스토킹 피해자 주소 ‘동의없이’ 내부망에

법조계 “업무와 무관 위법소지”

서교공 “필수정보 동의 필요없어

정부 가이드라인 따른 것” 해명

“3자 제공땐 정보주체 동의받아야”

고용부, 개인정보 지침에도 적시

‘신당역 살해 사건’ 피의자 전주환(31)이 서울교통공사(이하 공사) 내부망을 통해 피해자의 주소를 알아낸 가운데, 공사 측이 피해자의 동의를 받지 않고 주소를 내부망에 공개한 것으로 확인됐다. 공사는 정부 가이드라인에 따른 것이라고 해명했지만, 법조계는 위법성이 있다고 판단하고 있다.

26일 헤럴드경제 취재에 따르면 공사는 피해자를 포함해 직원들의 주소 등 개인정보를 내부망에 올릴 때 별도의 동의를 받지 않았다. 공사 관계자는 “행정안전부와 고용노동부에서 관할하는 개인정보 가이드라인에 따르면, 근로계약 이행을 위한 필수정보는 별도의 동의가 필요치 않는다”며 “이에 따라 동의를 받지 않았다”고 말했다.

하지만 법조계 해석은 달랐다. 개인의 집 주소는 업무에 필수적인 정보라고 보기 힘들기 때문에 개인정보 위배에 해당할 수 있다고 지적했다. 법무법인 대한중앙의 강대규 변호사는 “개인정보보호법에 따라, 개인정보처리자는 개인정보의 처리 목적을 명확히 해야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집해야 한다”며 “업무 연관성 없이 주소를 동의 없이 공개하는 것은 위법 소지가 있다”고 주장했다.

만약 업무 연관성이 인정돼 주소를 취득한 것 자체가 적법하다 할지라도, 정보를 제3자에 공개하는 것은 반드시 정보주체의 동의가 필요하므로 전주환이 회사 내부망에 접속해 주소를 확인할 수 있도록 방치한 것은 위법하다는 분석도 있다. 한국여성변호사회 공보이사인 장윤미 변호사는 “피해자 피의자 관계로 직위해제 신분인 전주환을 제3자로 보고 사전에 차단을 했어야 하지 않았느냐는 비난은 피할 수 없을 것”이라며 “내부 지침으로 이런 문제를 막아야 한다”고 지적했다.

실제 고용부의 ‘개인정보 제3자 제공 가이드라인’에 따르면, 수집한 개인정보를 제3자에 제공하기 위해선 정보주체의 동의를 받아야 한다. 다만 정보주체 또는 정보를 제공받아야 할 제3자에게 생명 또는 재산의 큰 위험 등 불가피한 경우에 한해 동의 없이 제공을 허용한다.

개인정보보호위원회도 조사에 나섰다. 개인정보위는 이날 본지 문의에 “정당한 업무권한자가 아닌 모든 직원이 집 주소 등 민감할 수 있는 개인정보에 접근하는 것은 문제가 있어 보인다”며 “따라서 이번 조사를 신속히 진행, 문제점을 파악하고 조사 결과를 반영해 후속 대책을 마련하겠다”는 방침을 전달했다.

문제가 불거지자 공사는 뒤늦게 개인정보 정비에 나섰다. 김정만 공사 정보운영센터장은 이달 23일 브리핑을 통해 “20일 공사 차원에서 직위해제자의 내부망 접속이 차단되도록 조치를 취했다”고 밝혔다.

앞서 경찰에 따르면 전주환은 지난달 18일부터 범행일인 이달 14일까지 총 4차례에 걸쳐 서울교통공사 내부망에 접속해 피해자의 옛 집 주소, 근무 정보 등을 확인했다. 이달 5일부터 14일까지는 5차례 피해자의 옛 집 주소 근처를 찾았다.

이와 관련, 공사를 압수수색한 검찰은 확보한 자료를 토대로 전주환이 회사 내부망에 접속할 수 있었던 과정과 정보가 허술하게 노출·관리된 경위 등을 조사할 예정이다. 채상우 기자

123@heraldcorp.com

Copyright ⓒ 헤럴드경제 All Rights Reserved.