최근 잇따라 발생한 개인정보 유출 사건 이후 상당수 기업이 자사 홈페이지에 관련 공지를 올리고 있다.
소비자에게 유출 사실을 알리는 주요 창구가 홈페이지인 만큼, “개인정보 유출 공지는 의무적으로 게재해야 한다”는 인식도 널리 퍼져 있다.
현행법상 홈페이지 공지는 ‘30일 이상 게시할 것’을 요구한다. 그러나 실제 법령이 요구하는 ‘30일 공지’의 의미와 적용 범위는 생각보다 복잡하다.
과연 기업은 모든 개인정보 유출 공지를 30일 이상 반드시 홈페이지에 유지해야 할까.
◇ 홈페이지 공지는 개별 통지 보완 수단… 시행령, 30일 이상 게시 명시
현행 ‘개인정보보호법 시행령 39조’는 개인정보처리자가 개인정보 분실·도난·유출 사실을 알게 되면 72시간 이내 정보주체에게 통지하도록 규정한다.
다만 연락처가 불분명해 개별 통지가 어려운 경우엔, ‘정보주체가 쉽게 알 수 있도록’ 자사 홈페이지에 30일 이상 공지하는 방식으로 이를 대체할 수 있다.
정보주체에게 알려야 하는 내용은 △유출된 개인정보 항목 △유출 시점과 경위 △피해 최소화를 위해 정보주체가 할 수 있는 방법 △개인정보처리자의 대응조치 및 피해 구제절차 △피해신고 접수 가능한 담당부서 및 연락처 등 다섯 가지다.
홈페이지 안내 방식은 별도 규정이 없다. 개인정보보호위원회 관계자에 따르면 개인정보위는 홈페이지 안내 방식을 특정하지 않는다. 기업들은 공지사항 이름의 페이지나 팝업창에서 공지하는 등 홈페이지 안내 방식을 자유롭게 선택할 수 있다. 알려야 하는 사항도 나눠서 공지할 수 있다.
홈페이지 공지 규제는 몇 차례 변화해 왔다. 2011년 처음 제정된 시행령은 개별 통지를 하더라도 1만명 이상의 개인정보가 유출됐으면 홈페이지 공지를 7일 이상 게재하도록 의무를 뒀다. 2017년은 유출 규모를 1만명에서 1,000명 이상으로 기준이 강화됐다.
2023년 9월 시행령 개정안이 시행되면서 개인정보 유출 공지 게재 기간이 기존 7일 이상에서 30일 이상으로 확대됐다. 대신 ‘일정 규모 이상 유출 시’ 기준은 사라졌다.
현행 시행령은 모든 개인정보 유출 피해자에 통지했다면 해당 내용의 홈페이지 공지는 하지 않아도 되도록 길을 열어뒀다. 쉽게 말해, 개별 통지를 모두 완료한 경우 홈페이지 공지를 하지 않아도 된다.
실제 LG유플러스는 지난 6일 익시오 고객 36명의 통화정보가 유출돼 개인정보위에 신고했다면서도 홈페이지 공지를 올리지 않았다. LG유플러스 관계자는 “모든 피해자에 정확하게 연락했다”며 공지하지 않은 이유를 설명했다.
반면 넷마블처럼 연락처 업데이트 여부를 100% 확신하기 어려운 기업은 홈페이지 공지를 병행한다는 설명이다.
통신사가 아닌 기업들은 개별 정보주체에 문자나 이메일을 보낼 수 있지만, 보유한 연락처가 100% 현재 사용하고 있는지 확실하지 않다. 또한 정보주체에 통지가 100% 도달했다는 걸 확인하기는 어려워 홈페이지 공지를 병행하고 있다.
예로 지난 4일 넷마블은 홈페이지에서 “개별 통지 확인이 어려운 분들을 위해 아래와 같이 유출 내용을 공지드린다”고 밝혔다.
피해 규모가 크다면 유효한 연락처를 알고 있는 통신사도 개별 통지를 완료하기까지 시간이 걸린다. 홈페이지 공지는 전체 고객들이 동일한 시점에 확인할 수 있도록 노력한 방법이다.
대규모 개인정보 유출이 일어난 SKT는 안내 문자메시지를 순차 발송하는 가운데, T월드앱과 홈페이지를 활용해 유심교체 안내를 병행했다.
◇ 해킹사태 장기화하는데… ‘30일 지난 공지’ 관리 기준은 법에 없다
문제는 SKT·KT처럼 조사 결과가 수개월간 이어지는 장기 사건이다. 초기 공지가 올라간 지 30일이 지나도 △사고 원인 △피해 규모 △보상 방안 등이 계속 변경될 수 있기 때문이다. 만약 이런 경우라면, 각 공지를 최소 30일 동안 반드시 유지해야 할까.
현행 시행령은 ‘30일이 지난 공지를 어떻게 관리해야 하는지’에 대해 별도의 기준을 두고 있지 않다. 이에 대해 개인정보위원회는 “30일 규정은 각 공지마다 30일 이상을 유지해야 한다는 의미가 아니다”라고 설명했다. 핵심은 ‘정보주체가 30일 이상 쉽게 확인할 수 있는지’ 여부라는 것이다.
또한 모든 피해자에게 개별 통지를 100% 완료한 경우에는 공지를 30일 이전에 내릴 수 있다는 해석의 여지도 있다. 다만 위원회는 아직 적용 사례가 많지 않아 구체적인 판단은 사안별로 검토해야 한다고 선을 그었다.
반대로 과거 공지가 사건 이해에 필수적인 정보를 담고 있다면 30일이 지나도 삭제해서는 안 된다.
초기 공지가 이후 공지 내용을 이해하는 데 필요한 유출 경위나 시점·유출 항목 등을 포함하고 있다면 계속 유지해야 한다는 취지다.
결국, 현행법상 홈페이지 공지는 ‘30일 이상 게시할 것’을 요구하고 있지만, 모든 피해자에게 개별 통지가 100% 이뤄졌다면 홈페이지 공지가 필요하지 않은 경우도 있다.
반대로, 초기 공지가 이후 공지 내용을 이해하는 데 필요한 경위·시점·유출 항목 등을 담고 있다면 30일이 지나더라도 삭제해서는 안 된다.
또한 해킹 사고처럼 조사 기간이 장기화되는 경우에는 공지 삭제 여부를 사건의 특성을 고려해 사안별로 판단해야 한다는 것이 개인정보위원회의 설명이다.
이러한 점을 종합하면, “개인정보 유출 공지는 홈페이지에 30일 이상 의무 게재해야 한다”는 주장은 대체로 사실이 아니다.
※최종결론: 대체로 사실 아님
#개인정보 #개인정보유출 #개인정보보호법 #팩트체크
댓글0