주민번호 다 뚫렸는데… 아직도 수집하는 기업·기관 많다

주민번호 대체 마이핀은 이용 저조
과징금 늘린 법안은 국회서 발묶여

지난해 1월 발생한 카드 3사 개인정보 대량유출 사건 후 소비자들이 체감할 수 있는 가장 큰 변화는 주민등록번호 중심의 개인정보 관리체계가 바뀌었다는 점이다. 인터넷 쇼핑이나 카드명세서 및 통신요금 조회, 기차나 버스 승차권 구매, 병원진료 예약 시에 더 이상 주민번호를 쓰지 않아도 된다. 그러나 이미 다 털려 공공재가 돼버린 주민번호와, 주민번호 대신 수집되고 있는 각종 정보들이 언제 어떻게 범죄에 이용될지 모른다는 불안감은 좀처럼 가시지 않고 있다. 정보 유출 회사에 대한 징계와 피해자에 대한 보상 역시 미미해 비싼 수업료를 주고 얻은 교훈이 벌써 잊혀지고 있는 것 아니냐는 지적이 나온다.

클릭하면 큰 그림을 볼 수 있습니다.

◆약발 없는 후속대책

사건 직후 KB국민·NH농협·롯데카드 3사는 최고경영자(CEO)를 비롯한 관련 책임자들이 모두 물러나고 금융당국으로부터 3개월간 영업정지 조치를 받았다. 금융당국은 카드 3사의 매출 감소액을 반영한 영업손실을 1072억원, 정보 유출에 따른 후속처리 비용을 534억원으로 추정했다.

그러나 총 8500건의 개인정보를 유출시킨 신용정보회사 KCB와 카드 3사에 부과된 과징금은 각사 600만원에 불과했다. 중국에서 1건당 160원에 거래되는 개인정보를 단순 계산해도 136억원이다. 카드사들은 “3개월의 영업정지로 입는 손실이 훨씬 크고, 그 피해는 몇 개월 후에나 나타날 것”이라며 울상을 지었다. 그러나 1년이 지난 지금 3사 중 두 곳의 영업이익(2014년 3분기 누적기준)은 오히려 전년보다 늘었다. 카드사들은 “영업정지 기간에 마케팅이나 영업비를 쓰지 않아 비용이 감소했기 때문에 당기순이익이 늘어난 것일 뿐, 회원 감소의 여파는 장기적으로 나타날 것”이라고 말한다. 피해 고객에게 카드사가 해준 보상책이라곤 월 300원의 문자 알림서비스(SMS)를 1년간 무료 제공한 것뿐이었다.

이 사건을 계기로 미국처럼 징벌적 손해배상제도를 도입해야 한다는 목소리가 커지자 정부는 개인정보가 유출된 회사는 최대 50억원, 정보를 직접 유출하거나 불법 유출된 정보를 유통, 활용한 회사는 관련 매출의 3%까지 과징금을 매기도록 ‘신용정보의 이용과 보호에 관한 법률’을 개정했다. 그러나 이 법은 아직까지 국회에 발이 묶여 있고, 내용 역시 선언적인 수준에 그친다는 지적이다. 금융소비자원 조남희 대표는 “과징금을 대폭 늘렸다고 해도 금융사가 ‘주의 의무를 다했으나 해킹이나 정보유출을 막는 것이 불가항력이었다’고 항변하면 결국 빠져나갈 여지가 있다”면서 “거액의 과징금은 금융당국의 권한을 강화한 것일 뿐 소비자를 위한 실질적인 피해 구제책은 아니다”고 지적했다. 그는 “정보가 유출되면 피해자들에게 무조건 1만원이라도 보상하는 문구를 법안에 넣어달라고 하면 정무위 야당의원들조차 ‘그러면 금융사 망한다’고 말한다”고 덧붙였다.

◆여전한 정보 수집 관행

정부는 정보유출 예방책으로 지난해 8월부터 생명·신체·재산상 이익을 위해 필수적인 경우를 제외하고 주민번호 수집을 전면 금지했다. 대체 수단으로 13자리 무작위 숫자로 구성돼 개인식별 정보가 없고, 연 5회까지 변경할 수 있는 마이핀 사용을 권장했다. 지난해 12월28일 현재 마이핀을 사용하는 곳은 52개 기관, 4016개 사업장에 불과하다. 마이핀 발급 건수도 164만6553건으로 이용자는 20∼40대가 대부분이다. 마이핀의 실제 이용자는 이보다 훨씬 적고, 여전히 주민번호 수집 관행을 버리지 못한 기관과 사업체 역시 적지 않다.

이런 가운데 정부가 핀테크(금융과 정보기술의 결합) 산업 육성을 강조하면서 ‘보안성’보다는 ‘간편성’에 치우쳐 벌써 정보유출 대란의 교훈을 잊은 것 아니냐는 우려도 나온다. ‘천송이코트 논란’ 때문에 공인인증서 등의 추가인증 절차를 없앤 카드사들은 언제 터질지 모르는 시한폭탄 때문에 불안하다고 호소한다. 카드사 관계자는 “불법복제에 취약한 마그네틱 카드에서 IC카드로 바꾸는 데도 3년 넘게 걸리는데 6개월 만에 보안시스템을 바꾸라고 하니 완벽하게 할 수 있겠는가”라며 “아직 안 터졌으니 다행일 뿐 시한폭탄 돌리기 하는 기분”이라고 말했다.

고려대 정보보호대학원 김승주 교수는 “금융당국은 규제를 최소화하고 업계 자율에 맡기되 사고 발생 시 기업의 책임을 더욱 강하게 물어야 한다”고 강조했다. 그는 “금융사들이 복사 가능한 보안카드를 나눠주는 것이 문제인데 그것을 복제 혹은 유출당한 고객 잘못으로만 몰아간다”며 “금융사는 다양한 보안 솔루션을 갖춰놓고 소비자가 높은 수준의 보안 솔루션을 선택하면 손해배상액도 커지는 구조를 갖추고, 소비자도 합당한 대가를 치르더라도 안전한 보안 솔루션을 이용하는 게 바람직하다”고 조언했다.

김수미 기자 [e-mail]

관련기사

▶ '개인정보 유출대란' 그후 1년… '뛰는 보안범죄, 기는 정부대책'

▶ 정보유출 공동소송 어떻게… '타범죄 악용 입증해야'