개인정보보호위, 외교부 '해킹 늑장신고' 조사 착수

국립외교원 해킹으로 외교관 등 1만명의 개인정보가 유출된 사건과 관련, 외교부가 늑장 신고한 경위에 대해 개인정보보호위원회(개보위)가 최근 조사에 착수한 것으로 확인됐다. 외교부는 국가 안보와 직결된 사안이어서 신고가 늦어졌다는 입장이지만 개인정보 보호법령은 천재지변 등 부득이한 사유로 신고가 늦어지더라도 그 사유가 해소된 후 즉시 신고하도록 규정하고 있다.

17일 [시대] 취재를 종합하면 개보위는 외교부가 국립외교원 해킹으로 개인정보가 유출된 사실을 지난 4월 확인하고도 7월에야 신고한 경위를 조사 중이다. 개보위 관계자는 "조사는 최근 시작됐다"며 "구체적인 시점은 공개할 수 없다"고 밝혔다. 외교부 관계자도 이날 [시대]와의 통화에서 "개보위와 경찰에서 조사 중인 사안인 것으로 안다"고 했다.

외교부는 지난 2월 국가정보원으로부터 국립외교원 해킹 사실을 통보받고 조사를 벌여 4월 개인정보 유출 사실을 확인했다. 조사 과정에서 6월을 전후해 해킹 통로가 된 보안 소프트웨어도 특정했다. 해당 보안 소프트웨어 업체는 6월 8일 취약점 패치를 완료한 뒤 이를 한국인터넷진흥원(KISA)에 공개했다. 외교부는 7월 19일 개인정보 유출 사실을 개보위에 신고했다. 이번 해킹으로 전·현직 외교관과 재외공관 주재관 등 최대 1만명의 이름·아이디·이메일·비밀번호가 유출된 것으로 외교부는 파악하고 있다.

이번 조사의 핵심은 외교부가 신고를 미룬 배경으로 내세운 국가 안보 사유가 신고 지연의 정당한 사유에 해당하는지 여부다. 개보위 관계자는 외교부가 신고를 늦춘 근거로 든 국가 안보 관련 사안도 함께 조사하고 있다고 밝혔다.

개인정보 보호법 시행령 제40조는 개인정보처리자가 1000명 이상의 개인정보가 유출되거나 외부의 불법적 접근으로 개인정보가 유출된 사실을 알게 되면 72시간 이내에 신고하도록 규정하고 있다. 천재지변이나 그 밖에 부득이한 사유로 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 즉시 신고할 수 있도록 예외를 뒀다. 개보위가 이번 사안을 예외로 인정하지 않으면 개인정보 보호법 제75조에 따라 3000만원 이하 과태료를 부과할 수 있다. 이와 별도로 개인정보 보호법에 따라 ▲과징금 부과 ▲수사기관 고발 ▲책임자 징계 권고 등의 조치도 가능하다.

황석진 동국대 국제정보보호대학원 교수는 "국가 안보 관련 해킹 사건이라고 해도 개인정보 유출 신고 의무가 유예되는 것은 아니다"라고 말했다. 이어 "개보위에 비공개로 신고하면 되는데 (미루는 것은) 적절하지 않은 것으로 보인다"며 "(신고했으면) 개보위가 합동 조사단을 꾸려 더 합리적이고 세부적으로 조사할 수 있었을 것"이라고 말했다.