그동안 국내 기업들의 개인정보 침해 사고 대응 공식은 늘 '침묵'이었다. 수천만 건의 고객 정보가 매물로 올라오고 나서야 침해를 시인했던 통신사들의 유출 사태나, 시스템 오류와 해킹 정황을 단순 노출이라고 축소하며 수개월간 쉬쉬하던 대형 이커머스·플랫폼 사고가 대표적이다. 기업이나 금융회사들은 법적 책임과 유출 범위가 최종 확정될 때까지 입을 닫았다. 이용자들은 보이스피싱과 스미싱, 계정 도용 등 2차 피해에 노출된 뒤에야 안내문을 받았다.지난 9월 시행된 개정 개인정보 보호법은 유출 여부가 확인되지 않았더라도 그 가능성이 있으면 이를 72시간 안에 정보 주체에게 의무적으로 알리도록 했다. 이 제도는 시행 두 달 만에 시험대에 올랐다. 기업들에 회계·인사 프로그램을 공급하는 B기업의 경우 개인정보 침해사고가 발생하자, 이 회사 서비스를 쓰는 많은 기업과 기관들이 개정법에 따라 홈페이지에 '유출 가능성'을 잇따라 알렸다. 제도 취지는 기업의 은폐 관행을 차단하고 조기에 위험을 알려 혹시 모를 2차 피해를 선제적으로 막자는 것이다. 그러나 공지문이 동시에 쏟아지고 실시간 공개되면서 시장에서는 '매일 새로운 유출 사고가 터지고 있나"라는 공포와 불안이 번지고 있다.늑대소년의 경보가 잦아 피로가 쌓이면 이용자는 정작 진짜 위기가 닥쳤을 때 둔감해진다. 가능성이 '확정'으로, 공지 건수가 '피해 규모'로 잘못 읽히면 주체들은 길을 잃고 시장은 위험의 값을 잘못 매긴다. 정보 주체에게 필요한 것은 막연한 불안이 아니라, 내 정보가 어떤 사안에 해당하고 지금 무엇을 해야 하는지에 대한 명확한 안내이다. 이 때문에 기업은 가능성을 공지한 것으로 의무를 다했다고 생각하면 안 된다. 무엇이 확인됐고 무엇이 해소됐는지를 끝까지 알려야 한다.제도를 운용하는 당국도 불안 확산을 막기 위해 '가능성 통지'와 '확정 통지'를 구분할 수 있는 세부 기준을 마련할 필요가 있다. 공지 건수가 피해 규모로 인식되지 않도록 전달 과정의 신중함도 필요하다. 조기 경보만큼 정확한 팩트를 알리는 것도 중요하다. 정확한 정보 앞에서 불안과 의심은 줄어든다. 연합
;){kind=link}
