개인정보 유출 사고가 발생하면 기업은 원칙적으로 정보주체에게 통지해야 하고, 법령에서 정한 요건에 해당하면 개인정보보호위원회 등에 신고해야 한다. 그러나 안전하게 암호화된 정보의 암호문만 외부로 반출되고 복호를 위한 암호키는 철저히 보호된 경우까지 평문 개인정보의 유출과 동일하게 취급해야 하는지는 검토가 필요하다.
우리나라 개인정보보호법은 살아 있는 개인에 관한 정보로서, 해당 정보만으로 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 특정 개인을 알아볼 수 있는 정보를 개인정보로 정의한다. 이때 쉽게 결합할 수 있는지는 다른 정보의 입수 가능성과 개인을 식별하는 데 필요한 시간·비용·기술 등을 합리적으로 고려해 판단한다. 개인정보처리자는 암호문과 암호키를 보유하거나 이용할 수 있으므로 암호화된 정보도 원칙적으로 개인정보로 관리해야 한다.
우리나라를 비롯해 유럽연합(EU)과 미국 등 주요 국가·지역은 일정한 요건에 해당하는 개인정보 유출사고에 대해 규제기관 신고와 정보주체 통지 의무를 부과한다. 따라서 개인정보처리자는 정보 유출사고가 발생하면 먼저 유출된 정보가 법률상 보호 대상 개인정보인지, 해당 사고가 신고·통지 대상인지를 판단해야 한다.
암호화된 정보가 개인정보에 해당하는지와 그 암호문이 외부로 반출된 것을 법률상 개인정보 유출로 볼 것인지는 구분할 필요가 있다. 개인정보위는 일반적으로 개인정보가 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이른 것을 유출로 설명하고 있으며 이는 개인정보 유출 관련 법원 판례에서도 판시된 바 있다. 따라서 안전하게 암호화된 정보의 암호문만 외부로 반출되고 복호화에 필요한 암호키는 유출되지 않은 경우에는 제3자가 그 내용을 현실적으로 알아볼 수 있는지까지 고려해야 한다.
현행 개인정보 보호법 시행령은 개인정보 유출 경로가 확인되고, 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 개인정보위 등에 신고하지 않을 수 있도록 하고 있다. 그러나 안전한 암호화와 암호키 관리를 기준으로 통지·신고 의무를 명시적으로 면제하거나 간소화하는 규정은 마련되어 있지 않다. 따라서 기업이 암호화만을 이유로 통지·신고 의무가 없다고 단정하기는 어렵다.
유출에 따른 위험은 공격자의 현실적인 복호화 가능성을 고려해야 한다. 개인정보의 암호문과 키가 함께 유출되었거나 암호가 취약하다면 당연히 개인정보 유출로 보아야 한다. 반면 안전한 알고리즘을 적용하고 키를 암호문과 완전히 분리해 관리함으로써 공격자가 현실적으로 개인정보의 암호문을 복호화할 수 없다면 정보주체를 식별할 가능성은 매우 낮다.
EU GDPR은 개인정보 침해가 개인의 권리와 자유에 위험을 초래할 가능성이 낮으면 감독기관 신고의 예외를 인정한다. 정보주체에 대한 통지는 침해가 개인의 권리와 자유에 높은 위험을 초래할 가능성이 있을 때 요구되지만, 암호화 등 적절한 보호조치로 권한 없는 자가 해당 정보를 알아볼 수 없는 경우에는 통지하지 않을 수 있다. 미국 HIPAA는 보건복지부 (HHS)가 정한 기준에 따라 보호되는 의료정보가 암호화되고 복호화 키의 기밀성이 유지되어 권한 없는 자가 해당 정보를 이용·판독·복호할 수 없는 경우, 이를 '보호되지 않은 의료정보'로 보지 않아 침해통지 의무의 적용에서 제외하고 있다.
우리나라도 이러한 위험 기반 접근을 더욱 명확히 도입할 필요가 있다. 암호화된 정보는 계속 개인정보로 보호하되, 안전한 암호화와 철저한 암호키 관리로 권한 없는 자의 복호화 가능성이 현저히 낮다는 사실을 기업이 객관적으로 입증하면 통지·신고 의무를 면제하거나 간소화할 수 있는 기준을 법령이나 고시로 마련할 필요가 있다.
물론 암호화했다는 주장만으로 면제를 인정해서는 안 된다. 알고리즘과 키 길이의 안전성, 키의 분리 보관, 접근권한 통제, 키 유출 여부, 암호 구간의 적정성과 포렌식 조사 결과 등을 엄격하게 검증해야 한다. 기업은 사고 내용과 위험평가 결과, 면제 판단의 근거도 기록·보존해야 한다.
이는 기업에 대한 특혜가 아니다. 개인정보를 제대로 암호화하고 암호키를 안전하게 관리한 기업에 합리적인 규제 인센티브를 제공함으로써 실질적인 보안 투자를 촉진하는 정책이다. 개인정보 유출 규제도 이제 단순히 정보가 외부로 나갔는지를 넘어, 권한 없는 자가 그 내용을 알아볼 수 있는지와 정보주체에게 실질적인 피해가 발생할 가능성이 있는지를 함께 고려하는 방향으로 발전해야 한다.
염흥열 순천향대 명예교수 hyyoum@sch.ac.kr
