#1. 김영광(32) 씨는 모 백화점이 100만원 상당의 침대를 경품으로 내건 이벤트에 참여했다. 그런데 이 이벤트에 참여한 이후 평소엔 오지않던 온라인 도박 사이트를 소개하는 메시지가 밤낮을 가리지 않고 하루에도 4~5개씩 쏟아졌다. 김 씨는 결국 이벤트에 당첨되지도 못했고 개인정보만 노출됐다는 생각에 후회스러움이 밀려왔다.

#2. 3년전 온라인 상에서 모 할인점의 멤버십 회원으로 가입한 서진영(42) 씨는 멤버십 탈퇴를 위해 전화를 하자 “고객센터에 직접 방문해야 한다”는 답변을 받았다. 서 씨는 ‘가입은 쉽게, 탈퇴는 어렵게’하는 할인점의 횡포에 기분이 상했지만, 고객센터가 차로 30분이나 가야하는 거리에 있어 아직 회원 탈퇴를 하지 못하고 있다.

 

한국인터넷진흥원(KISA)의 ‘개인정보 노출대응 상황실’에서 직원들이 실시간 개인정보 노출 현황을 주시하고 있다. 이 곳에선 하루 약 6500개 웹사이트에서의 개인정보 노출 여부가 실시간으로 검색된다. 개인정보 노출이 발견되면 해당 사이트에 삭제토록 통보한다.

앞으론 이같은 개인들의 불만 사항이 크게 줄어들 전망이다. 개인 정보 보호 수준을 크게 강화한 개인정보보호법이 지난달 30일부터 시행에 들어갔기 때문이다.

새 법에 따르면 백화점 이벤트에 참여한 김 씨는 자신의 개인정보를 유출한 것으로 의심되는 백화점에 자신의 개인 정보에 대한 삭제를 요청할 수 있다. 백화점은 김 씨의 요구를 즉시 받아들여야 하고, 이를 이행치 않을 경우 3000만원 이하의 과태료가 부과된다.

서 씨의 경우도 즉각 구제받을 수 있다. 관련법(30조)은 회원 탈퇴 등을 요구하는 방법을 가입보다 더 쉽게 해야 한다고 규정하고 있다. 서씨의 경우엔 온라인으로 가입 신청을 했기 때문에 원칙적으로 온라인 상에서도 회원 탈퇴가 가능해야 하며, 이를 어길 경우 할인점은 3000만원의 과태료 처분을 받게 된다.

개인정보보호법의 적용 대상은 기존 50만여 사업자에서 350만여 사업자로 늘어났다. 기존 법의 사각 지대에 있던 거의 모든 사업자들이 새로운 법에선 적용 대상이다. 사실 350만 사업자라는 숫자도 실상은 큰 의미가 없다. 만일 개인이 동창회 명부를 관리하는 총무직을 맡고 있다면 그 사람 역시 원칙적으론 개인정보보호법 적용 대상자다. 국민 전체가 법 적용 대상이 될 수 있다는 말이다. 종이에 손으로 기록된 개인 정보 역시 법의 보호 대상이다.

개인정보 수집과 유통은 반드시 개인의 동의를 받아야 한다. 현재 각 기업들은 자사의 영업부서가 수집한 개인정보를 관계사의 홍보나 마케팅부서와 공유(유통)한다. 앞으로 사업자들은 이에 대한 개인 동의도 별도로 받아야 하고 개인의 요구가 있을 경우 지체없이 개인정보를 파기해야 한다.

개인정보의 수집이나 유통 목적이 달성됐을 때에도 즉시 파기가 원칙이다. 예를 들어 입사지원서의 경우 입사 전형이 마무리지어진 경우, 탈락자의 정보는 파기돼야 한다. 

인터넷 포털의 경우 주민등록번호 이외에 아이핀(I-pin)이나 공인인증서를 통해서도 가입이 가능하도록 해야 한다. 또 회원탈퇴 요청이 있을 경우 ‘지체없이’ 개인정보를 파기해야 하고, 만일 개인정보를 파기하지 않아 탈퇴 이후에도 홍보성 이메일이 개인의 다른 메일로 접수될 경우엔 법 위반에 해당한다.

하지만 일부 규정에 대해선 현실 적용 문제를 고려, 느슨하게 조정했다. 예를 들어 하루 개인정보 처리량이 1만건을 넘지 않는 경우엔 ‘의무 신고 대상’ 기준에서 제외했다. 의무 신고 대상이란 개인정보가 유출됐을 경우 관련 사실을 행정안전부 등에 신고해야 하는 사업자다. 또 파일화된 모든 개인정보는 암호화가 원칙이지만, 비용 문제를 고려해 법 적용 시점을 오는 2013년 1월1일부터로 늦춰잡았다.

아울러 수표 배서를 위해 수집된 주민번호와 전화번호나 개인이 통상적으로 관리하는 주소록 등에 대해선 법 세부 규칙에서 개인정보보호법의 적용 대상에서 제외시켰다. 지나치게 엄격하게 법을 운용할 경우 역효과가 발생할 우려도 큰 탓이다.

<홍석희 기자 @zizek88> hong@heraldcorp.com