- 침해사고 의심 정황만 있어도 보존 의무 발생, 삭제·훼손 시 ‘불리한 자료’ 추정 원칙 신설
- 이해민 의원, “정부 조사 무력화하는 증거인멸 더는 방치할 수 없어”

조국혁신당 이해민 의원(국회 정무위원회)은 침해사고를 의심할 수 있는 상당한 정황이 인지된 순간부터 기업이 관련 기록을 스스로 보존하도록 하는 법 개정에 나섰다. 정부가 자료 보전 명령을 내리기 전까지 생기는 공백을 메워, 피해 규모조차 확정하지 못한 채 종결되는 조사를 막겠다는 취지다.

이해민 의원은 26일 침해사고 관련 자료의 보존 의무를 확대하고, 이를 위반한 경우 책임을 강화하는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안(이하 ‘정보통신망법’)」 을 대표 발의했다.

붙임_정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안
           (이해민의원 대표발의)

이하 생략
※ 첨부파일 참조

최근 대규모 침해사고가 잇따르면서 정부 조사 발표도 이어졌다. 그러나 발표문에는 매번 “확인 불가”가 되풀이되었다. 핵심 기록이 남아 있지 않으면 유출 경로도, 실제 피해 규모도 밝혀낼 수 없기 때문이다.

실제로 과학기술정보통신부가 발표한 최근 네 건의 대규모 침해사고에서 같은 양상이 반복됐다. 쿠팡은 정부의 자료 보전 명령을 무시하고 약 5개월 분량의 웹 접속기록을 삭제했으며, SK텔레콤은 주요 서버 2대를 포렌식 불가 상태로 제출했다. KT는 서버 폐기 시점을 정부에 허위 보고하여 조사를 방해했으며, LG유플러스는 정부 조사가 시작되기 전 확인 대상 서버의 운영체제를 재설치해 유출 경위 확인이 불가능하게 만들었다.

이 문제는 현행법의 자료 보존 의무가 과학기술정보통신부장관의 명령을 기준으로 한다는 점이다. 명령은 정부의 인지를 전제로 하기 때문에 정부가 인지하기 전까지는 공백이 남아 있는 것이다. 침해 사실을 가장 먼저 인지하는 주체는 정부가 아닌 사고 당사자일 수밖에 없다.

이번 개정안은 이러한 구조적 공백을 메우기 위해 침해사고가 발생했거나 의심할 만한 정황이 있는 경우 정부 명령을 기다리지 않고 관련 자료를 보존하도록 의무를 신설했다. 또한 ‘불리한 자료 추정 원칙’을 신설하여 사업자가 관련 자료를 삭제·훼손·변조하였을 경우, 과징금 부과 과정에서 해당 자료가 사업자에게 불리한 내용이었던 것으로 추정할 수 있도록 했다.

신고 이후 공백도 함께 보완한다. 침해사고 신고 후 7일 이내에 조사 및 대응 결과 등을 추가로 신고하도록 하되, 최초 신고에서 변경되거나 추가로 확인된 사항이 없으면 의무를 면제했다. 허위 신고를 방지하려는 취지다.

기업 부담을 덜기 위한 절차도 포함되었다. 침해사고가 발생하지 않았음을 소명하면 보존 의무 해제를 신청할 수 있고, 정부가 90일 안에 결과를 통지하지 않으면 신청을 수락한 것으로 본다.

이해민 의원은 “피해를 투명하게 밝히고 조사에 협조한 기업은 무거운 처벌을 받고, 기록을 지워 인과관계를 흐린 기업은 빠져나가는 구조를 방치할 수 없다”며 “삭제와 은폐가 대세라는 나쁜 공식을 지우겠다”고 말했다. 끝.