보안의식이라는 거짓말

보안의식이라는 거짓말

또 유출 사고가 났다. 그리고 또 같은 말이 따라붙는다. “비밀번호를 변경하세요.” “수상한 문자를 조심하세요.” “개인정보 관리에 유의하세요.”

이상하지 않은가. 정보를 걷어간 건 그들인데, 조심해야 하는 건 언제나 나다.

한국 인터넷에서 보안은 늘 이상한 방식으로 작동한다. 가입할 때는 끝이 없다. 휴대폰 번호, 생년월일, 실명인증, 인증 앱, 문자 코드. 그런데 사고가 나면 책임의 화살표는 정확히 반대 방향을 가리킨다. 마치 사용자가 조심하지 않아서 벌어진 일처럼.

절차는 많다. 동의서는 길고, 비밀번호 규칙은 복잡하다. 하지만 절차의 복잡함과 실제 안전은 별개의 문제다. 사용자는 계속 귀찮아지고, 기업은 계속 데이터를 쌓고, 사고가 나면 피해자는 또 사용자다. 이것은 보안인가, 아니면 책임을 분산시키는 행정 절차인가.

여기서 한 겹 더 들어가야 한다. 왜 모든 기업이 약속이라도 한 듯 이렇게 많이 정보를 걷는가.

기업의 탐욕스러움보다도, 국가가 그렇게 설계했기 때문이다. 인터넷 실명제의 잔재, 본인확인 의무, 금융·통신 규제. 국가는 통제를 위해 신원 파악을 법으로 강제해왔고, 기업 입장에서 본인확인은 선택이 아니라 컴플라이언스가 됐다. 안 걷으면 서비스를 못 연다. 그러니 모두가 “일단 최대한 걷고 본다”로 수렴한다. 과잉 수집을 표준으로 만든 건 시장이 아니라 규제다.

그리고 이 구조가 보안을 무너뜨린다. 수집이 강제되니 신원 데이터의 중앙 저장소가 여기저기 생긴다. 본인인증 대행사, 결제사, 각 서비스의 데이터베이스. 뚫릴 지점이 하나가 아니라 수백 개가 된다. 데이터를 갖지 않은 곳은 애초에 털릴 것도 없다. 그런데 제도가 “모두 가지고 있으라”고 명령하니, 모든 곳이 잠재적 유출 지점이 된다. 통제를 위한 신원 파악이 오히려 정보 수집을 가속하고, 가속된 수집이 보안을 취약하게 만든다.

이건 내 주장이 아니다. 2012년 8월 23일, 헌법재판소는 본인확인제에 대해 재판관 전원일치로 위헌 결정을 내리면서, 이 제도가 게시판 이용자의 개인정보가 외부로 유출되거나 부당하게 이용될 가능성을 증가시켰다고 판시했다. 신원을 확인하겠다는 제도가 신원을 위험하게 만든다는 것을, 국가 최고 사법기관이 14년 전에 이미 인정한 것이다. 그런데 그 설계 철학은 이름만 바꿔 지금도 도처에 살아 있다.

그럼 사고가 나면? 처벌한다. 그런데 사후 처벌은 아무도 살리지 못한다.

처벌은 이미 벌어진 유출에 대한 응보일 뿐, 예방이 아니다. 기업은 처벌 확률과 강도를 계산해 최소한의 보안 투자만 한다. 사용자는 유출된 정보를 안고 살아간다. 비밀번호는 바꿀 수 있지만 주민등록번호는 바꿀 수 없다. 배상을 받아도 신원 그 자체는 복구되지 않는다. 사전 예방 없이 사후 처벌만 있는 구조는 결국 하나의 상태로 수렴한다. 사고는 계속 나고, 처벌도 계속 나고, 아무도 안전해지지 않는다.

다른 설계는 이미 존재한다. 유럽 GDPR의 핵심은 무거운 과징금이 아니라 순서다. 개인정보는 처리 목적에 비추어 적절하고 관련성 있으며 필요한 최소한으로 제한되어야 한다는 데이터 최소화 원칙 이 먼저 오고, 처벌은 그 뒤를 받친다. 애초에 덜 걷게 만드는 게 설계의 중심이고, 심각한 위반에는 전 세계 매출의 4%까지 물릴 수 있는 과징금 이 그 원칙을 강제한다.

한국은 올해 반대 방향으로 갔다. 올해 3월 공포된 개정 개인정보 보호법은 반복적이거나 중대한 유출 기업에 전체 매출액의 최대 10%까지 과징금을 물릴 수 있게 했다. GDPR의 4%를 웃도는, 세계 최고 수준의 채찍이다. 오는 9월 11일 시행된다 .

그런데 수집을 강제하는 구조는 그대로다. 채찍은 세계에서 가장 세게 만들면서, 애초에 들고 있으라고 명령한 짐은 내려놓게 하지 않는다. 최대한 걷으라고 명령해놓고, 털리면 세계에서 가장 세게 벌하는 구조.

이것은 보안 정책이 아니라 모순이다.

그러니까 “보안의식이 부족하다”는 말은 반만 맞다. 진짜 부족한 건 개인의 조심성이 아니라 제도의 책임감이다. 필요한 건 세 가지다. 덜 걷게 하라. 덜 보관하게 하라. 그리고 반복해서 사고를 내는 기관과 기업에 실질적인 불이익을 줘라. 사용자에게 조심을 요구하기 전에, 시스템을 설계한 쪽이 먼저 조심해야 한다.

지금처럼 사용자는 모든 정보를 내놓고, 사고가 나면 또 사용자가 조심해야 하는 구조라면, 그건 보안 시스템이 아니라 책임 떠넘기기 시스템이다.

참고 및 근거

[1] 헌법재판소 2012. 8. 23. 선고 2010헌마47·252(병합) 결정 — 정보통신망법상 본인확인제(인터넷 실명제) 위헌. 개인정보 유출·부당이용 가능성 증가를 판시 근거 중 하나로 명시.

· 국가법령정보센터 헌재결정례 / 오픈넷 해설: opennet.or.kr/17467

[2] GDPR 제5조 제1항 (c) — 데이터 최소화 원칙(data minimisation). 개인정보는 처리 목적에 필요한 최소한으로 제한.

· gdpr-info.eu/art-5-gdpr

[3] GDPR 제83조 — 과징금 규정. 심각한 위반 시 직전 회계연도 전 세계 매출액의 4% 또는 2천만 유로 중 큰 금액.

· 법무법인 세종 GDPR 뉴스레터 (shinkim.com)

[4] 개인정보 보호법 개정 (2026. 3. 10. 공포, 2026. 9. 11. 시행) — 반복·중대 유출에 대한 징벌적 과징금 특례 신설, 상한 전체 매출액 10% (종전 3%). CEO 최종책임 명문화.

· 이포커스, “개인정보 유출 과징금 ‘매출 10%’…CEO에 최종책임 묻는다” (2026. 6.)