‘통신사 해킹 방지 3법’ 발의… 포스트 SKT 사태 대응체계 대수술

[이데일리 김현아 기자] SK텔레콤(017670) 해킹 사태를 계기로 통신 인프라 보안체계에 대한 제도적 대수술이 본격화된다.

더불어민주당 최민희 의원(국회 과학기술정보방송통신위원장, 경기 남양주갑)은 19일 통신사 해킹에 대한 예방과 피해 대응을 강화하는 ‘통신사 해킹 방지 3법’(정보통신망법·디지털포용법·개인정보보호법 개정안)을 대표 발의했다.

이번 개정안은 통신사를 포함한 주요 정보통신사업자의 침해사고 대응 의무를 명문화하고, 고위험 사고 발생 시 국가 주도의 적극적 개입과 이용자 개별 통지를 법제화한 것이 핵심이다.

최민희 국회과학기술정보방송통신위원회 위원장. 사진=뉴스1

① 정보통신망법 개정안 “경보·예보는 기본, 피해자 보호 의무 신설”

정보통신망법 개정안은 정부와 사업자가 대규모 해킹 사고 발생 시 ▲즉각적인 예보·경보·통지 실시를 의무화하고 ▲피해 확산 방지를 위한 이용자 보호 조치도 법정화한 것이 골자다.

구체적으로는 과학기술정보통신부 장관이 방송·신문·통신사 등을 통해 신속히 경보를 전달할 수 있도록 법적 권한을 부여하고, 통신사는 자체적으로 피해자 구제 조치 계획을 수립해 정부에 제출해야 한다. 자료 제출을 거부하거나 협조를 회피할 경우 최대 5000만 원의 과태료가 부과된다.

침해사고가 발생한 경우에는 사업자가 ‘신속하고 실효성 있는 피해구제’를 취해야 한다는 의무조항(제48조의7 신설)도 함께 포함됐다. 이는 ‘사고 수습은 사후 대응’이라는 통신업계의 관행을 제도적으로 전환하는 계기로 작용할 전망이다.

② 디지털포용법 개정안 “취약계층 대응지원 국가 책임으로”

디지털포용법 개정안은 고령자·장애인 등 디지털 취약계층을 겨냥한 해킹 피해가 사회적 약자에게 더 큰 타격이 될 수 있다는 현실을 반영해 대응 지원 근거를 처음으로 명문화했다.

신설 조항(제25조의2)에 따라 향후 침해사고가 발생하면 국가 및 지방자치단체는 대통령령에 따라 취약계층 보호 및 대응 지원에 직접 나서야 하며, 디지털포용 기본계획에는 이를 반드시 포함하도록 규정된다.

해당 개정은 2026년 1월 시행을 앞둔 디지털포용법의 입법 공백을 보완하려는 조치로, 사회적 약자 보호 중심의 디지털 정책 기조가 강화되는 흐름으로 해석된다.

③ 개인정보보호법 개정안 “유출 시 ‘개별 통지’ 의무화로 전환”

개정안의 가장 주목되는 조항은 개인정보 보호법 제34조의 개정이다. 현행법은 유출 사고 시 정보주체에게 개별 통지를 하되, 일부 예외적 경우에는 홈페이지 공지만으로 갈음할 수 있게 돼 있다.

그러나 이번 개정안은 유출 규모가 대통령령 기준 이상이거나 정보주체 식별이 가능한 경우 개별 통지를 원칙적으로 의무화했다.

즉, 개인정보처리자는 유출 가능성이 있는 모든 정보주체에게 개별적으로 통지하지 않으면 과태료 처벌을 받게 된다. 이는 SK텔레콤 사태처럼 수백만 명의 고객이 피해를 입고도 개별 확인이 어려웠던 상황에 대한 법적 대응 장치다.

개인정보 유출을 ‘기술적 결함’으로 보는 인식을 넘어, 관리 책임 및 사회적 신뢰 회복 책임이 기업에 있다는 점을 강조한 조항으로 평가된다.

“통신 인프라는 사실상 공공재… 예방→책임 전환 필요”

최민희 의원은 “초연결 사회에서 통신 인프라는 사실상 공공재”라며 “사고 발생 이후의 수습이 아니라 사전 예방과 피해자 중심의 법제 전환이 시급하다”고 밝혔다.

이어 “이번 3법 개정은 출발점일 뿐이며, 향후 유심보호 서비스 가입 절차 의무화 등 보다 촘촘한 보호 입법을 추가로 준비 중”이라고 덧붙였다.

이번 3법 발의는 민간 통신기업의 사이버 보안 책임을 정부 차원에서 제도화하려는 시도로 향후 국회 논의 과정이 주목된다.