금융당국 책임론 ‘실종’… 소잃고 외양간 고치기식 ‘뒷북’

정부 종합대책 ‘금융위를 위한 변’

신용카드 정보 1억건 유출로 국민 분노와 청와대 진노를 산 금융당국이 22일 내놓은 ‘금융사 고객정보 유출 재발 방지대책’은 ‘금융위를 위한 변명’으로 불릴 만하다. 총 19쪽 중에서 상당한 분량이 “이번 사건은 인재(人災)”, “2차 피해는 없음”을 강조하는 데 할애됐다. 금융위가 만든 제도나 보안 규정이 문제가 아니라 이를 지키지 않은 금융사에 문제가 있다는 것이다. 금융업계에서는 대책 수립이 사실상 3일 만에 이뤄진 것을 두고 “박근혜 대통령이 해외 순방에서 돌아오기 전에 정부 책임론을 조기 진화하기 위한 시도”라는 해석도 나온다.

클릭하면 큰 그림을 볼 수 있습니다

◆제도상의 문제는 없다?

현오석 경제부총리 겸 기획재정부 장관은 이날 “금융 소비자도 정보를 제공하는 단계에서부터 신중해야 한다. 우리가 다 정보제공에 동의해줬지 않느냐”고 말해 구설수에 올랐다. 당장 신용카드 등 각종 서비스 가입 시 정보제공 동의가 사실상 반강제로 이뤄져 큰 문제인데 경제수장이 현실과 동떨어진 인식을 보여준 것이다.

금융위는 또 이번 사건 근본 원인에 대해 “기본적인 보안 절차만 준수했더라도 충분히 막을 수 있었던 전형적인 인재”라고 규정했다. 코리아크레딧뷰로(KCB) 직원이 용역업무를 수행하느라 여러 카드사를 돌아다녔는데 이 과정에서 ‘외부인 USB메모리 사용 차단’, ‘고객정보 암호화’ 등의 규정을 지키지 않은 카드사만 화를 입었다는 것이다. 금융당국에 쏟아지는 비판 여론을 방어하려는 시도로 읽힌다. 하지만 개인정보의 비암호화 등 허점 많은 금융사 보안 실태에 대한 감독 실패 책임은 금융당국 몫이라는 비판 여론이 거세다.

금융위는 또 “유출된 정보가 유통되지 않아 이에 따른 피해 가능성은 없다”고 단언했다. 그러면서 “금감원 자료 분석 결과 신용카드 비밀번호나 본인 인증코드(CVC)와 같은 중요 정보는 포함돼 있지 않아 카드를 교체할 필요가 없으며, 기존 카드를 그대로 사용하면 된다”고 강조했다. 비밀번호, CVC 없이도 일부 비대면 거래에서 카드 결제가 가능한 점을 감안하면 정보 유출 피해자들로서는 받아들이기 힘든 얘기다. 금융당국 집계 결과 사태 발생 이후 이날까지 국민·롯데·농협카드사에 재발급을 요청한 건수는 127만3000건이며 탈회 및 해지신청은 101만7000건으로 집계됐다.

당정협의 참석한 玄부총리 현오석 경제부총리 겸 기획재정부 장관(왼쪽 두 번째)이 22일 국회에서 열린 카드사 개인정보유출 사고 종합방지 대책 당정협의에 참석, 사태 발생에 대한 유감을 표명하고 있다.
남제현 기자

◆재발 방지 대책 실효성은?

금융 정보 유출 사건의 재발을 막기 위한 대책은 사후 처벌 강화와 금융사 보유 정보 축소 및 유통 기준 강화로 나눠진다. 우선 각 금융사는 고객 정보 유출 시 최고 50억원대의 과징금이 매겨진다. 또 불법 정보를 이용해 영업을 했을 경우에는 매출액의 최고 1%까지 토해낼 수 있는 ‘징벌적 과징금’을 부과한다. 아울러 금융사가 꼭 수집해야 할 정보만 모으고 이조차 엄격하게 관리하도록 규제를 강화할 방침이다.

금융위는 이와 함께 이번에 1억여건의 고객 정보 유출 사태로 물의를 일으킨 KB국민, 롯데, NH농협 3개 카드에 대해서는 최고경영자 해임 권고와 영업정지 3개월의 중징계를 내리는 것으로 내부 방침을 정했다.

대책 발표 직전까지 수정을 거듭해 관련 파일명에 ‘진짜 최종’이 붙었을 정도로 금융당국이 고심했지만 실효성은 미지수다. 정보보안업체 잉카인터넷 관계자는 “금융사 처벌 수위를 높인 것 말고는 특별한 내용이 안 보인다”고 평가했다.

일단 이번 대책에선 이미 시중에 불법 거래되고 있는 개인 정보에 대한 대책이 빠졌다는 점이 지적된다. 또 정부는 ‘고객 정보 제3자 활용 본인 동의 의무화’를 통해 앞으로는 금융사로 하여금 고객에게 자신의 정보가 누구에게 얼마 동안 제공되는지 밝히고 일일이 동의를 받겠다는 계획이다. 하지만 이미 축적된 정보의 제3자 제공 문제에 대해선 별도 대책이 없다. 정부는 관련 태스크포스(TF)에서 이 문제를 보다 구체적으로 논의한다는 입장이다.

정작 이번 정보 유출 사태의 장본인인 세 카드사에는 징벌적 과징금 등 이번 대책이 소급적용되지 않는다. 3개월 영업정지 정도의 처분으로 끝날 전망이어서 솜방망이 처벌 논란이 예고됐다.

금융사가 수집할 수 있는 필수 정보가 무엇인지 그 기준에 대한 논란도 불가피하다. 현재 20∼50개씩 수집하는 개인 정보 중에서 각 금융사가 자체적으로 필수 정보와 선택 정보를 구분하도록 한 것에 대해 “고양이에게 생선가게를 맡긴 것”이라는 비판이 나오고 있다. 신제윤 금융위원장은 “꼭 필요한 정보 이외에는 취급하지 못하도록 할 계획”이라고 밝혔다.

이번 사태를 계기로 통신사, 백화점 등 일반 기업에 축적된 천문학적인 개인정보 보호 대책도 마련돼야 한다는 여론이 커지고 있다. 경제정의실천시민연합 소비자정의센터 박지호 간사는 “근본적인 개선책 없이 책임자 처벌과 영업정지만 담았다”며 “사태가 커지다 보니 정부가 허겁지겁 내놓은 미봉책으로 보인다”고 말했다.

박성준·정진수 기자 [e-mail]