외주 업체를 통해 시스템을 운영하다 해킹 사고가 발생했을 때, 같은 피해를 보고도 기관마다 전혀 다른 제재 처분을 받는 일이 벌어졌어요. 최근 한 수탁업체의 저장장치 해킹으로 농촌진흥청 산하 기관 세 곳의 개인정보가 유출된 사건에서 개인정보보호위원회의 엇갈린 처분을 두고 법적 예측 가능성 논란이 일고 있는데요.
지난해 4월 SI 업체 미소테크의 네트워크 저장장치(NAS)가 해킹당하면서 시스템 운영을 위탁했던 농촌진흥청, 국립농업과학원, 국립축산과학원 세 기관의 정보가 함께 유출되었어요. 그런데 개인정보위는 농진청에는 과징금 1억 6,800만 원, 농과원에는 2,310만 원을 부과한 반면, 축산원에는 과징금 없이 시정명령만 내렸어요. 이러한 차이는 2023년 9월 시행된 개정 개인정보보호법상 '수탁자 관리·감독 소홀 시 위탁자 과징금 부과' 규정을 적용했는지 여부에서 갈렸어요.
세 기관 모두 사고 전 이미 위탁 계약이 종료되어 관리·감독 의무가 끝났으므로 개정 전 법률을 적용해야 한다고 주장했어요. 하지만 개인정보위는 농진청과 농과원의 경우 계약 종료 후에도 동일 업체와 다른 정보화 사업을 이어갔다는 점을 들어, 위법 상태가 이행 시점까지 지속된다는 법리(연속성 기준)로 개정법을 소급 적용해 과징금을 매겼어요. 반면 후속 계약이 없었던 축산원은 위탁 기간 중 현장 점검을 전혀 하지 않았음에도 계약 종료와 함께 의무가 소멸했다고 보아 과징금을 면제했어요.
결국 기존 규정에는 없던 '사업의 연속성'이라는 사안별 잣대가 적용되면서, 현장에서는 당국의 제재 기준을 사전에 예측하기 어렵다는 비판과 함께 보다 촘촘한 법 개정이 필요하다는 목소리가 나오고 있어요. 수탁사 관리가 기업 보안의 핵심 리스크로 떠오른 만큼, 위탁 계약 종료 후에도 관련 사업의 연속성 여부와 실질적인 점검 이력을 사전에 면밀히 검토하는 컴플라이언스 체계가 필요해 보여요.
