- 유출 정황 인지부터 접속기록 등 보존 의무...조사 시작 전에 지워도 제재
- 은폐 목적 자료 폐기 시 ‘매출액 3% 이하’ 과징금 부과 및 ‘기업에 불리한 자료’ 추정
- 김형연 의원, “증거 지울수록 과징금 피하는 기형적 구조 바로잡을 것”

국회 정무위원회 김형연 의원(조국혁신당)은 기업이 개인정보 유출 정황을 알게 된 즉시 접속기록 등 관련 자료를 보존하도록 의무화하는 「개인정보보호법」 일부개정법률안을 대표 발의했다.

개인정보보호위원회(이하 ‘개보위’)는 지난 6월 약 3,750만 명의 개인정보가 유출된 쿠팡에 역대 최대인 과징금 6,246억 8,100만 원을 부과했다. 개보위가 조사 착수 즉시 접속기록 보전을 명령했지만, 쿠팡은 약 5개월 분량의 앱 접속 로그를 삭제했다. 6개월이 지난 로그를 자동으로 지우는 자체 정책도 멈추지 않았다.

7월에는 침해 서버 10대의 로그를 삭제한 KT에 대해 개보위가 조사방해 혐의로 고발을 결정했다. LG유플러스는 개보위 조사 착수 전인 2025년 8월, 유출 의혹 서버의 운영체제를 재설치한 뒤 폐기했다. 개보위는 행정조사로는 한계가 있다며 수사를 의뢰했다.

현행법은 조사 이후 방해만 제재한다. 개보위의 자료제출 요구나 출입·검사가 시작된 뒤 자료를 내지 않거나 거짓으로 제출하면 3천만 원 이하 과태료를 매기는 데 그친다. 조사 착수 전 기록 삭제는 행정제재할 근거가 없다.

개정안은 유출 관련 자료 보존 의무를 신설한다. 기업은 유출이 발생했거나 의심할 만한 정황을 알게 되면 지체 없이 접속기록 등 원인 분석에 필요한 자료를 보존해야 한다. 개보위의 별도 명령을 요구하지 않으며, 보존 기간은 2년이다. 반대로 개인정보처리자가 유출이 없었음을 소명하면 보존 의무 해제를 신청할 수 있다.

또한 자료를 숨기거나 삭제한 행위에 대해선 별도 과징금을 부과한다. 법 위반 사항을 은폐·축소할 목적으로 ▲조사 전 자료를 은닉·폐기·위조·변조하거나 ▲보존 의무를 지키지 않아 자료가 멸실되거나 ▲자료제출 요구 및 조사에 필요한 자료를 삭제한 경우가 대상이다. 과징금은 매출액의 3% 이하다.

마지막으로 자료 내용의 추정 규정을 두었다. 기업이 보존해야 할 자료를 은닉·폐기·위조·변조했을 시, 유출 과징금 산정을 위해 기업의 고의나 중대한 과실 판단 과정에서 해당 자료를 기업에 불리한 자료로 추정한다. 증거를 없앤 기업이 판단 근거 불충분으로 오히려 유리해지는 일을 막기 위해서다.

개정안은 기업 부담도 고려했다. 피해 확산 방지 및 복구가 시급한 경우에는 사본을 남긴 뒤 조치할 수 있도록 했다.

김형연 의원은 “그동안 증거를 지울수록 정부 조사는 무력화되고, 유출과의 인과관계를 증명하기 어려워져 과징금을 면할 수 있었다”며 “조사 전이라는 이유로 기록 삭제가 제재를 피해 가는 구조를 바로잡겠다”고 말했다.  끝.