개인정보 처리 맡겨도 책임 못 피한다…위탁기업 관리·감독 의무는?

광고

개인정보 처리 수탁업체에서 사이버 침해가 잇따르면서 위탁기업의 책임에도 관심이 쏠린다. 개인정보보호위원회는 수탁업체가 안전조치 의무를 다했는지, 위탁기업이 관리·감독 의무를 지켰는지 모두 살필 예정이다.

3일 한겨레 취재를 종합하면, 개인정보위는 개인정보 처리 수탁업체 더존비즈온과 아마데우스 등에서 발생한 침해사고와 관련한 신고를 접수하고 조사를 진행 중이다. 기업의 회계·인사정보 관리 소프트웨어 등을 공급하는 더존비즈온은 지난달 18일과 23일 자사 개발·백업 서버 침해에 따른 개인정보 유출 가능성을 각각 공지했다. 회사는 개발 서버 침해로 자사 회계프로그램 이용 일부 고객사의 개인정보 유출 가능성을 언급했는데, 이 프로그램을 이용하는 기업만 11만 곳이 넘는다. 더존비즈온 백업서버를 이용한 더본코리아·창비·영서의료재단 등도 유출 가능성을 각기 추가로 알린 상태다. 이보다 앞서 대한항공과 아시아나항공은 지난달 20일 예약·발권 시스템 운영을 맡긴 글로벌 항공 정보기술(IT) 업체 아마데우스로부터 개인정보 유출 정황을 통보받고 개인정보위에 신고한 상태다.

수탁업체 과실로 사고가 발생해도 위탁기업에는 여전히 개인정보처리자로서의 책임이 남는다. 개인정보보호법상 위탁기업은 위탁업무와 수탁업체를 공개하고, 수탁업체를 교육하며 개인정보 처리 현황을 점검하는 등 관리·감독 의무를 진다. 이를 소홀히 할 경우 위탁업체도 과징금 등 제재를 받을 수 있다. 실제 개인정보위는 지난 5월 농촌진흥청 등의 정보시스템 관리를 맡은 미소테크에서 해킹으로 개인정보가 유출된 사건과 관련해, 농촌진흥청이 관리·감독 의무를 소홀히 했다고 보고 1억6800만원의 과징금을 부과했다. 수탁업체 미소테크에 부과한 과징금 8250만원보다 큰 금액이다.

광고

위탁기업은 또 손해배상 책임에서도 자유롭지 않다. 개인정보보호법은 수탁자가 위탁 업무 관련 개인정보를 처리하다가 법을 위반해 손해가 발생한 경우 배상 책임을 판단할 때, 수탁자를 위탁자의 소속 직원으로 본다고 명시한다. 외부 업체에서 발생한 사고라는 이유만으로 업무를 맡긴 기업이 배상 책임에서 벗어나는 게 아니라는 뜻이다.

수탁업체 역시 개인정보를 안전하게 관리할 직접적인 의무를 진다. 접근권한 관리와 접근통제, 암호화 등 안전성 확보 조처를 해야 하고, 개인정보 파기와 유출 통지·신고 의무도 가진다. 개인정보위 관계자는 “(각기 사건에서) 위탁업체와 수탁업체가 책무를 다했는지 확인할 예정”이라고 했다. 과학기술정보통신부는 더존비즈온 사건을 중대한 침해라 보고 지난달 25일 민관합동조사단을 꾸려 조사를 진행 중이다.