최은석 의원 “개인정보 보호 인증이 과징금 할인권인가”…ISMS-P 실효성 도마

국민의힘 최은석 의원(대구 동구·군위군갑)이 개인정보 보호 관리체계 인증인 ISMS-P를 보유한 기업과 기관에서 개인정보 유출 등으로 인한 처분이 반복되고 있다며 인증제도의 실효성과 과징금 감경체계를 재점검해야 한다고 촉구했다.

최 의원이 개인정보보호위원회에서 제출받은 자료를 분석한 결과, 2022년부터 2026년 6월까지 ISMS-P 인증을 보유한 상태에서 개인정보 유출 등으로 처분받은 기업·기관은 27곳, 처분 건수는 모두 37건으로 집계됐다. KT와 GS리테일, 쿠팡 등은 인증을 보유한 상태에서도 관련 처분을 반복해서 받은 것으로 나타났다.

ISMS-P는 기업과 기관이 정보보호와 개인정보 보호를 위한 관리체계를 적절하게 수립·운영하고 있는지 심사하는 인증제도다. 기업이 인증을 취득하는 데 드는 심사 비용은 약 1800만 원 수준으로 알려졌다.

최 의원이 문제 삼은 대목은 인증 보유 사실이 개인정보 보호법 위반에 따른 과징금 감경 사유로도 활용된다는 점이다. 현행 개인정보 보호법 위반 과징금 부과기준에 따르면 ISMS-P 인증을 받은 경우 1차 조정을 거친 과징금의 30% 이하를 감경할 수 있다. 최 의원은 실제 처분 사례 가운데 인증 등을 감경 사유로 적용해 과징금이 100억 원 넘게 줄어든 것으로 추정되는 사례도 있다고 밝혔다.

최 의원은 “기업이 비용을 들여 인증을 받았다면 그 인증이 실제 개인정보 유출 사고를 얼마나 막아내는지부터 따져봐야 한다”며 “인증은 유지되는데 사고와 처분이 반복된다면 국민이 그 인증을 어떻게 신뢰할 수 있겠느냐”고 말했다.

이어 “ISMS-P는 개인정보 유출을 막기 위한 보안 인증인가, 사고가 난 뒤 과징금을 깎아주는 감경 인증인가”라며 인증제도가 사고 예방이라는 본래 목적에 맞게 운영되는지 점검해야 한다고 주장했다.

정부가 ISMS-P 인증 의무화 대상을 확대하는 방안을 추진하는 데 대해서도 실효성 검증이 먼저라는 입장이다. 최 의원은 이동통신사업자와 본인확인기관, 일정 요건을 충족하는 대형 사업자 등으로 인증 의무화 범위를 넓히기에 앞서 실제 사고 예방 효과와 사후관리 체계를 확인해야 한다고 강조했다.

그는 “기업에는 추가적인 인증 비용을 부담시키면서 정작 개인정보 유출 사고를 예방하지 못한다면 제도 취지를 달성하기 어렵다”며 “제도의 효과를 검증한 뒤 의무화 대상을 확대하는 것이 순서”라고 말했다.

인증 심사 방식도 서류와 규정 중심에서 실제 보안 역량을 확인하는 방향으로 바꿔야 한다고 지적했다. 외부 해킹을 탐지할 수 있는지, 내부자의 개인정보 무단 반출을 차단할 수 있는지, 사고 발생 시 신속하게 대응할 수 있는지 등을 실질적으로 점검해야 한다는 것이다.

최 의원은 “서류상 관리체계를 갖췄다고 해서 실제 보안 역량까지 담보되는 것은 아니다”라며 “서류를 통과하는 인증이 아니라 사고를 막아내는 인증이 돼야 한다”고 밝혔다.

인증 취득 이후의 사후관리와 과징금 감경 기준도 개선 대상으로 꼽았다. 개인정보 유출 사고가 발생하면 사고 원인과 기존 인증심사 항목을 대조해 심사 과정에서 취약점을 놓쳤는지 확인하고, 동일하거나 유사한 사고가 반복되거나 중대한 관리 부실이 드러난 기업은 인증 유지의 적정성을 재검증해야 한다는 주장이다.

과징금 감경 여부와 감경 폭을 결정할 때도 인증 보유 여부만으로 판단하기보다 해당 보호체계가 실제 사고 예방과 피해 최소화에 얼마나 기여했는지를 평가해야 한다고 덧붙였다.

최 의원은 “사고가 반복돼도 인증은 유지되고 그 인증으로 과징금까지 감경받는다면 인증제도에 대한 국민의 신뢰가 흔들릴 수 있다”며 “인증을 몇 곳에 내줬는지가 아니라 인증을 통해 사고를 얼마나 예방했는지를 기준으로 제도를 평가해야 한다”고 말했다.

그러면서 개인정보보호위원회에 인증 의무화 대상 확대에 앞서 인증심사와 사후관리, 사고 대응 역량 검증, 과징금 감경체계 전반의 실효성을 재점검하고 구체적인 개선방안을 마련할 것을 촉구했다. 관련 제도개선 검토 결과를 국회 종합감사 전까지 의원실에 보고해 달라고도 요구했다.

"본지에 게재된 외부 기고 및 칼럼은 필자 개인의 견해로, 본지의 편집 방향과 다를 수 있습니다."
The views expressed in this column/contribution are the author's own and do not necessarily reflect the editorial stance of this publication.""

Fn투데이는 여러분의 후원금을 귀하게 쓰겠습니다.