'신고하면 과징금 1347억9100만 원. 은폐만 성공하면 걸려도 과태료만.'

해킹 사태를 겪은 기업들이 개인정보보호위원회의 과징금 처분을 받아들거나 기다리고 있는 가운데, 뒤늦게 은폐 사실이 발각되더라도 이미 증거가 폐기됐다면 대규모 과징금 대신 '솜방망이' 수준의 과태료 처분에 그치는 제도의 맹점이 형평성에 어긋난다는 지적이 나온다.

20일 통신 업계에 따르면 LG유플러스가 이용자 개인정보 유출과 관련해 또다시 고의 은폐 의혹에 휩싸였다. 가입자식별번호(IMSI)를 통해 전화번호가 파악될 수 있다는 사실을 파악하고도 수년간 이용자에게 고지하지 않은 사실이 드러나면서다. 지난해 해킹 서버 고의 폐기로 공무집행 방해 수사를 받고 있는 상황에서 또 다시 은폐 행위를 반복했다는 비판이 일고 있다.

이용자 개인정보와 관련한 기업들의 은폐 행위는 비단 LG유플러스만의 문제는 아니다. 개인정보위의 과징금 부과 결정을 기다리고 있는 KT와 쿠팡도 모두 늑장 신고를 하며 사고 규모를 축소하거나 은폐를 시도한 정황이 발견됐다. 

기업들이 개인정보 유출 피해가 발생했을 때 공통적으로 은폐를 시도하는 것을 두고 단순히 개별 기업의 양심에 기대서 해결할 수 있는 문제가 아니라는 지적이 나온다. 현재 시스템이 신속한 신고를 강제하지 못하고 있다는 것이다.
 
법조계에서는 특히 개인정보보호법 체계가 현재 기업들의 은폐 행태를 규제하는 데 한계가 있다는 점을 지적한다. 보호법에 의하면 '사고 인지 후 72시간 내에 신고 의무'가 규정돼 있지만, 이를 어기더라도 과징금 규모에는 영향을 미치지 않는다는 것이다.

개인정보보호법 관련 공동소송을 진행 중인 한 변호사는 "개인정보보호법에서 신고 의무가 차지하는 비중은 매우 경미한 것이 현실"이라며 "신고 의무를 어겨도 과태료 부과 대상이기 때문에 과징금보다 훨씬 낮은 금액을 매기게 된다"고 지적했다. 
 
한국 법체계에 따르면 과태료는 가장 낮은 단계의 금전적 조치로, '벌금'보다 약한 '금전적 제재' 성격에 가깝다. 윤해성 한국형사법무정책연구원 본부원은 "과태료는 아주 미약한 경범죄에 한해서 부과하게 된다"며 "최근에는 개인정보보호에 대한 민감도가 높아졌기 때문에 신고 의무를 어긴 기업에 과태료보다 강력한 조치를 요구하는 목소리가 나오고 있는 것"이라고 말했다.

최근 정치권과 학계에서도 이와 관련한 문제의식이 두드러지고 있다. 19일 국회에서 열린 '해킹 은폐 제로: 고의적 해킹 은폐 구조 개선 토론회'에서 국회의원을 비롯한 전문가들은 기업이 개인정보 유출 사실을 은폐하게 만드는 구조적 문제를 공통적으로 지적했다. 

최현우 성신여대 융합보안공학과 교수는 "현재 제도에서는 해킹을 숨기는 것이 기업에는 오히려 더 합리적인 선택'이라며 "숨기면 과태료, 공개하면 기업 위기인 구조에서 기업이 투명성을 선택할 수 있겠나"라고 말했다. 

이해민 조국혁신당 의원은 토론회 이후 SNS에 올린 글에서 LG유플러스를 향해 "문제를 작년에 인지했으면서 사용자에게 고지도 안한 상황이 정상인지 이해할 수 없다"며 "과기정통부는 LG유플러스에 대해 적어도 4월13일까지는 신규가입유치 금지 등을 검토해야 하지 않을까"라고 지적했다. 

LG유플러스는 IMSI 관련 전화번호 유출 가능성이 제기되자 4월13일부터 전체 이용자를 대상으로 유심을 무료로 교체하겠다고 밝힌 바 있다. 하지만 이 의원은 LG유플러스의 조치가 사후약방문에 불과하며, 개인정보 유출 가능성을 인지한 즉시 이용자에게 고지하지 않은 것에도 책임을 물어야 한다고 주장하고 있다. 

지난해 LG유플러스는 서버 해킹 사실을 뒤늦게 신고하는 한편 해당 서버를 폐기하면서 과학기술정보통신부로부터 공무집행 방해로 수사 의뢰됐다. 하지만 LG유플러스가 공무집행 방해로 처벌된다 해도 벌금은 1천만 원 수준에 그치게 될 전망이다. 뒤늦게라도 신고를 하고 1천억 원대의 과징금을 부과 받은 SK텔레콤의 사례와 비교하면 LG유플러스의 은폐가 과징금 처분을 피하기 위한 계산된 행위라는 비판이 나오는 이유다.

LG유플러스 관계자는 "서버 폐기 의혹은 현재 경찰 수사 중인 상황으로, 경찰 조사에 성실히 응할 것"이라며 "4월13일부터 진행되는 유심 교체는 이동전화 보안을 더욱 강화하고 혹시라도 발생할 수 있는 보안사고에 보다 능동적으로 대응하기 위한 것이다"라고 말했다.

이 관계자는 "기존 IMSI 체계 역시 국제 표준에 부합하는 것으로 안전하게 운영돼 왔다"며 "특히 고객을 인증할대 암호화된 키 값 등을 추가로 확인하기 떄문에 보안사로고 이어질 가능성은 매우 낮다"고 설명했다.