대통령 부부 여권번호 다섯 달 노출됐는데, 168명에게 알렸는지 답이 없다

대통령 부부와 장관, 경호 인력 등 168명의 여권번호가 해외 사이트에 다섯 달가량 올라 있었다. 파일을 올리면 악성코드가 있는지 검사해 주는 사이트다. 경향신문은 이 정보가 신원 사칭이나 특정인을 노린 공격에 쓰일 수 있다고 우려했다. 내 여권번호가 새도 정부 기관은 같은 법에 따라 알려야 한다. 그렇다면 정부는 이번 일을 언제 알았고, 168명에게는 알렸을까?

파일은 6월 유럽 순방 때 공군 1호기에 탄 사람들의 명단으로 추정된다. 연합뉴스에 따르면 파일 이름은 '탑승객 명단(대한민국-벨기에)'이고, 순방을 떠나기 일주일 전인 6월 2일부터 게시돼 있었다. 담긴 정보는 국문·영문 이름, 소속·직책, 생년월일, 여권번호와 발급·만료일이다. 동행한 청와대 출입기자들의 정보도 들어 있었다.

이 사이트는 올라온 파일을 다른 이용자와 나누는 곳이다. 한국경제에 따르면 이런 사이트는 파일을 보안업체나 유료 회원과 나눌 수 있다. 연합뉴스에 따르면 이번 파일도 유료 회원 등이 내려받을 수 있었다. 연합뉴스는 누군가 파일의 악성코드 감염 여부를 확인하려고 올린 것으로 추정했다. 누가 올렸는지는 아직 드러나지 않았다.

청와대가 미리 알았다고 한 것은 유출 자체가 아니라 '보도 내용'이다.

청와대는 2일 언론 공지에서 보도를 미리 알고 조치했다고만 밝혔다. 공지 원문은 "보도 내용에 대해 사전 인지 후 대응 조치를 취했으며, 앞으로 외교부 등에서 추가 조치를 할 예정"이다(헤럴드경제). 언제 알았는지, 무슨 조치를 했는지는 밝히지 않았다. 연합뉴스는 오히려 정부가 최근까지 이 파일을 알지 못했다고 전했다.

연합뉴스에 따르면 이 파일은 지금 열람이 차단돼 있다. 뉴스리에 따르면 KBS는 보도에 앞서 사이트 관리자에게 파일 삭제를 요청했다. 누구의 요청으로 언제 차단됐는지는 정부가 밝히지 않았다.

보도가 나오면서 알려진 정부 조치도 있다. 이투데이에 따르면 청와대 관계자는 SBS에 파일이 외교부 서식으로 보인다며 경찰에 수사를 의뢰했다고 말했다. 청와대는 당시 탑승 직원들의 여권을 바꾸는 작업에도 들어간 것으로 전해졌다. 외교부는 "동 사안을 매우 엄중하게 인식하고 있으며"라며 경위를 조사하고 있다고 밝혔다.

그러나 개인정보 보호법은 정부 기관에도 유출을 알릴 의무를 지운다.

개인정보 보호법은 업무를 위해 개인정보 파일을 운용하는 공공기관도 개인정보처리자로 본다. 기업과 마찬가지로 유출 통지·신고 의무가 적용된다. 유출을 알게 된 처리자는 당사자에게 알려야 하는데, 이를 통지라고 한다. 시행령은 그 기한을 알게 된 때부터 72시간 이내로 정한다. 차단이나 회수 같은 긴급 조치가 필요하거나 천재지변 같은 부득이한 사유가 있으면, 그 사유가 없어진 뒤 즉시 알릴 수 있다.

개인정보보호위원회나 한국인터넷진흥원에 알리는 신고도 기한이 72시간이다. 신고 대상은 1천 명 이상이 새거나, 고유식별정보가 새거나, 외부의 불법 접근으로 샌 경우다. 168명은 1천 명에 못 미친다. 그러나 개인정보보호위원회는 여권번호를 주민등록번호와 함께 고유식별정보로 분류한다.

물론 시행령에는 예외도 있다. 유출 경로가 확인되고 정보를 회수·삭제해 피해 가능성이 현저히 낮아지면 신고하지 않을 수 있다. 이번 파일은 열람이 차단됐다. 그러나 정부는 유출 경로나 내려받은 사람이 있는지를 밝히지 않았고, 경찰 수사도 진행 중이다.

기한을 따지려면 정부가 처음 안 날을 알아야 한다. 청와대가 KBS 취재로 처음 알았다면 72시간은 그날부터 센다. 그 날짜는 공개되지 않았다. 통지할 기관도 명단을 누가 만들고 관리했는지에 따라 정해진다. 한국일보는 전용기 관리 전반을 외교부가 맡는 것으로 전해졌다고 보도했다.

대통령은 같은 의무를 민간 기업에 먼저 엄하게 요구했다. 경향신문에 따르면 대통령은 9월 30일 X에 개인정보를 다루는 사업자들에게 보호 인력과 시스템을 갖추라고 썼다. 사고가 나면 과징금과 형사처벌, 집단소송 배상을 강화하겠다고도 했다. 이번 명단에는 대통령 자신의 여권번호도 들어 있었다.

열람 차단과 여권 교체, 수사 의뢰는 피해를 줄이는 조치다. 다만 이 조치들은 모두 보도와 함께 알려졌다. 정부가 168명에게 따로 알렸는지, 신고했는지는 공개된 바가 없다.

외교부와 청와대가 답할 물음은 두 가지다. 이 파일을 처음 안 날은 언제인가? 그날부터 72시간 안에 168명에게 알리고 개인정보보호위원회나 한국인터넷진흥원에 신고했는가? 외교부는 조사 결과에 따라 필요한 조치를 하겠다고 했다. 168명에게 언제 알렸는지가 공개되지 않는 한, 정부가 기업에 요구한 통지 의무를 스스로 지켰는지는 판단할 수 없다.