티빙 개인정보 유출 조사 9월 발표 전망…최대 10% 과징금 적용 여부도 관심

티빙에서 발생한 대규모 개인정보 유출 사고에 대한 정부 조사가 이달 중 마무리될 전망이다. 피해 규모가 약 1953만명으로 파악된 가운데 조사 결과 발표가 늦어지면서 향후 티빙에 적용될 과징금 기준에도 관심이 쏠리고 있다.

과학기술정보통신부 민관합동조사단은 티빙의 개인정보 유출 경위와 피해 범위 등을 살펴보고 있으며, 당초 8월로 예상됐던 조사 결과 공개가 9월로 넘어간 상황이다.

이번 조사가 예상보다 길어진 주요 이유 가운데 하나는 실제 유출 대상 규모를 확인하는 작업이다. 현재 정부와 국회에 제출된 자료에서는 약 1953만명의 개인정보가 유출된 것으로 집계됐다.

티빙의 유료 가입자는 약 500만명 수준이고, 지난 4월 기준 월간활성이용자수도 약 770만명으로 알려져 있다. 이보다 훨씬 큰 규모의 개인정보가 유출된 것으로 파악되면서 어떤 계정이 피해 대상에 포함됐는지에 대한 세부적인 확인이 진행되고 있다.

특히 탈퇴한 이용자의 계정이나 장기간 사용하지 않은 휴면 계정, 간편로그인으로 연결된 계정, 제휴 서비스를 통해 만들어진 계정 등이 피해 범위에 포함됐는지가 조사 대상이다. 최종 결과가 발표되면 약 1953만명이라는 숫자가 어떤 기준으로 산정됐는지도 구체적으로 공개될 것으로 예상된다.

개인정보를 보관하는 과정에서 법적 의무를 지키지 않았는지도 중요한 쟁점이다. 만약 티빙이 보관 기간이 지난 탈퇴·휴면 이용자의 개인정보를 적절하게 삭제하지 않은 사실이 확인될 경우, 개인정보 보호 의무를 위반한 정도를 판단하는 과정에서 불리하게 작용할 가능성이 있다.

사고를 언제 인지했는지를 놓고도 정부의 확인 작업이 이어지고 있다.

티빙은 지난 5월 30일 데이터베이스 서버에서 이상 징후를 발견했고, 이후 조사 과정에서 6월 2일 외부의 허가받지 않은 접근으로 개인정보가 빠져나간 사실을 확인한 것으로 알려졌다.

다만 과기정통부와 개인정보보호위원회에 제출된 신고 자료에서 최초 사고 인지 시점이 서로 다르게 기록된 것으로 전해지면서, 정부는 해당 내용이 어떻게 발생했는지를 추가로 들여다보고 있다.

사고 조사와 별개로 개인정보보호위원회는 티빙의 정보보호 조치와 사고 발생 이후 신고 및 통지 의무가 제대로 이행됐는지도 검토하고 있다. 위반 사실이 인정될 경우 관련 매출 규모와 위반 행위의 심각성, 기업의 안전조치 수준 등을 종합적으로 고려해 제재 수위가 결정된다.

이번 사건에서 특히 관심을 받는 부분은 과징금 산정에 어떤 개인정보보호법이 적용되느냐다.

개정 개인정보보호법은 9월 11일부터 시행된다. 고의 또는 중대한 과실로 1000만명 이상의 개인정보 피해가 발생한 경우 등에 대해 과징금 상한을 기존 관련 매출액의 3%에서 최대 10%까지 높이는 내용이 포함됐다.

다만 단순히 조사 결과가 9월에 발표된다는 이유만으로 새로운 과징금 기준이 자동 적용되는 것은 아니다. 법 개정 당시의 부칙과 실제 위반 행위가 언제까지 지속됐는지를 함께 따져야 하기 때문이다.

개정법 시행 전에 위반 행위가 이미 끝난 것으로 판단된다면 기존 기준인 최대 3%가 적용될 가능성이 있다. 반대로 개인정보를 적법하지 않게 보유하거나 보안상 문제가 있는 상태가 법 시행 이후까지 이어졌다고 판단될 경우에는 새로운 기준을 적용할 수 있는지를 두고 논란이 발생할 수 있다.

티빙의 지난해 매출은 약 4059억8000만원이다. 이를 단순하게 기준으로 계산하면 매출의 3%는 약 122억원, 10%는 약 406억원에 해당한다.

다만 이는 법정 상한을 단순 계산한 수치일 뿐 실제 부과되는 과징금과는 차이가 있을 수 있다. 실제 제재 과정에서는 위반 행위와 직접적으로 관련된 매출액을 산정하고, 위반의 구체적인 내용과 책임 정도, 기업의 보안조치 노력 등을 종합적으로 반영하기 때문이다.

이용자에 대한 보상책 역시 조사 결과와 함께 관심을 받고 있다.

티빙 측은 앞서 2분기 실적 설명회에서 개인정보 유출과 관련한 이용자 보상 방안을 9~10월께 공개할 수 있다는 입장을 밝힌 바 있다. 보상 규모와 방식은 이용자에게 제공되는 실질적인 혜택과 회사의 재무적 영향을 함께 고려해 결정한다는 설명이다.

결국 9월에 예정된 정부 조사 결과에서는 개인정보가 어떤 경로로 유출됐는지뿐 아니라 실제 피해 대상이 어떻게 산정됐는지, 티빙의 보안 및 개인정보 관리 과정에 어떤 문제가 있었는지 등이 핵심적으로 다뤄질 것으로 보인다.

조사 결과가 나온 이후 개인정보보호위원회의 법 위반 판단과 과징금 산정, 티빙의 이용자 보상안까지 순차적으로 이어질 가능성이 높아 향후 후속 조치에 관심이 모이고 있다.