정보보호 공시기업 가입률 37.6%
의무가입 대상기업 갈수록 늘지만
인지도 부족…모수 파악조차 안돼
의무가입 대상기업 갈수록 늘지만
인지도 부족…모수 파악조차 안돼
최근 이동통신사와 온라인 쇼핑몰 등에서 개인정보 유출 사고가 이어지고 있다. 그러나 이용자 보호 장치 중 하나인 사이버보험 가입률은 여전히 저조한 것으로 드러났다.
최근 과학기술정보통신부가 정보보호 공시 이행 기업 627개사를 분석한 결과, 정보보호 또는 개인정보보호 보험에 가입한 비율은 37.6%에 불과한 것으로 조사됐다. 의무화된 개인정보 손해배상책임보험의 경우 기업들이 보험 가입에 갈음해 준비금 적립을 선호하는 경향이 있다는 점을 감안해도 낮은 수치다.
◇앱·웹서비스 기업 대부분 보험·공제 들어야=2016년 시행된 정보보호 공시는 기업의 정보보호 투자·인력·활동 등의 정보를 공개하는 제도다. 정보보호산업법 개정에 따라 지난해부턴 ISP(기간통신사업자)·CSP(클라우드서비스제공사)·IDC(집적통신시설)·상급종합병원에 해당하는 사업자, CISO(최고정보보호책임자) 의무 지정·신고 상장법인 중 매출 3000억원 이상 기업, 정보통신서비스 일평균 이용자가 100만명 이상인 곳 등이 의무공시 대상이다. 포털·쇼핑몰·인터넷방송·인터넷뱅킹 등 정보통신망을 통해 정보를 제공하거나 이를 매개하는 사업자들은 자율공시 대상이다.
현행 개인정보보호법(제39조의9)에 따라 전년도 총 매출 5000만원 이상, 저장·관리하는 개인정보가 직전 3개월(10~12월)간 일평균 1000명 이상(DB 기준)인 정보통신서비스 제공자 등은 개인정보 유출로 인한 손해배상 책임 이행을 위해 보험이나 공제 가입, 준비금 적립 등의 조치를 해야 한다. 이를 지키지 않을 경우 동법 시행령에선 1회 위반 시 400만원, 2회 위반 시 800만원, 3회 이상 위반 시 1600만원의 과태료를 내야 한다.
'개인정보 손해배상책임 보장제도'는 이용자의 피해 구제와 기업의 손해배상 부담 완화를 위해 2019년 6월 시행됐다. 개인정보보호위원회 출범과 함께 관련 법이 정보통신망법에서 개인정보보호법으로, 업무도 방송통신위원회에서 개인정보위로 이관됐다. 법 시행 3년이 지났지만 아직 기업들의 제도에 대한 인지도와 가입유인 부족, 과잉규제 논란 등으로 보험 가입이 저조한 실정이다.
◇대상 기업 모수 파악조차 안돼=정보보호업계와 손해보험업계에 따르면 의무 가입 대상에 해당하는 곳이 얼마나 되는지 모수 파악이 여전히 안 되고 있다. 국내에서 1년 이상 앱·웹 서비스를 운영한 기업 대부분이 가입 대상인데, 실제 시행 단계의 고려가 부족해 발목 잡힌 모양새다. 사업자의 개인정보 저장·관리 건수와 보험 관련 정보는 기업 내부정보에 해당하므로 파악이 쉽지 않은 측면도 있다. 반대로 중소기업이나 소상공인들은 개인정보를 얼마나 보유하고 있는지 파악하기조차 어려워하는 실정이다.
이 제도에선 보험·공제 가입뿐 아니라 동일한 보장 금액의 준비금을 적립하는 방안을 대신 취할 수 있게 했다. 이를 택하는 기업은 임의적립금(자본계정)으로 적립하고 주주총회 결의를 통해 개인정보보호법 제39조의9 의무이행을 위한 것임을 명시해야 한다. 과기정통부의 이번 조사에서 의무공시기업(35.4%)의 가입률이 자율공시기업(58.1%)보다 낮게 나타난 점은 비교적 규모가 큰 기업들이 준비금 적립을 선호한 것으로 풀이된다.
하지만 준비금 적립도 불명확한 점이 있다.
일정 규모 이상 기업은 정기 사업보고서 등을 통해 사내 유보금에서 준비금을 확인할 수 있다. 문제는 공시 의무가 없는 기업이다. 별도 계좌 등에 준비금을 둬야 하지만 현재로선 그 이행 여부를 확인·조치할 방법이 마땅치 않다.
◇개보법 2차 개정 시 대상 기업 더 늘어나=현재 국회 계류된 개인정보보호법 2차 개정안이 통과되면 의무 가입 대상이 기존 정보통신서비스제공자에서 '개인정보처리자'로 더 확대될 예정이라 혼선이 이어질 전망이다.
개인정보위 관계자는 "현재로선 옥상옥 규제가 되지 않도록, 보험 가입 여부를 파악하고 처벌하는 것을 전제로 하는 게 아니라 제도를 안내하고 가입을 유도하는 계도에 중점을 두고 있다"면서 "앞으로 2차 개정안이 통과되면 이에 맞춰 시행령을 수정하는 과정에서 기준을 합리화하는 방안을 모색할 것"이라고 말했다.
그나마 의무화된 개인정보보호 손해배상책임보험 외에 개인정보와 관련 없는 해킹 등에 대한 사이버보험은 더욱 활성화가 더딘 상태다. 과거 해당 업무를 방통위가 맡을 때는 과기정통부가 이 분야까지 광범위하게 총괄했지만, 개인정보위 출범 이후로는 어느 한 곳도 챙기지 않고 있다. 개인정보위는 개인정보보호 손해배상책임 보장제도만 담당한다는 입장이다.
손보업계 한 관계자는 "개인정보보호 손해배상책임보험은 여전히 모수 파악이 안 되다 보니 보험사들도 안내에 어려움이 있다"면서 "그외 사이버보험은 해외에선 시장이 커지는 추세였으나 지난해 사이버사고가 빈발하면서 재보험 시장이 경직됐고, 활성화가 더뎠던 국내 시장은 그대로 정체된 모습이다. 국내의 경우 5~6개사가 관련 상품을 제공하지만 주로 그룹 계열사 대상으로 보이며, 전체 가입률은 1% 수준으로 추정된다"고 밝혔다.
팽동현기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
