[화담일보] 개인정보를 새 시스템으로 옮겼다는 사실만으로 이관 업무가 끝났다고 볼 수 있는가. 옛 서버에 정보가 남아 있고 외부 접근도 가능하다면, 업무의 목적은 달성했어도 보호 책임은 끝나지 않았다. 개인정보보호위원회가 2026년 11월 12일 발표한 삼양그룹 소속 4개사 제재는 이 차이를 드러낸다. 이번 사안에서 기업이 답해야 할 질문은 새 시스템이 정상 작동했느냐에 그치지 않는다. 이전 시스템에 남은 정보를 누가 확인하고, 어떤 근거로 보관하며, 언제 접근을 막거나 파기하도록 했느냐가 핵심이다.
개인정보위는 11월 11일 전체회의에서 삼양홀딩스·삼양사·삼양패키징·삼양데이타시스템의 개인정보 보호 법규 위반에 대해 총 5억 5,200만원의 과징금과 1,620만원의 과태료 부과 등을 의결했다. 사고는 2022년 7월 발생했다. 개인정보위 조사에 따르면 삼양홀딩스·삼양사·삼양패키징 등 삼양3사의 임직원·주주·관계자 등 총 14만 9,767명의 개인정보가 포함된 파일 약 85만개, 1.3TB가 유출됐다. 주민등록번호가 포함된 인원은 8만 2,750명이었다.
조사에서 특히 주목할 대목은 데이터 이관을 위해 설치했던 내부 파일서버의 처리다. 수탁사인 삼양데이타시스템은 이관이 끝난 뒤에도 사고 당시까지 해당 서버를 외부망과 통신할 수 있는 상태로 두었다. 개인정보위는 이 때문에 개인정보가 단기간에 외부 클라우드로 유출될 수 있었다고 설명했다. 이관에 쓰인 설비가 본래 역할을 마친 뒤에도 정보와 연결을 함께 유지한 것이다. 업무가 끝났다는 운영상의 판단과 위험이 제거됐다는 보안상의 판단을 별도로 확인해야 하는 이유가 여기에 있다.
이 사건을 외부 침입에 대한 방어 문제로만 좁히면 기업 내부의 관리 책임을 놓치게 된다. 개인정보위는 삼양3사가 주민등록번호 암호화 등 필요한 안전조치를 하지 않았다고 밝혔다. 삼양홀딩스와 삼양패키징은 법령상 보존기간이 지난 일용직 근로자 급여정보도 파기하지 않았다. 삼양홀딩스의 채용 과정에서는 법령 근거 없는 주민등록번호 수집이 확인됐다. 수집 단계의 적법성, 보관 단계의 보호, 보유 필요성이 끝난 정보의 파기가 서로 다른 지점에서 어긋났다. 서버 하나를 정리하는 조치만으로 이 문제 전체를 해결했다고 할 수 없는 까닭이다.
기업의 점검은 따라서 정보의 흐름을 따라가야 한다. 어떤 업무 때문에 수집했는지, 어느 시스템으로 옮겼는지, 원래 저장 위치에는 무엇이 남았는지, 남겨야 한다면 그 이유와 종료 시점은 무엇인지 연결해서 살펴야 한다. 새 저장소에서 자료가 열리는지만 확인하는 검수로는 이전 저장소의 위험을 판단할 수 없다. 이관 완료를 승인하는 절차에 잔존 정보와 서버의 처리 결과를 함께 올리도록 해야 한다.
위탁관계의 시간표도 가볍게 볼 수 없다. 삼양3사는 2022년 7월 사고 당시 삼양데이타시스템에 개인정보 처리 업무를 위탁하고 있었지만, 위탁에 관한 계약서는 2024년 12월에야 마련한 것으로 조사됐다. 개인정보위는 삼양3사의 업무위탁 문서화 위반을 처분에 포함했다. 실제 개인정보 처리를 맡기고도 그 위탁관계를 문서화하는 일이 뒤늦게 이뤄진 것이다. 나중에 계약서를 마련하는 것으로 이전의 문서화 의무 위반까지 해소할 수는 없다.
다만 계약서가 존재하는지만 확인하는 방식도 충분하지 않다. 이번 사건의 교훈을 문서 보완에 한정하면 서버의 실제 상태는 다시 점검 밖에 남을 수 있다. 위탁사는 이관 이후 무엇을 확인받을지 정하고, 수탁사는 서버의 연결 상태와 잔존 자료의 처리 결과를 설명할 수 있어야 한다. 폐기 또는 접근 차단을 실행할 담당자와 그 결과를 승인할 담당자를 정하는 것도 필요하다. 문서에 적은 책임이 실제 조치로 이어졌는지 확인하는 절차까지 갖춰야 한다.
처분 대상과 사유를 구별하는 일도 중요하다. 개인정보위는 주민등록번호 암호화 관련 위반에 대해 삼양3사에 각각 과징금 1억 8,400만원을, 업무위탁 문서화 위반에 대해 각각 과태료 180만원을 부과했다. 개인정보 파기 규정을 위반한 삼양홀딩스와 삼양패키징에는 각각 과태료 360만원이, 법령 근거 없이 주민등록번호를 수집한 삼양홀딩스에는 과태료 360만원이 추가됐다. 삼양데이타시스템에는 안전조치 의무 위반에 따른 시정명령 등이 의결됐다. 네 회사가 똑같은 행위를 했거나 같은 처분을 받았다는 식으로 책임을 뭉뚱그려서는 안 된다. 동시에 위반 유형이 나뉜다는 이유로 이관과 보관을 아우르는 공동의 관리 과제가 사라지는 것도 아니다.
