이상 늦게 밝혀졌다. 8만여건 추가 유출은 개인정보위의 조사 과정에서 드러났다.
통신사는 해지 고객의 정보를 왜 보관하고 있을까. 개인정보보호법 21조에는 ‘개인정보가 불필요하게 됐을 때에는 지체 없이 그 개인정보를 파기해야 한다’고 규정하고 있다. 그러나 단서가 붙는다. 다른 법령에 따라 보존해야 하는 경우다.
국세기본법에 따라 통신사는 해지 고객의 성명과 주민등록번호, 전화번호, 주소, 요금납부내역 등을 보관할 수 있다. 국세의 법정 신고 기한이 경과한 날로부터 5년간 이를 보유하도록 하고 있다. 청약 철회에 관한 기록도 전자상거래 등에서의 소비자보호에 관한 법률에 따라 청약 철회로부터 5년간 보관된다. 보관 목적과 부합하지 않는 경우에는 사업자는 이를 함부로 확인할 수 없다. 다른 개인정보와 분리해 저장·관리해야 한다.
해지 고객 정보의 관리 범위는 어디까지일까. 소극적으로는 안전하게 개인정보를 보관하는 것으로 볼 수 있다. 자료를 열어보는 것은 불가능하다는 주장이다. 적극적으로는 보관 중인 해지 고객 정보에 문제가 생기지는 않았는지 자료를 열어 들여다봐야 한다는 의견이다. 이번 LG유플러스 해지고객 정보 유출 사건 조사의 쟁점이기도 하다.
법조계 의견도 나뉜다. 개인정보보호법 15조에 따르면 개인정보처리자(사업자)는 수집 목적 범위에서 이를 이용할 수 있다. 당초 수집 목적과 합리적으로 관련된 범위에서 정보 주체(이용자)에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 했는지 여부 등을 고려해 정보 주체 동의 없이 개인정보 이용이 가능하다. ‘합리적으로 관련된 범위’에 유출 사건 조사를 포함할 수 있는지는 해석에 따라 다르다.
구태언 법무법인 린 변호사는 보관 목적과 부합하지 않는 경우 개인정보처리자가 이를 열람하기 어려웠을 것이라고 봤다. 구 변호사는 “개인정보를 보관하고 있다고 해서 이를 이용할 수는 없다”며 “LG유플러스 입장에서도 애매하기에 개인정보위의 허가 없이는 열어볼 수 없다고 판단했을 것”이라고 말했다. 이어 유출 확인을 목적으로 해지 고객 정보에 사업자가 접근할 수 있도록 법령 정비가 필요하다는 의견도 내놨다. 새로운 가이드라인이 만들어져야 한다는 것이다.
반면 개인정보보호법 34조에 따라 적극적인 행동이 필요하다는 의견도 있다. 개인정보처리자는 개인정보가 유출됐음을 알게 됐을 때 지체없이 해당 정보 주체에게 이를 알려야 한다. 피해를 최소화하기 위한 대책을 마련하고 필요한 조치도 해야 한다. 최호웅 법무법인 덕수 변호사는 “개인정보처리자로서의 안전 조치 의무를 준수해야 한다. 해지 고객 정보를 방치하고 있다가 접근하지 못해 그냥 둔다는 것은 말이 되지 않는 이야기”라며 “개인정보처리자가 해지 고객 정보에 접근해 제대로 안전이 확보되고 있는지 평소에도 확인해야 한다”고 강조했다.
이소연 기자 soyeon@kukinews.com
