4장. 왜 이런 일이 반복되는가 — 개인정보 유출의 구조
1. 유출은 대부분 내 잘못이 아닙니다
개인정보 유출은 대부분 내가 가입한 서비스가 해킹을 당하거나, 보유기간이 지난 데이터를 파기하지 않고 방치했다가 사고가 나는 경우에 발생합니다. 내가 아무리 조심해도 내가 가입한 서비스가 관리를 소홀히 하면 내 정보가 유출될 수 있습니다.
실제로 최근 발생한 국내 주요 개인정보 유출 사고들을 보면 보안 패치를 적용하지 않은 시스템, 보유기간이 지난 데이터를 파기하지 않고 방치한 경우, 암호화 조치 미비 등이 반복적으로 원인으로 지목됩니다.
2. 유출된 정보는 2차 피해로 이어집니다
불법 유통되는 계정정보는 명의도용이나 보이스피싱 등 각종 범죄에 악용돼 2차 피해로 이어지는 경우가 많습니다. 유출된 계정 정보로 금융 서비스에 무단 로그인을 시도하거나, 내 이름과 연락처를 이용해 대출 사기나 스미싱에 활용하는 경우가 대표적입니다. 유출 사실을 빨리 확인하고 대처할수록 2차 피해를 막을 수 있습니다.
3. 기업의 책임 — 데이터는 제때 파기되어야 합니다
개인이 서비스에서 탈퇴하거나 보유기간이 지난 데이터는 기업이 즉시 파기해야 합니다. 그러나 파기하지 않고 방치된 데이터가 해킹 사고 시 함께 유출되는 사례가 반복되고 있습니다. 개인정보 보호법 제21조는 보유기간이 경과하거나 처리 목적이 달성된 개인정보를 지체 없이 복원이 불가능한 방법으로 파기하도록 규정합니다. 저장매체에 남아 있는 데이터까지 완전히 파기하지 않으면 언제든 유출 위험에 노출됩니다.
