[차장칼럼] 해킹 은폐 막으려면 '채찍' 보다는 '당근'도 갖춰야

최근 개인정보보호위원회(이하 개인정보위)가 기업들에게 해킹 사태 발생 시 증거를 없애면 더욱 처벌을 강화하겠다고 밝혔지만 오히려 은폐를 부추길 것이란 우려의 목소리가 나온다.

현행법 상 해킹사고 조사 착수 후 증거를 은닉하거나 폐기하면 형사처벌이나 과태료 부과가 가능하다. 하지만 조사 착수 전에 이뤄진 증거 은닉이나 폐기에 대한 제재 규정이 미미한 상태다. 이에 개인정보위는 조사 착수 전 증거를 은닉하거나 폐기한 행위도 형사처벌 대상에 포함하고 증거 은닉·폐기 행위에는 전체 매출액의 3%를 과징금으로 부과하는 제도 개선에 나섰다.

또 사업자의 비협조로 조사가 지연되는 문제를 막기 위해 조사 비협조나 시정명령 미 이행 시 일 매출액의 0.3%에 해당하는 이행강제금을 부과하고 침해사고 발생 시 자료보전명령이 가능하도록 하는 방안도 함께 추진한다. 이행강제금과 증거보존명령 도입 관련 법안은 이미 국회에 발의된 상태다.

해킹 사태의 책임을 명확히 하기 위한 조치지만 오히려 은폐하는 환경을 제공하는 것이 아니냐는 우려의 목소리가 나온다. 보안업계 한 관계자는 "어차피 들키면 고객들에게 욕먹고 낙인이 찍히는 매한가지인 상황에서 오히려 기업들을 조이는 법안을 내놓으면 더욱 자진 신고할 이유가 없다"며 "지금은 채찍보다는 당근이라는 회유책이 필요한 상황"이라고 설명했다.
자진 신고 시 메리트가 아예 없는 것은 아니다. 지난 2023년 채용정보회사에서 개인정보가 유출됐을 당시 인지하자마자 즉시 관계 기관에 신고했다. 이로 인해 관계당국의 감경 재량으로 과징금 20%를 감경했다. 업계에서는 대폭 감소한 것이라고 표현했지만 다른 국가에 비해서는 한참 낮은 수치라는 지적의 목소리가 나왔다.

유럽의 한 기업은 해킹사고가 발생하자 해당 내용을 영국 규제 당국(ICO)에 신고했다. 그 결과 당초 ICO는 해당 기업에 1억8300만 파운드(약 2696억 원)의 과징금을 부과할 계획이었지만 자진신고와 적극적인 조사를 이유로 2000만 파운드(약 296억 원)까지 대폭 낮췄다. 이와 같은 획기적인 감면조치가 있어야 해킹당한 낙인을 감안하더라도 자진신고하는 환경이 조성될 수 있다.

징벌적 규제 강화만으로는 기업의 자발적인 협조를 이끌어낼 수 없다. 제재 못지 않게 파격적인 감면 조치와 실효성 있는 유인책이 제도적으로 마련돼야 규제의 본 목적을 달성할 수 있다.


이재현 글로벌이코노믹 기자 kiscezyr@g-enews.com