롯데카드 해킹 사태…방통위, 개인정보 분리 관리 법안 시행 지연 책임론

이해민 의원 "개인정보 보호 제도 공백으로 피해 키웠다" 지적

조국혁신당 이해민 의원은 최근 발생한 롯데카드 개인정보 유출 사고와 관련하여 방송통신위원회(방통위)의 후속 입법 지연이 피해를 키웠다고 지적했다. 법 개정으로 연계정보(CI)와 주민등록번호의 분리 관리가 의무화되었음에도, 방통위의 제도 시행 지연으로 인해 롯데카드의 해킹 피해가 확대되었다는 주장이다.

1일 이해민 의원실에 따르면 롯데카드는 이번 해킹으로 연계정보와 주민등록번호가 함께 유출되었으며, 이 두 정보를 별도 서버로 분리하여 관리하지 않은 사실이 드러났다. 연계정보는 주민등록번호를 직접 사용하지 않으면서도 개인을 식별할 수 있도록 하는 비식별 정보이다.

국회는 2023년 12월 '정보통신망법 일부개정안'을 통과시켜 본인확인기관 및 CI 이용기관에 주민등록번호와 CI를 분리 저장·관리하도록 의무를 부과했다. 해당 법안은 2024년 7월부터 시행될 예정이었다.

그러나 방통위는 법 시행에 맞춰 필요한 후속 조치를 제때 마련하지 못했다. 시행령과 고시는 법 시행 시점보다 1년 이상 늦은 2025년 5월 20일에야 제정되었다. 더욱이, 고시의 연계정보 이용기관 안전조치 규정 일부는 2027년 5월 1일부터 시행되도록 유예되어, 사실상 약 3년간의 제도 공백이 발생했다.

방통위는 위원회 개최 불가 및 사업자 준비 기간 등을 고려한 2년 유예 기간이었다고 해명했으나, 핵심 개인정보 관리에 허점을 남겨 해킹 피해를 확대시켰다는 비판을 피하기 어렵게 되었다.

이해민 의원은 법 시행 시점인 2024년 7월 이전에 후속 입법이 준비되었어야 한다고 강조했다. 김홍일 전 방통위원장의 책임 방기와 이진숙 방통위원장의 공영방송 이사 교체 집중으로 인해 3년간 연계정보와 주민등록번호 분리 조치가 작동하지 못했다고 비판했다. 이로 인해 롯데카드와 같은 기업들은 법적 기준 부재를 이유로 보안 조치를 미뤘고, 그 피해는 고스란히 국민에게 돌아갔다고 지적했다.

실제로 24일 국회 과학기술정보방송통신위원회(과방위)에서 열린 대규모 해킹 사고 청문회에서 이해민 의원이 연계정보와 주민등록번호 분리 관리 미흡이 법 위반이 아니냐고 질의하자, 롯데카드 조좌진 대표는 관련 시행령이 2027년 5월부터 시행된다는 점을 들어 책임을 회피하는 답변을 내놓았다.

이 의원은 "언제든 유사한 해킹 사태가 재발할 수 있는 상황에서 방통위가 사실상 면죄부를 주면서 2027년 5월까지는 연계정보와 주민등록번호를 한 서버에 함께 보관해도 제재할 수 없는 상태가 되었다"고 우려를 표했다. 이에 방통위가 고시 시행을 앞당길 수 있는 실질적인 대책 마련을 촉구했다.