동일 해킹에 엇갈린 처분, 농촌진흥청 '행정심판' 정면 대응

예측 불가능한 제재 기준, 개인정보위의 딜레마

개인정보보호위원회의 제재 원칙이 커다란 논란에 휩싸였다. 동일한 해킹 사고로 인해 발생한 개인정보 유출 사건임에도 불구하고, 각 기관에 내려진 처분이 서로 달랐기 때문이다. 사안마다 판단 근거가 달라지면서 규제의 예측 가능성이 떨어진다는 비판이 나오고 있으며, 전문가들 사이에서는 개인정보보호법의 체계적인 보강이 시급하다는 목소리가 높다.

26일 관계부처에 따르면 농촌진흥청은 이번 달 중순 개인정보위가 부과한 과징금 처분에 불복해 행정심판을 청구할 방침이다. 이미 종료된 위탁계약에 대해 개정된 법률을 소급 적용해 처벌하는 것이 부당하다는 것이 농진청 측의 논리다. 국가기관이 또 다른 국가기관을 상대로 행정심판을 제기하는 사례는 매우 이례적이라는 평가다.

57만 건 유출 사고와 기관별 차별적 처분

이번 논란의 시작은 지난해 4월, 위탁업체인 미소테크가 신원 미상의 해커로부터 네트워크 저장장치(NAS)를 공격받으면서 시작됐다. 이 과정에서 농촌진흥청과 그 산하 기관인 국립농업과학원, 국립축산과학원이 체결했던 위탁계약 관련 정보가 탈취됐다. 이 사고로 인해 이름, 주소, 연락처 등 6종의 개인정보 파일에 담긴 약 57만 1000건의 데이터가 외부로 유출됐다.

문제는 동일한 해킹 피해를 입었음에도 기관별로 처분 수위가 판이하다는 점이다. 농촌진흥청은 1억 6800만 원의 과징금과 함께 시정권고를 받았으나, 국립농업과학원은 2310만 원의 과징금과 시정명령을 받았다. 반면 국립축산과학원은 과징금 부과 없이 시정명령 처분만을 받았다.

'연속성' 개념 도입한 개인정보위의 소급 적용 논란

처분의 차이는 2023년 9월 15일부터 시행된 개정 개인정보보호법의 적용 여부에서 갈렸다. 개정법은 수탁자의 법 위반에 대해 위탁자의 관리·감독 및 교육 소홀을 근거로 위탁자에게도 과징금을 부과할 수 있도록 규정하고 있다. 기존에도 관리 의무는 존재했으나, 과징금 부과라는 강력한 근거가 이번 개정안을 통해 신설된 것이다.

농진청과 농과원, 축산원 세 기관은 모두 개정 전 법률을 적용해야 한다고 맞섰다. 농진청과 농과원은 2022년 12월에, 축산원은 2020년 9월에 이미 위탁계약이 종료되어 관리·감독 의무가 사라졌다고 주장했다. 그러나 개인정보위는 의결서를 통해 위법 상태가 해소될 때까지 지속된다는 법리에 따라, 보안 강화 계획이 수립된 2025년 5월까지 의무 위반 상태가 이어진다고 판단했다.

특히 개인정보위는 '연속성'이라는 개념을 새롭게 도입해 차등 적용했다. 농진청과 농과원은 계약 종료 후에도 해당 업체와 다른 정보화 사업을 계속 진행해 관리·감독 의무가 유지된 반면, 축산원은 계약 종료 후 별다른 관계가 없었다는 논리다. 이에 대해 황석진 동국대 국제정보보호대학원 교수는 계약의 실질적 연속성에 따른 과징금 부과는 타당할 수 있으나, 농진청 입장에서 동일 사고에 대해 다른 처분을 받는 것은 억울할 수 있다고 지적하며 법 개정의 필요성을 강조했다.