[보안칼럼] 암호화된 개인정보 유출, 신고 의무도 달라야 하나

염흥열 순천향대 명예교수 개인정보 유출 사고가 발생하면 기업은 원칙적으로 정보주체에게 통지해야 하고, 법령에서 정한 요건에 해당하면 개인정보보호위원회 등에 신고해야 한다. 그러나 안전하게 암호화된 정보의 암호문만 외부로 반출되고 복호를 위한 암호키는 철저히 보호된 경우까지 평문 개인정보의 유출과 동일하게 취급해야 하는지는 검토가 필요하다. 우리나라 개인정보보호법은 살아 있는 개인에 관한 정보로서, 해당 정보만으로 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 특정 개인을 알아볼 수 있는 정보를 개인정보로 정의한다. 이때 쉽게 결합할 수 있는지는 다른 정보의 입수 가능성과 개인을 식별하는 데 필요한 시간·비용·기술 등을 합리적으로 고려해 판단한다. 개인정보처리자는 암호문과 암호키를 보유하거나 이용할 수 있으므로 암호화된 정보도 원칙적으로 개인정보로 관리해야 한다. 우리나라를 비롯해 유럽연합(EU)과 미국 등 주요 국가·지역은 일정한 요건에 해당하는 개인정보 유출사고에 대해 규제기관 신고와 정보주체 통지 의무를 부과한다. 따라서 개인정보처리자는 정보 유출사고가 발생하면 먼저 유출된 정보가 법률상 보호 대상 개인정보인지, 해당 사고가 신고·통지 대상인지를 판단해야 한다. 암호화된 정보가 개인정보에 해당하는지와 그 암호문이 외부로 반출된 것을 법률상 개인정보 유출로 볼 것인지는 구분할 필요가 있다. 개인정보위는 일반적으로 개인정보가 개인정보처리자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이른 것을 유출로 설명하고 있으며 이는 개인정보 유출 관련 법원 판례에서도 판시된 바 있다. 따라서 안전하게 암호화된 정보의 암호문만 외부로 반출되고 복호화에 필요한 암호키는 유출되지 않은 경우에는 제3자가 그 내용을 현실적으로 알아볼 수 있는지까지 고려해야 한다. 현행 개인정보 보호법 시행령은 개인정보 유출 경로가 확인되고, 해당 개인정보를 회수·삭제하는 등의 조치로 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 개인정보위 등에 신고하지 않을 수 있도록 하고 있다. 그러나 안전한 암호화와 암호키 관리를 기준으로 통지·신고 의무를 명시적으로 면제하거나 간소화하는 규정은 마련되어 있지 않다. 따라서 기업이 암호화만을 이유로 통지·신고 의무가 없다고 단정하기는 어렵다. 유출에 따른 위험은 공격자의 현실적인 복호화 가능성을 고려해야 한다. 개인정보의 암호문과 키가 함께 유출되었거나 암호가 취약하다면 당연히 개...