오래된 자료를 모두 즉시 지우자는 결론 역시 신중해야 한다. 보존할 법적 의무가 있는 정보와 처리 목적이 끝나 더 이상 필요하지 않은 정보는 구분해야 하며, 업무상 보존 필요성을 주장한다면 그 적법한 근거를 검토해야 한다. 개인정보위도 사용이 중단된 서버를 폐기하거나 외부 접근을 차단하고, 불필요한 개인정보를 적시에 파기하라고 강조했다. 혹시 쓸지 모른다는 막연한 이유가 보존 근거를 대신해서는 안 되고, 보존 의무가 있다는 설명도 모든 자료를 같은 방식으로 남겨두는 명분이 돼서는 안 된다.
이관 직후에는 자료의 누락이나 오류를 확인하기 위해 일정한 점검 과정이 필요하다는 반론도 가능하다. 그러나 검증을 위해 잠시 유지하는 것과 종료 조건 없이 남겨두는 것은 구별해야 한다. 검증 목적의 보존을 검토한다면 보존 근거와 함께 대상과 기간, 접근 가능한 사람, 종료 후 조치를 정하는 방향이 타당하다. 운영의 편의와 보안 사이에 조정이 필요하다는 사실은 관리 책임을 없애지 않는다. 오히려 예외를 허용하는 동안 누가 상태를 확인할지를 더 분명히 해야 한다는 근거가 된다.
같은 날 발표된 알뜰폰 8개 사업자 조사 결과는 이러한 문제를 다른 업무 과정에서도 살펴볼 근거를 제공한다. 개인정보위는 보유기간이 지난 개인정보의 미파기, 암호화 등 안전조치 미흡, 수탁자 관리·감독 소홀 등을 확인하고 총 6,090만원의 과징금과 1억 1,040만원의 과태료 부과 등을 의결했다. 이 조사를 삼양그룹 사건과 동일한 유출사고로 취급할 수는 없다. 다만 정보를 수집한 뒤 보관하고 위탁하며 정리하는 과정이 보호 책임의 핵심이라는 공통된 논점은 읽을 수 있다.
알뜰폰 조사에서는 개통이 완료되지 않은 신청서의 보관기간이 사업자별로 최소 5일에서 최대 1년까지 달랐다는 점도 확인됐다. 개인정보위는 필요 최소한으로 보관기간을 정하는 내부 기준을 마련하도록 했다. 이 차이만으로 특정 기간이 모든 사업자에게 정답이라고 단정할 수는 없다. 중요한 것은 업무가 성사되지 않았거나 목적이 끝났을 때에도 정보가 남는 이유를 설명할 수 있어야 한다는 점이다. 성공적으로 완료된 업무뿐 아니라 취소·불가·보류된 업무까지 관리의 종료 기준을 가져야 한다.
여기서 기록의 역할을 구분할 필요가 있다. 개인정보 자체를 오래 보유하는 것과 접근권한 변경이나 처리 결과를 확인할 기록을 관리하는 것은 같은 일이 아니다. 알뜰폰 조사에서는 일부 사업자의 접근권한 관리 기록과 접속기록 보관 소홀도 확인됐다. 불필요한 개인정보는 줄이면서, 누가 접근할 수 있었고 어떤 관리 조치를 했는지는 확인할 수 있도록 해야 한다. 모든 기록을 없애거나 모든 정보를 남겨두는 양극단으로는 개인정보 보호와 책임 확인을 함께 달성하기 어렵다.
기업은 이러한 요구가 현장의 업무 부담으로만 쌓이지 않도록 절차를 설계해야 한다. 이관을 맡은 실무자가 서버의 폐기 여부까지 결정할 권한이 없다면 승인 책임자를 정하고, 여러 회사의 정보가 섞여 있다면 각 회사가 보존 필요성을 판단하도록 해야 한다. 어느 단계에서 누구의 판단이 필요한지를 명확히 해야 담당자가 필요한 조치를 실행할 수 있고, 경영진도 완료 보고의 의미를 제대로 판단할 수 있다.
후속 조치에 대한 평가 역시 확인 가능한 변화에 맞춰야 한다. 이번 의결만으로 해당 서버의 폐기나 접근 차단, 개인정보 파기, 위탁관리 개선이 모두 끝났다고 볼 수는 없다. 기업은 시정 결과를 설명할 때 조치 대상과 완료 범위를 구분하고, 감독기관은 의결한 시정조치가 실제로 이행되는지 확인해야 한다. 이 과정에서 개인정보나 보안상 민감한 설정을 노출할 필요는 없다. 무엇을 고쳤고 어떤 조치가 남았는지를 분명히 설명하는 것이 책임 있는 대응이다.
개인정보 이관의 완료 기준에는 새 시스템으로 옮긴 결과뿐 아니라 이전 서버에 남은 정보의 처리 근거, 접근 차단이나 폐기의 실행, 위탁 당사자의 확인까지 포함돼야 한다. 기업이 이번 제재를 실제 개선으로 연결하려면 이 기준을 업무 종료 절차에 반영해야 한다. 정보가 옮겨졌다는 보고와 남겨진 정보가 안전하게 처리됐다는 확인이 함께 있어야 이관 업무를 마쳤다고 할 수 있다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}