내 정보는 소중해요, GDPR!

2017년 3월 '여기어때' 해킹 사건부터 12월 '자유투어' 해킹 사건까지 여러 개인정보 탈취 사건들이 있었는데요.

해킹을 당해서 341만 건의 개인정보를 탈취당한 '여기어때'는 과징금으로 3억 원을, 과태료로 2500만 원의 행정처분을 받았는데요. 개인정보 유출'만'으로 생각해도 약한 처벌이라 생각되는데요. 2차 피해까지 고려를 해본다면 매우 약한 처벌이 아닐 수 없죠?

 

이는 보안 사고가 발생하더라도 기업에 부과되는 과징금, 과태료가 다른 것들에 비해 높지 않아, 기업들을 보안 투자를 다른 투자 대상들에 비해 뒤로 미루게 되고, 당연하게 개인 정보에 대한 관리도 소홀해 지는 것입니다.

 

이런 태도는 곧 변화될 것이라 예상되는 바인데요. 이는 EU에서 개인정보 규제인 GDPR을 시행하기로 했기 때문입니다.

그렇다면 GDPR이 무엇일지 한번 알아봅시다.

 

GDPR, 앞으로의 좋은 친구!

GDPR(General Data Protection Regulation)은 EU에서 2016년 4월에 채택한 법으로 1995년 인터넷 시대가 막 도래했을 때 벼락치기 식으로 만들어진 정보보호명령을 새로이 대체하는 법입니다.

 

GDPR은 유럽에서 경제적 활동을 하는 회사들은 EU에 소속된 유럽 시민의 사생활 정보를 보호하는 것이 의무화하고, 개인정보 유출에 대해서 매우 강력하게 규제합니다. 또한 이가 2018년도에 주목되게 되는 것은 해당 법안을 2018년 5월 25일까지 준수해야 하기 때문입니다. 다음은 현행 법안과 앞으로 바뀔 GDPR을 비교한 표입니다.

	EU Directive(정보보호명령) : 현행	EU GDPR : 2018.05.25 이후
적용대상	EU 회원국 영도 기준 개인정보 처리자의 개인정보 처리에 관한 사항 EU 내 법인 또는 설비기준	EU 내 법인은 물론, EU 시민에게 재화나 서비스를 제공하는 모든 경우 GDPR을 적용 EU에 진출하지 않더라도 재화나 서비스를 제공하는 한국기업도 적용
개인정보 정의	직간접적으로 식별되거나 식별가능한 자연인의 정보식별번호(ID Number) 혹은 자연인의 신체적, 정신적, 경제적, 문화적, 사회적 지위에 관한 하나 이상의 요인을 참조하여 신원 확인 가능한 정보	식별 가능한 자연인 정보에 이름, 위치정보와 같은 식별자(identifier)와 함께 온라인 식별자 정보, 유전자 정보 등도 포함 -> 온라인 식별자 정보 : IP 주소, 쿠키, 기계고유식별정보, 시리얼넘버 등
처벌	회원국으로 하여금 적절한 제재조치를 취할 것을 권고 -> 회원국이 자유롭게	최대 직전 회계연도 전세계 매출의 2~4% 또는 1~2천만 유로(약 250억 원)의 행정과태료 부과 가능 강제규정으로 진행

 

 

 

구글, 페이스북, 애플, 아마존과 같은 IT 공룡기업들은 이 법안에 직격탄을 맞게 되었는데요. 빅데이터와 머신러닝의 시대가 도래하면서, 사용자의 개인정보를 빅데이터로 인식해 무작위적으로 수집하고 있는데 상황에서, 법의 규제를 받게 되었기 때문입니다.

실제로 2017년 12월 19일, 독일정부는 페이스북에게 소비자의 사생활 정보를 수집하는 점을 지적하고, GDPR을 준수하라고 경고했습니다.

[매일경제 뉴스 : http://news.mk.co.kr/newsRead.php?year=2017&no=842163]

 

유럽이 먼저 신호탄을 날려서 시작하긴 했지만, 개인정보 유출에 대한 심각성은 전세계적으로 공감되는 문제입니다. 2017년 보안 사고들(http://computergeek.tistory.com/9)과 이 글의 처음에서도 이야기 한 것처럼 한국만 하더라도 개인정보 유출이 많이 발생했기도 하고 말이죠. 즉 GDPR은 더 정교화 될 것이고, 전 세계적으로 채택될 것이라 예상됩니다.

또한 위 문단의 IT 공룡기업들이 GDPR에 대처하기 위해 데이터보호담당자(DPO, Data Protection Officer) 직을 신설하고 인재들을 모으고 있다는 점에서 정보 보안에 시장에 대한 관심은 더 커질 것이라는 예상도 할 수 있습니다.

 

해커의 친구?

앞에서 GDPR이 아주 좋은 친구가 될 수 있을 것이라고 이야기를 했는데, '해커의 친구'라는 말은 또 뭘까요?

 

GDPR은 확실하게 기업에게 개인정보를 보호하도록 하는 좋은 족쇄가 될 것입니다. 이것은 확실하겠죠. 하지만 해커의 입장에서는 새로운 시작이 만들어 지게 되는 것이라고 볼 수도 있습니다.

지금까지 해커는 탈취한 개인정보를 직접 사용해 2차 피해의 도구로 쓰거나, 파는 등 개인적인 도구나 거래용으로만 썼지만 앞으로는 탈취한 기업을 대상으로 직접적이고 지속적으로 협박하는 새로운 형태의 인질극이 벌어질 수 있기 때문이죠. 특히나 GDPR을 대비해 고용한 DPO, 데이터 보호 담당자들을 대상으로 말이죠.

 

따라서 데이터보호담당자와 GDPR과 여러 법안들을 담당하는 법 관련 전문가들 외에도 보안을 확실하게 관리해나갈 수 있는 연구진들이 필요해질 것입니다.