개인정보 유출 증거 숨기면 ‘매출 3%’ 별도 과징금 부과 법안 추진

개인정보 유출 사고 발생 후 로그나 서버를 없앤 사업자에게 유출 사건 과징금과 별도의 과징금을 부과하는 법안이 추진된다. 증거 은닉·폐기 자체를 독립된 위법행위로 보고 전체 매출액의 3% 범위에서 제재하는 방식이다.

개인정보보호위원회(이하 개인정보위)는 KT와 LG유플러스의 개인정보 유출 사고 조사에서 확인된 제도 공백을 메우기 위한 개인정보보호법 개정 계획을 지난 29일 전체회의에서 논의하고 30일 공개했다.

현행법에서는 개인정보위가 조사를 시작한 뒤 사업자가 자료를 숨기거나 거짓 자료를 제출하면 형사처벌이나 과태료를 부과할 수 있도록 규정한다. 반면 조사 착수 전에 서버를 폐기하거나 로그를 삭제한 행위에는 개인정보보호법상 조사방해 조항을 적용하기 어렵다.

양청삼 개인정보위 사무처장은 “사고 직후 증거를 없앤 사업자가 조사 시작 뒤 자료를 숨긴 사업자보다 제재를 덜 받을 수 있는 구조”라고 설명했다.

KT와 LG유플러스에 대한 조치가 달라진 이유도 조사 착수 시점에 있다. KT는 개인정보위 조사 이후 거짓 자료를 제출하고 진술을 번복한 행위가 확인돼 개인정보보호법에 따라 고발됐다.

LG유플러스는 조사 착수 전에 서버 운영체제를 재설치하고 서버를 폐기한 사실이 확인됐다. 현행 개인정보보호법의 조사방해 조항을 적용하기 어려워 형법상 공무집행방해 혐의로 수사가 의뢰된 상태다.

유출 과징금과 별도로 부과

개인정보위는 개인정보 유출과 증거 은닉·폐기를 서로 다른 위법행위로 보고 각각 과징금을 부과하는 방안을 추진한다. 개인정보 유출 과징금은 위반행위와 관련된 매출을 기준으로 산정하고, 증거 은닉·폐기 과징금은 전체 매출액의 3% 범위에서 별도로 부과하는 방식이다.

증거의 범위와 조사에 미친 영향, 위법행위의 정도 등을 반영한 세부 산정 기준은 법률 개정과 시행령 마련 과정에서 정할 예정이다.

시행 시점은 아직 정해지지 않았다. 개인정보위는 관련 법안의 하반기 국회 통과를 목표로 발의를 추진하고 있다. 법이 시행되더라도 시행 전 발생한 KT와 LG유플러스 사건에는 소급 적용되지 않는다. 다만 경찰 수사에서 새로운 개인정보 유출이나 현행법 위반 사실이 확인되면 개인정보위는 별도 조사와 처분을 진행할 수 있다.