대통령 부부의 여권번호가 5개월 동안 인터넷에 떠돌았다. 경호원과 출입기자의 신상도 함께였다. 지난 6월 한 보안 관련 유료 사이트에 공군 1호기 탑승자 명단이 올라왔고, 노출된 인원은 168명에 이른다. 신원을 감추는 경호관은 물론 대통령 주치의와 의무실장, 대통령 내외의 의상과 화장을 맡는 수행원의 정보까지 들어 있었다고 한다. 개인정보 유출 사고가 하도 잦아 무뎌진 감각으로도 이건 차원이 다르다. 국가원수의 동선과 경호 체계가 통째로 드러난 사건이다.
더 눈에 띄는 건 정부의 태도다. 청와대는 파일이 외교부 서식으로 보인다며 경찰에 수사를 의뢰했다. 외교부도 확인 즉시 관계기관에 수사와 조사를 요청했다고 했다. 책임의 주체라기보다 범죄 피해자의 얼굴이다. 그런데 외교부 스스로 해킹보다는 유출로 본다고 밝혔다. 누가 담을 넘은 게 아니라 안에서 문을 열어둔 것일 수 있다는 얘기다. 그렇다면 '피해자'라는 자리는 더 어색해진다.
이 장면이 낯설지 않은 건 쿠팡 때문이다. 쿠팡은 전직 직원이 3300만 명의 정보에 접근했지만 실제 저장한 건 3000개 계정 수준이고 이마저 삭제됐다고 주장했다. 쿠팡 역시 내부자 범행의 피해자라고 항변한 셈이다. 정부는 단호했다. 배경훈 부총리는 3000건이 정말 지워졌는지, 어디에 저장했는지가 핵심이라며 클라우드에 올렸다 지웠다면 추적조차 어렵다고 반박했다. 개인정보위는 안전조치 의무 위반으로 약 3755만 명이 유출됐다고 보고 과징금을 부과했다. 총액 6246억8100만원, 역대 최대였다. 외부 유통이 입증되지 않아도 '가능성을 배제할 수 없다'면 관리자가 책임진다는 원칙이었다.
이 원칙을 청와대에 대 보자. 쿠팡은 유통 정황이 확인되지 않았다. 청와대발 명단은 누구나 내려받을 수 있는 상태로 다섯 달을 버텼다. 다른 곳으로 퍼졌을 가능성은 비교할 수 없이 높다. 장동혁 국민의힘 대표가 이 대통령이 쿠팡 사태 때 했다는 "회사가 망한다는 생각이 들도록 해야 한다"는 말을 꺼내 들며 "청와대가 망할 차례인가"라고 되물은 것도 정치 공세로만 치부하기 어려운 이유다.
그렇다면 개보위는 청와대에 얼마를 물려야 하나. 답은 이미 법에 있고, 그래서 허탈하다. 공공기관도 2023년부터 과징금 대상이 됐지만 매출이 없으면 정액 과징금이 적용되고 상한은 20억원이다. 중대·반복 사고에 한해 올해 9월부터 50억원까지 올렸다는 게 개보위 설명이다. 최대치를 때려도 쿠팡의 100분의 1에 못 미친다. 현실은 그보다 훨씬 가볍다. 개보위 출범 후 2024년 5월까지 공공기관 평균 과징금은 2342만원으로 민간기업의 1.3% 수준이었다.
여기서 질문은 두 갈래로 갈린다. 하나는 기업을 향한다. 외부 해킹이든 내부자 소행이든 정보를 빼앗긴 기업도 피해자다. 정부가 스스로 '우리도 피해자'라고 말할 수 있다면, 그동안 같은 처지의 기업에 '가능성'만으로 천문학적 제재를 가한 것이 과연 온당했는지 돌아봐야 한다. 다른 하나는 기준 자체를 향한다. 대통령 경호 정보의 가치는 매출과 아무 상관이 없다. 매출이 크면 수천억, 매출이 없으면 수천만원이라는 계산법으로는 국가안보급 유출을 제대로 값 매길 수 없다. 처벌 수위를 매출이 아닌 정보의 민감도와 피해 규모로 정해야 한다는 주장이 힘을 얻을 수밖에 없다.
이 대통령은 앞서 공공과 민간, 국내외 기업을 가리지 않고 개인정보 책임을 강화하라고 주문했다. 그 말이 진심이라면 첫 적용 대상은 청와대와 외교부여야 한다. 금전 제재가 공공기관에 맞지 않는다면 다른 방식으로 책임을 보여야 한다. 누가 어떤 경로로 명단을 외부에 올렸는지, 왜 다섯 달 동안 아무도 몰랐는지, 책임자는 어떻게 처분되는지, 순방 보안 체계는 무엇을 어떻게 바꾸는지 상세히 공개하는 것이다.
기업에는 가능성만으로 철퇴를 내리고 정부는 피해자로 물러선다면, 그건 규제가 아니라 권력이다. 개인정보 보호의 원칙은 누가 유출했느냐에 따라 달라져서는 안 된다.
