“보상 못 받을 수도”…한국서 벌어지는 무책임한 상황에 소비자들만 ‘분통’

개인정보 유출 보험 가입률 10% 미만
중소기업 보호막 없이 위험에 노출
정부 의무대상 축소에 전문가 우려

“소비자 보호한다더니 정작 유출 피해는 고스란히 우리 몫이네요.” 한 개인정보 유출 피해자의 한탄이다.

개인정보 보호의 중요성이 날로 커지는 가운데, 정작 피해 구제를 위한 안전장치는 제대로 작동하지 않고 있다는 지적이 나온다.

유출 피해 속출하는데 “보상은 어디에”

20일 손해보험업계에 따르면 작년 말 기준 개인정보유출 배상책임보험 가입 건수는 7,769건에 불과했다.

개인정보보호위원회가 추정한 의무 가입 대상 기업(8만 3천~38만 개)을 고려하면 가입률은 고작 2.0~9.4% 수준이다.

개인정보보호위원회는 2020년부터 개인정보 유출에 따른 손해배상책임 이행이 어려운 사업체를 위해 보험 가입을 의무화했다.

가입 대상은 전년도 매출액이 10억 원 이상이면서 정보 주체 수가 1만 명 이상인 곳이다.

하지만 개인정보보호위원회가 의무 대상 기업 현황을 제대로 파악하는 것에 한계가 있어 실질적인 점검과 관리가 이루어지지 않고 있다.

이런 상황에서 최근 대규모 해킹 피해를 입은 SKT 역시 단 10억 원 한도의 책임보험만 가입한 사실이 알려지며 보상 체계의 취약성에 대한 논란이 증폭되고 있다.

해킹으로 인한 개인정보 유출 급증

보상 체계가 미흡한 상황에서 개인정보 유출 사고는 오히려 증가하는 추세다. 지난 3월 개인정보보호위원회와 한국인터넷진흥원이 발표한 ‘2024년 개인정보 유출 신고 동향 및 예방 방법’ 보고서에 따르면, 지난해 접수된 유출 신고는 총 307건에 달했다.

이 중 해킹이 56%(171건)로 가장 높은 비중을 차지했으며, 업무 과실 30%(91건), 시스템 오류 7%(23건) 순이었다.

특히 해킹 유형 중에서도 관리자 페이지 비정상 접속(23건), SQL 인젝션(17건), 악성 코드(13건) 등이 주요 원인으로 나타났다.

주목할 점은 불법적인 접근이 있었으나 정확한 원인이 밝혀지지 않은 사건이 87건으로, 전체 해킹 사고의 절반에 달했다는 사실이다. 이는 기업들의 사이버 보안 대응 역량이 아직 미흡하다는 것을 방증한다.

오히려 후퇴하는 개인정보 보호 체계

하지만 해킹으로 인한 개인정보 유출이 잇따르는 상황에서도 개인정보보호위원회는 의무대상 기업 기준을 오히려 대폭 축소하려 하고 있다.

지난 3월 발표에 따르면 ‘매출액 1,500억 원 이상이면서 정보주체 수 100만 명 이상’으로 기준을 상향해 의무 가입 대상을 불과 200곳 정도로 줄이겠다는 계획이다.

김규동 보험연구원 연구위원은 “이는 개인정보보호법의 근본 취지에 정면으로 위배된다”고 지적하며 “규모가 큰 기업보다 중소·영세업체들의 보안 역량이 더욱 취약한데 의무를 면제하면 개인정보 보호에 대한 기업 인식이 크게 약화될 것”이라고 강조했다.

이에 대해 개인정보보호위 관계자는 “현재 폭넓게 의견 수렴 중”이라며 “중소기업에는 의무는 면하되 자발적으로 가입할 수 있는 인센티브를 제공할 계획”이라고 밝혔다.

전문가들은 “개인정보 보호 의무를 강화하는 전 세계적 흐름과 달리, 우리나라는 오히려 완화하는 방향으로 가고 있다”며 “인프라와 제도적 보호막이 약화되는 상황에서 결국 피해는 고스란히 소비자들이 떠안게 될 것”이라고 우려를 표했다.