최근 반복되는 개인정보 유출 사건은 더 이상 우발적인 사고로만 치부하기 어렵다. 대형 통신사와 전자상거래 기업, 금융사와 포털에 이르기까지 해킹과 정보 탈취가 이어지고 수천만 명의 주민등록번호·연락처 등 개인 신상 정보가 유출되는 일이 되풀이되고 있다. 정부는 이를 국가적 위기 수준으로 규정하며 SK텔레콤·KT·쿠팡 등 책임 당사자 기업들에 역대급 과징금과 제재를 예고하고 있다. 기업의 보안 투자 소홀과 관리 부실에 강력한 책임을 묻겠다는 메시지다.
그렇다면 과연 우리 정부는 개인정보 보호 문제에서 스스로에게도 동일한 기준을 적용하고 있는가. 정부는 민간 기업에 엄격한 보호 의무·관리 책임을 부과한다. 하지만 그 규제와 행정 기준이 민간 기관들로 하여금 과도한 개인정보 수집과 보관·유통을 강제하고 있는 것은 아닌지 돌아볼 필요가 있다.
이런 의문은 우리가 일상에서 마주하는 행정절차에서 비롯된다. 필자 역시 외부 활동으로 다른 대학·기관에서 소액의 사례비를 받을 때마다 비슷한 경험을 반복해왔다. 예컨대 논문 심사료 액수에 상관없이 기관은 예외 없이 주민등록번호와 자택 주소, 휴대폰 번호, e메일, 계좌번호, 개인정보 활용 동의서 제출을 요구한다. 정보의 범위는 과도하고, 절차는 번거롭고, 그때마다 개인정보 관리에 대한 불안감이 든다.
담당자에게 이유를 물으면 “정부 보고와 세무 시스템이 주민등록번호 중심이라 어쩔 수 없다”고만 답변한다. 그러나 세무 신고에 주민등록번호만으로도 충분한 상황에서 개인 주소와 연락처, 계좌번호까지 반복적으로 요구하는 관행은 과잉이다. 공공기관은 필요 이상의 개인정보를 축적하고 개인정보 유출 위험이 제도적으로 확대되는 것이다. 이처럼 개인정보를 정부·공공기관이 관행적으로 수집해가지만 공공부문의 보안 수준이 민간 기업보다 높다고 단정할 근거는 없다. 그럼에도 공공기관에서 개인정보가 유출될 경우 민간 기업만큼 무거운 책임이 지워지는 사례는 드물다.
정부의 개인정보 수집 관행은 기술적 한계 때문이라기보다 법·제도적 문제에 가깝다. 국세청은 이미 대부분의 소득과 계좌 정보를 파악할 수 있고 세무 신고 역시 최소한의 정보만으로 충분히 가능하다. 마이데이터 체계가 확산된 지금 개인이 기관마다 주민등록번호 전체를 반복 제출해야 할 이유는 설득력을 잃고 있다. 핀란드나 덴마크·에스토니아처럼 ‘한 번만 제출하면 되는 행정으로 전환할 경우 개인정보 제출은 크게 줄어들 수 있다. 그럼에도 한국에서는 행정절차 개편이 여전히 불편한 일로 여겨지며 변화의 동력이 만들어지지 않는다.
이 문제는 단순한 행정 비효율로만 치부하기 어렵다. 개인정보 보호는 기술이나 보안의 문제가 아니라 권력과 행정 방식의 문제이기 때문이다. 시민은 각종 행정 서비스를 이용하기 위해 광범위한 개인정보를 제출해야 하고, 국가는 이를 당연한 절차로 받아들인다. 이는 국가가 데이터를 관리·통제하는 주체로 남고 시민은 이를 제공하는 대상으로 위치 지어지는 오래된 관계가 디지털 시대에도 그대로 유지되고 있음을 보여준다. 개인정보가 개인의 정체성과 삶의 궤적을 구성하는 핵심 자원이 된 오늘날 데이터가 어떻게 수집·관리되는지는 행정의 효율성을 넘어 민주적 신뢰의 문제와 직결된다.
결국 한국의 개인정보 보호 수준을 높이기 위해서는 기업 제재만으로는 충분하지 않다. 정부 행정부터 정보 최소화 원칙을 철저히 적용하고 주민등록번호 중심의 낡은 구조를 단계적으로 해체하며 공공기관이 개인정보를 보관하지 않는 지급·정산 방식으로 전환해야 한다. 공공부문에서의 개인정보 유출에 대해서도 지금보다 훨씬 엄격한 책임을 묻는 제도적 장치도 보강해야 한다.
개인이 2만 원의 기타소득을 받기 위해 주민등록번호 전체를 제출해야 하는 나라에서 개인정보 보호는 아직 출발선에 서지 못했다. 디지털 시대의 행정은 시민에게 정보를 요구하기보다 정보를 보호할 책임을 먼저 지는 데서 출발해야 한다. 이를 위해 정부는 개인정보 관련 행정 전반을 ‘최소 정보 수집’ 원칙에서 전면 재점검하고 그 기준을 민간에도 적용할 수 있도록 할 필요가 있다.
< 저작권자 ⓒ 서울경제, 무단 전재 및 재배포 금지 >
