"진짜 추가피해 없으면, 전화위복?…또 터진다"

개인정보 유출 사태로 비상 걸린 금융당국이 22일 말 그대로 '밤샘 대책'을 내놨다. 금융회사 고객정보 유출 재발방지 대책이다. 국민들의 공포가 전염병처럼 번져나가자 대책 발표를 한 달 이상 앞당겼다. 구체적인 시행방안은 나중에 정하더라도 우선 대책방향을 내놓고 국민들을 조금이라도 안심시키자는 목표다.

금융당국이 이번 정부 들어 '재발방지' 대책을 내놓은 건 작년 11월 '동양그룹 문제 유사사례 재발방지 종합대책' 이후 두 번째다. '재발방지'라는 명칭에 담긴 반성의 의미대로 신제윤 금융위원장은 "재발을 보다 근본적으로 방지하는 방안을 마련하겠다"고 강조했다. '획기적 개선', '대폭 강화'와 같은 표현도 자주 언급됐다.


금융당국의 제도 개선 방향은 크게 3가지다. 우선 금융회사가 개인정보를 수집, 보유, 활용하는 단계를 규제하겠다는 것이다. 동의를 가장한 '강제 수집'으로 방대한 자료를 축적해 허술하게 보유하다가, 외부 마케팅 등 돈벌이에 멋대로 쓰는 행태를 막기 위해서다. 제3자 정보제공에 동의할 때 '포괄적 동의'를 못하도록 한 것이나 금융지주 내 고객정보 공유를 제한하는 조치, 마케팅 목적 제3자 정보 활용 제한 등이 여기에 해당한다.

다음은 수요 차단이다. 대출모집인과 같이 불법유출 정보를 주로 필요로 하는 사람들을 엄격히 다스려 불법 개인정보 유통 시장 자체를 아예 없애겠다는 취지다. 단 한 번의 적발로도 '영구퇴출'(원 스트라이크 아웃)이라는 유례없는 제재가 나온 이유다.

사후 처벌 수위도 높였다. 금융회사가 개인 신용정보 관리를 엄격히 하도록 하고 불법유출 정보에 대한 수요를 차단해도 사고 자체를 완전히 막을 수는 없는 법이다.


일단 유출 사고가 터지면 강하게 책임을 묻겠다는 방침이다. 최고 50억원의 '징벌적 과징금'을 때리고 6개월까지 영업정지를 시키는 한편 유출자는 10년 이하 징역에 처하는 형벌을 내리도록 관련법을 바꾸겠다는 계획이다. 정보유출 사고를 일으킨 범죄자는 패가망신, 금융회사는 문 닫을 각오를 하라는 엄포다.


촉박한 시간에 내놓은 대책치고는 나름 짜임새를 갖췄다는 평가다. 그러나 눈에 확 띄는 대책은 없다. 애초부터 전혀 새로운 대책을 내놓는다는 건 불가능했다. 반복되는 정보유출 사고의 원인이 본질적으로 시스템의 문제라기보다 인재(人災)에 가까웠기 때문이다.

이번 사건 역시 외부인의 USB(이동식저장장치) 차단, 고객정보 암호화 등 준수사항이 있었음에도 카드사가 이를 제대로 지키지 않았다.

그동안 제도가 없어서 사고가 터진 게 아니란 뜻이다. 정도에 차이는 있지만 금융회사의 정보관리 규제, 불법유출 정보 이용자 등에 대한 처벌, 사후 제재 등은 이미 갖춰져 있다.

결국 실천이 문제다. 그동안 규정만 만들어놓았을 뿐 제대로 지키지 않았다. 정확히는 제대로 지키는지에 대해 누구도 별반 관심이 없었다.

금융권 고위관계자는 "개인정보보호나 IT보안 등은 여전히 금융회사 내에서는 핵심 업무와 거리가 멀고 일종의 비용으로만 인식하는 경향이 강하다"고 말했다.

금융당국도 자유롭지 못하다. 한 전직 관료는 "당국 내에 보안 전문가가 거의 없고 관련 부서도 비주류 부서 취급을 면치 못하는 게 현실"이라고 말했다.

일각에서는 추가 피해가 없다면 이번 사태가 '전화위복'(轉禍爲福)이 될 수 있다는 분석도 내놓는다. 이보다 더 강하게 우리 사회에 보안의식을 일깨워 줄 수 있는 사건이 있겠느냐는 얘기다. 물론 유출정보가 실제로 유통되지 않았다는 전제 하에 가능한 말이다.