내 정보가 회사에서 유출됐을 때 할 일

서강대 사례가 보여준 기관의 세 가지 의무

서강대에서 학생·동문·교직원 약 18만 명의 정보가 유출됐다. 학번과 사번, 이름, 소속, 이메일, 휴대전화번호에 더해 통합로그인 시스템의 암호화된 비밀번호까지 해외 IP의 공격으로 빠져나갔다. 공격은 화요일에 일어났지만 학교가 이를 파악한 것은 사흘 뒤 금요일이었고, 공식 발표는 토요일에 나왔다.

이런 상황에서 기관이 지켜야 할 의무는 개인정보보호법에 정해져 있다. 첫째, 유출을 알게 된 때부터 72시간 안에 정보주체 한 사람 한 사람에게 통지해야 한다. 둘째, 같은 기한 안에 개인정보보호위원회나 한국인터넷진흥원에 신고해야 한다. 셋째, 추가 피해를 막기 위한 조치를 해야 한다. 서강대가 공격 IP를 차단하고 개인정보보호위·교육부에 신고한 것이 여기에 해당한다.

기한 내 신고를 하지 않으면 최대 3000만원의 과태료 대상이 된다. 즉 통지와 신고는 기관의 선의가 아니라 법적 의무다.

통지를 받으면 '무엇이' 유출됐는지부터 본다

Photo by Glenn Carstens-Peters on Unsplash

유출 통지에는 어떤 항목이 새어 나갔는지, 언제 어떻게 벌어졌는지, 기관이 무슨 조치를 했는지, 문의는 어디로 하는지가 담긴다. 재직자가 가장 먼저 볼 것은 유출 항목이다.

이름과 연락처만 나간 경우와 비밀번호까지 포함된 경우는 위험 수준이 다르다. 서강대처럼 비밀번호가 암호화된 상태로 유출됐더라도 안심하기는 이르다. 암호화 방식에 따라 시간을 들이면 원문이 드러날 수 있어, 같은 비밀번호를 다른 사이트에서 쓰고 있다면 그쪽이 더 큰 문제가 된다.

배상보다 먼저 해야 할 자기방어

법적 다툼은 시간이 걸린다. 그사이 2차 피해를 막는 일이 급하다.

• 유출된 계정의 비밀번호를 바꾸고, 같은 비밀번호를 쓰던 다른 서비스도 전부 교체한다.
• 유출된 연락처로 오는 문자·메일을 경계한다. 유출 사실을 아는 공격자는 '유출 안내'를 가장한 스미싱을 보내기 쉽다.
• 개인정보침해 신고상담센터(118)에 신고하고 대응을 상담한다.
• 금융정보가 얽혔다면 카드사·은행에 알리고 명의도용 여부를 살핀다.

이 조치들은 기관의 대응과 별개로 개인이 바로 할 수 있다.

배상은 어떤 경로로 청구하나

개인정보보호법은 피해자에게 유리한 장치를 두고 있다. 손해배상 청구에서 처리자가 '고의나 과실이 없었다'는 점을 스스로 입증하지 못하면 책임을 면할 수 없다. 입증 부담이 기관 쪽에 있는 셈이다.

금액 산정이 어려운 개인에게는 법정손해배상이 현실적이다. 손해액을 구체적으로 증명하지 않아도 300만원 이하 범위에서 법원이 정해 배상을 명할 수 있다. 기관의 고의나 중대한 과실이 인정되면 실제 손해액의 최대 5배까지 물릴 수 있다.

다만 정신적 손해에 대한 위자료는 다르다. 대법원은 유출로 인한 위자료를 받으려면 피해자가 구체적 피해나 그 우려를 증명해야 한다고 봤다. 단순히 정보가 유출됐다는 사실만으로 큰 금액이 인정되지는 않는다는 뜻이다.

소송이 부담스럽다면 개인정보 분쟁조정위원회를 활용할 수 있다. 비용 없이 조정을 신청할 수 있고, 같은 사건 피해자가 많으면 집단분쟁조정으로 함께 다룰 수도 있다.

유출 통보를 받았다면 이 순서로

• 통지문에서 유출된 항목과 비밀번호 포함 여부를 확인한다.
• 해당 계정과 같은 비밀번호를 쓰는 모든 곳의 비밀번호를 바꾼다.
• 이상한 문자·전화·메일을 스미싱으로 의심하고 링크를 누르지 않는다.
• 118에 신고·상담하고, 기관이 안내한 문의처에 조치 내용을 요구한다.
• 피해가 있거나 예상되면 법정손해배상 청구나 분쟁조정을 검토한다.
• 통지 자체가 늦거나 없었다면 그 사실을 기록해 둔다. 통지·신고 지연은 기관의 별도 책임이 될 수 있다.

정보가 유출된 것 자체는 되돌릴 수 없지만, 확인과 대응의 속도는 피해 크기를 바꾼다.

출처

1. 서강대 18만명 정보 유출, 해외 IP 공격 사흘 만에야 파악
2. 개인정보 침해 - 정보주체의 손해배상 및 행정소송 (찾기쉬운 생활법령정보)
3. 개인정보 유출 정황만 있어도 '72시간 내 통지'