"개인정보 보호, CEO가 직접 챙긴다"…개보위, 이통3사 실태점검 추진(종합)

[아이뉴스24 안세준 기자] SK텔레콤·KT·LG유플러스 등 이동통신 3사가 개인정보 보호를 경영의 최우선 가치로 두고 최고경영자(CEO)와 이사회가 직접 책임지는 관리체계를 강화한다. 개인정보보호위원회는 통신사들의 보호조치 개선 상황을 향후 실태점검하고 그 결과를 공개하는 방안을 추진한다.

송경희 개인정보보호위원장은 28일 정재헌 SK텔레콤 대표, 박윤영 KT 대표, 홍범식 LG유플러스 대표와 간담회를 열고 개인정보 보호 책임 강화와 사전 예방 중심의 보호체계 구축 방안을 논의했다. 개인정보위와 3사는 이날 개인정보 보호를 경영의 핵심 가치로 두는 내용의 공동선언문도 발표했다.

이통3사 CEO "개인정보 보호, 경영 최우선 과제"…투자·책임체계 강화

정재헌 SK텔레콤 대표는 모두발언에서 "개인정보 사고는 발생한 이후 아무리 잘 대응하더라도 잃어버린 신뢰를 완전히 회복하기 어렵다"며 "가장 좋은 개인정보 보호는 위험을 미리 확인하고 선제적으로 차단하는 것"이라고 말했다.

이어 "SK텔레콤은 이런 방향에 맞춰 5년간 7000억원 규모의 정보보호 투자를 추진하는 등 보호체계를 지속 강화하고 있다"며 "'프라이버시 퍼스트'를 전 임직원 업무 원칙으로 삼고 서비스 기획부터 개발, 운영에 이르기까지 개인정보 보호가 업무의 출발점이 되도록 문화를 바꾸어가고 있다"고 밝혔다.

박윤영 KT 대표는 "개인정보 보호를 경영 최우선 원칙으로 삼고 5년간 2조2000억원을 투자해 보안은 물론 보안의 근간이 되는 IT 현대화까지 근본 체계를 바로잡고 있다"고 밝혔다.

박 대표는 "통신은 국민 생활과 가장 가까이 맞닿아 있고 많은 고객 정보를 다루는 만큼 무거운 책임감을 가지고 정보보호의 기본부터 다시 정비하고 있다"고도 했다. 최근 발생한 보안 사고와 관련해서는 "국민과 정부에 심려를 끼쳐 대표이사로서 다시 한번 사과드린다"고 말했다.

홍범식 LG유플러스 대표는 "AI와 디지털 전환이 가속화될수록 개인정보 보호는 기술적 과제를 넘어서 기업의 책임경영 영역이 된다"고 했다.

이어 "AI 시대에는 서비스 혁신과 개인정보 보호를 별개의 문제로 볼 수 없다"며 CEO와 경영진이 직접 개인정보 보호 현황을 점검하는 책임체계를 강화하겠다고 언급했다. CPO를 중심으로 사전 예방 투자와 전문인력 확충에 나서는 한편 AI 서비스 전 과정에도 개인정보 보호 원칙을 내재화하겠다는 계획이다.

이통 3사는 보호체계를 강화하는 과정에서의 현실적인 어려움도 전달했다.

이상민 개인정보보호위원회 개인정보정책국장은 간담회 직후 백브리핑에서 "3사는 20년 전에 구축된 오래된 시스템과 최신 기술이 병존하는 체계"라며 "최선의 노력을 다하고 있으나 한 번에 짠하고 개선되는 데는 한계가 있어 조금 시간을 가져줬으면 좋겠다는 애로사항이 있었다"고 전했다.

정보보호 전문인력 부족 문제도 거론됐다. 이 국장은 "정보보호 인력이 부족한 것도 있고, 인력을 양성하려고 해도 현실적인 어려움이 커 이쪽으로 유인하는 데 어려움이 있다는 얘기도 있었다"며 "정부가 이 부분에서 함께 노력했으면 좋겠다는 의견이 나왔다"고 설명했다.

개보위, 통신사 보호조치 실태점검…AI 시대 제도 구체화

개인정보위는 이날 공동선언이 선언에 그치지 않도록 이통 3사의 개인정보 보호 개선 상황을 직접 점검하는 방안도 추진한다.

이 국장은 "개인정보보호위원회에서 통신사를 대상으로 실태점검해 그동안 무엇이 얼마나 나아졌고, 이전보다 얼마나 개선됐는지 확인한 뒤 결과를 알리는 것도 의미가 있겠다는 공감대가 형성됐다"고 말했다.

통신업계가 요구한 민관 소통 채널도 확대한다. 다만 위원장과 이통 3사 CEO 간 별도의 상설 협의체를 만드는 방식은 아니다. 기존 각 사 CPO와 개인정보위 간 정책 소통을 한층 강화하는 방향이다.

보호조치와 서비스 안정성 사이에서 발생하는 현장의 어려움도 정책 과정에서 살펴보기로 했다. 이통사는 24시간 서비스를 유지해야 하는 만큼 보안 취약점 패치 등 보호조치를 적용하는 과정에서 서비스 안정성을 함께 고려해야 한다는 의견을 전달했다.

이 국장은 "기본적인 사항들이 지켜지지 않은 경우에는 그에 합당한 제재가 이뤄져 왔다"면서도 "기본적인 보호조치를 잘 지켰는데 AI 기술 등을 활용한 전혀 예측 불가능한 공격으로 사고가 발생했다면 조사 과정에서 충분히 파악하고 고려해야 할 것"이라고 말했다.

개인정보위는 강화된 개인정보 보호 책임을 담은 개정 법률의 후속 조치도 구체화하고 있다. 내년 3월 시행을 앞두고 시행령과 고시를 통해 강화된 안전조치의 범위와 위험요인 평가 기준 등을 마련하고 통신업계를 비롯한 현장 의견을 수렴할 계획이다.