[아침을 열며] 개인정보 유출 KT의 꼼수

장진영 변호사, 경실련 소비자정의센터 운영위원장

신용카드 3개 회사의 개인정보유출사고에 이어 KT의 개인정보유출사고가 또 터졌다. 이번에는 1,000만 명짜리 사고다. KT의 경우 2012년에도 870만 명의 개인정보유출사고를 터뜨린 전과가 있는데 불과 2년도 안되어 더 큰 사고를 냈다. 경찰의 발표에 따르면 해커 1명이 무려 1년간이나 KT홈페이지를 통해 개인정보를 유출시켰는데도 까맣게 모르고 있었다는 것이다. 경찰은 이례적으로 KT의 보안담당자를 형사입건했다.

KT의 보안사고는 다른 회사의 경우와 다르게 보아야 한다. KT는 국가 기간통신망을 관리하고 있는 회사다. KT망이 뚫리면 국가망이 뚫리는 것 아닌가. 이런 회사가 대형 사고를 2년 사이 두 차례나 당했다는 것은 국가안보차원의 문제로 보아야 한다. 이번에 유출된 정보도 이름 주민번호 전화번호는 물론 신용카드 16자리와 유효기간 전부 이메일 주소 유심카드 번호까지이니 몽땅 털린 것이다. 

믿고 맡긴 고객정보를 털린 KT고객들로서는 회사를 더 이상 믿고 거래하기 어려워졌거나 KT가 괘씸해서거나 계약을 해지하겠다고 할 만하다. 지난달 신용카드사 정보유출 때에도 115만 명이 넘는 고객들의 '카드런' 사태가 빚어졌었다.

그런데 고객들의 해지요청을 별말 없이 응해준 카드회사들과는 달리 KT가 계약해지를 요구하는 고객들에게 계약서의 의무약정조항을 들어 위약금을 내라고 엄포를 놓으며 계약해지를 방해하고 있다는 소식이 들린다. 개인정보유출과 위약금은 별개라는 논리를 펴고 있다고 한다. 우리나라 휴대전화 고객들이 대부분 의무사용약정을 하는 대신 보조금을 지급받는 방식을 택하고 있음을 감안하면 계약을 해지할 수 있는 이는 별로 없을 것이다.

예를 들어 보자. 내 집 청소를 2년간 청소전문회사에 의뢰하고 현관키와 비밀번호를 맡겼다고 하자. 그런데 그 회사가 집 열쇠를 아무데나 두고 잘 관리하지 않는 바람에 주소, 현관키, 비밀번호를 모두 유출하는 사고를 두 번이나 일으켜 집에 도둑이 들지도 모르는 위험을 발생시켰다고 하자. 청소회사가 청소에는 문제가 없으니 키를 유출시킨 것과 상관없이 계속 청소를 맡아서 하겠다고 주장하는 것이 과연 정당한가.

계약상으로 보더라도 KT의 휴대전화계약에 적용되는 약관은 KT의 귀책사유로 인해 계약을 해지하는 경우에는 위약금을 면제한다고 분명히 규정하고 있다. KT의 귀책사유가 없을까? 

KT는 고객이 맡긴 개인정보를 안전하게 관리해야 할 법률상, 계약상 의무를 지고 있다. 개인정보보호법이 개인정보관리자의 기술적 물리적 관리적 조치의무를 부과하고 있고, KT의 개인정보보호 방침에도 현재의 기술수준으로 충분한 보호조치를 한다고 규정되어 있다.

그런데 해커가 1년이라는 장기간에 걸친 해킹을 진행했는데도 경찰이 알려줄 때까지 KT는 아무것도 모르고 있었고, 이용자 인증방식도 세션방식이 아니라 쿠키방식을 사용하여 다른 업체보다 보호수준이 낮았다. 그래서 KT의 보안담당자가 형사입건까지 된 상황이다. 

이런 지경에 이르렀는데도 KT가 계약상 고객보호의무를 다했고 아무런 귀책사유가 없다고 할 수는 없다. 고객은 계약을 해지할 정당한 권리가 있는 것이다.

정부로부터 영업정지까지 당한 마당에 해지고객들이 몰리면 KT로서는 직격탄이 될 것이기 때문에 필사적으로 고객유출을 막아야 하는 입장을 모르는 바는 아니지만, 그렇다고 해서 거짓말로 해지를 방해하는 행위를 하는 것은 고객정보유출에 더하여 두 번 죄를 짓는 것이다.

카드3사 정보유출사고 직후 박근혜 대통령은 개인정보를 유출시킨 회사의 문을 닫게 할 수 있는 엄격한 제재방안을 만들라고 지시한 바 있다. 대통령의 지시가 허공을 맴돌지 않게 하기 위해서는 이번 사건을 일벌백계로 다스릴 필요가 있다. 이런 마당에 의무사용약정을 구실로 고객의 정당한 계약해지를 거부하는 것은 결코 용납되어서는 안 된다. 피해자인 고객들도 KT가 이런 꼼수를 부리지 못하도록 자신의 권리를 위해 목소리를 높여야 할 때이다.

<저작권자 ⓒ 한국일보> 이 칼럼은 2014년 3월 12일 한국일보에 게재되었음을 밝힙니다.