개인정보위, 조사 착수 전 서버·로그 은닉·폐기 행위에 형사처벌과 별도 과징금 도입 추진
유출 사실 입증 못해도 증거인멸 자체로 제재 가능, 상한은 매출액의 최대 3%
KT 로그 삭제·LG유플러스 서버 재설치·폐기 사고가 법 개정의 직접 계기
앞으로는 개인정보 유출에 따른 처벌을 회피하려고 유출 사실을 숨기거나 서버, 로그 삭제 등 증거를 인멸하는 행위도 '중대 제재' 대상이 됩니다. 증거인멸 행위에 대한 형사처벌은 물론, 유출 사실에 부과되는 과징금도 동일한 수준으로 별도 부과될 전망입니다.
특히 증거를 인멸해버려 정보 유출에 따른 과실을 조사 당국이 입증하지 못하더라도, 증거를 인멸했다는 사실만으로 제재가 가능하도록 법을 개정합니다. 과징금은 정보유출과 동일한 '매출액의 최대 3%' 수준이 될 전망입니다.
유출도 3%·증거 인멸도 3%… 실제 산정은 관련 범위 반영
31일 개인정보보호위원회에 따르면 위원회는 조사 착수 전 증거 은닉·폐기 행위에 형사처벌과 별도 과징금을 도입하는 내용의 개인정보보호법 개정을 추진하고 있습니다.
현행 개인정보 유출 과징금도 전체 매출액의 3%를 법률상 상한으로 두고 있습니다. 다만 실제 과징금은 전체 매출에서 위반행위와 관련 없는 매출을 제외한 금액을 기준으로 산정합니다.
KT 펨토셀 사고의 경우 KT 전체 매출이 아니라 무단 소액결제 사고와 관련된 5세대 이동통신(5G)·롱텀에볼루션(LTE) 매출을 기준으로 삼았습니다. 인터넷TV(IPTV)와 유선 인터넷 등 관련 없는 독립적인 매출은 제외됐습니다.
개인정보위가 추진하는 증거 은닉·폐기 과징금도 법률에는 전체 매출액의 3%를 상한으로 두는 방안입니다. 실제 부과액은 폐기된 서버와 로그의 범위, 고의성, 관련 개인정보처리시스템 등을 고려한 별도 기준에 따라 결정될 전망입니다.
개인정보위 관계자는 "증거 은닉·폐기가 개인정보처리시스템에서 발생하는 만큼 실제 산정 과정에서는 현행 개인정보 유출 과징금의 관련 매출 산정 방식과 유사하게 운영될 가능성이 있다"고 설명했습니다.
다만 제도 설계 초기 단계여서 구체적인 산정 기준은 법 개정 이후 시행령과 고시를 마련하는 과정에서 확정될 예정입니다.
유출 못 밝혀도 증거 폐기 자체로 제재
무엇보다 사업자가 증거를 없애 조사 당국이 개인정보 유출 사실과 피해 규모를 규명하지 못하게 하더라도 은닉·폐기 행위 자체를 강하게 제재하는 것이 이번 법 개정 추진의 주요 대목입니다.
서버와 로그가 사라져 실제 유출을 입증하지 못하면 현행법상 유출 과징금을 부과하기 어려울 수 있습니다. 개인정보위는 이 경우 은닉·폐기 과징금을 부과하고, 증거 인멸과 개인정보 유출이 모두 입증되면 두 행위를 각각 제재하는 구조를 검토하고 있습니다.
조사 착수 전 증거 인멸이 유리했던 '사각지대' 해소
현행 규정은 개인정보위 조사 과정에서 증거를 은닉·폐기한 행위에는 형사처벌이나 과태료를 부과할 수 있습니다. 그러나 조사 착수 전 행위에는 제재 규정이 미비합니다. 개인정보위는 사업자가 조사 전에 증거를 없애는 것이 오히려 유리한 선택이 될 수 있는 사각지대를 해소한다는 방침입니다.
KT와 LG유플러스 사고가 직접 계기
이번 제도 개선은 KT와 LG유플러스의 개인정보 유출 사고 조사 과정에서 드러난 한계를 계기로 추진됐습니다.
KT는 2025년 4월 악성코드 감염 여부를 전수점검하면서 침해 서버 10대의 로그를 삭제한 정황이 확인됐습니다. 개인정보위는 거짓 자료 제출과 진술 번복 등 조사 방해 행위에 대해 KT를 고발하기로 했습니다.
LG유플러스는 개인정보위 조사 착수 전에 관련 서버의 운영체제를 재설치하거나 서버를 폐기했습니다. 개인정보위는 이로 인해 정확한 유출 경위와 추가 유출 여부를 확인하는 데 한계가 있다고 보고 수사기관에 수사를 의뢰하기로 했습니다.
신고포상금·이행강제금·자료보전명령도 함께 추진
개인정보위는 증거 은닉·폐기 행위에 대한 신고포상금도 도입할 계획입니다.
조사에 협조하지 않거나 시정명령을 이행하지 않은 사업자에게는 하루 매출액의 0.3%를 이행강제금으로 부과합니다. 침해사고 관련 서버와 로그를 보존하도록 명령하는 자료보전명령도 추진합니다.