[영화로 세상을 보다 5월 셋째 주] 동의는 했지만 통제는 없었다

■ 데이터를 쓰는 쪽과 동의하는 쪽

카림 아메르·제한 누자임의 2019년 다큐멘터리 「거대한 해킹」은 페이스북과 케임브리지 애널리티카 사건을 다룬다. 넷플릭스의 공식 소개는 사건의 여러 당사자를 따라가며 개인정보의 이용 실태를 추적하는 작품이라고 설명한다.

DOC NYC 영화제의 소개는 케임브리지 애널리티카 내부 인사였던 브리트니 카이저를 주요 인물로 꼽는다. 미국 대선과 브렉시트에 영향을 주려 했던 활동도 다룬다. 영향력을 행사하려 했다는 사실과 그 활동이 선거 결과를 결정했다는 주장은 다르다. 작품 소개만으로 실제 효과의 크기를 단정할 수는 없다.

감독들은 PBS 인터뷰에서 이용자가 약관에 동의하면서도 자신의 데이터에 무슨 일이 일어나는지 충분히 알기 어렵다고 말했다. 데이터 권리를 요구하며 케임브리지 애널리티카를 상대로 소송을 낸 데이비드 캐럴의 사례도 설명했다. 클릭으로 표시한 동의와 이후 데이터의 사용을 파악할 능력 사이에는 간격이 있다.

「거대한 해킹」(2019)의 영화 이미지. DOC NYC 작품 소개에 실린 자료. 제공: Netflix.

■ 산정 기준은 5월, 과징금 특례는 9월

개인정보보호위원회의 5월 12일 브리핑은 예방 중심 개인정보 관리체계 전환 계획을 설명했다. 중대·반복 사고에 매출액 최대 10%까지 과징금을 부과하는 특례는 9월 시행 예정이라고 밝혔다. 질의응답에서는 시행 예정일을 9월 11일로 확인했다. 5월 19일 기사 시점에 이미 시행 중인 제도로 읽으면 안 된다.

10%는 모든 위반에 적용하는 정률도 아니다. 개인정보위는 법에서 정한 중대·반복 위반 등의 요건에 해당하는 경우에 적용하는 상한이며 그 밖의 경우에는 기존 매출액 3% 과징금 체계를 유지한다고 설명했다. 부과 요건을 충족하는지와 실제 과징금을 얼마로 정하는지는 별도로 판단한다.

5월 18일 발표에 따르면 다음 날 시행하는 시행령·고시는 과징금 산정의 기초가 되는 매출액을 바꾼다. 직전 사업연도 매출액과 직전 3개 사업연도의 연평균 매출액 중 큰 금액을 택한다. 매우 중대한 위반행위에서는 감경의 전부 또는 일부를 적용하지 않을 수 있도록 했다.

발표는 시행 이후 발생한 위반행위에 개정 규정을 적용하며 시행 전에 종료된 위반행위에는 종전 규정을 적용한다고 명시했다. 새 기준을 발표했다는 이유만으로 이미 종료된 사건의 과징금을 모두 다시 계산하는 것은 아니다.

■ 점검 계획과 예방 효과를 확인할 때

같은 5월 12일 브리핑은 주요 공공시스템 387개와 100만 명 이상의 개인정보를 처리하는 통신·복지 등 고위험 분야를 개인정보위가 직접 점검·관리하겠다고 밝혔다. 387개는 기관 수가 아니라 시스템 수다. 개인정보위는 이 시스템들이 약 320개 기관에 속한다고 설명했다.

질의응답에서 기자는 고위험 시스템 1,700개의 점검 일정도 물었다. 개인정보위는 한꺼번에 점검하기 어렵다며 시스템 규모, 이용자 수, 민감정보, 접속자 수 등을 기준으로 우선순위를 정하겠다고 답했다. 이 답변만으로 387개와 1,700개를 더해 중복 없는 전체 점검 대상을 계산하거나, 이미 점검을 마쳤다고 설명할 수는 없다.

개인정보위가 제시한 방향은 기업이 사고 뒤 부담할 비용뿐 아니라 사고를 막는 데 쓸 돈도 고려하게 하겠다는 것이다. 그러나 기업의 예방 투자가 실제로 늘었는지, 유출 사고가 줄었는지는 시행 이후 자료로 확인할 문제다. 상한을 높였다는 발표가 그 효과까지 입증하지는 않는다.

런던 웨스트민스터 궁전 인근 CCTV, 2014년 8월 6일. 개인정보 수집을 설명하기 위한 자료 사진이며 한국 사건 현장은 아니다. 사진: MFleischhacker / Wikimedia Commons · CC BY-SA 4.0 · 화면 비율에 맞춰 잘라 표시.

■ 동의 이후에 남는 책임

「거대한 해킹」의 정치 광고 논란과 한국의 개인정보 보호 제도는 대상과 법적 배경이 다르다. 함께 살펴볼 지점은 데이터를 모으고 이용하는 쪽의 책임이다. 이용자가 동의했는지만 확인해서는 그 뒤의 이용 내역과 관리 방식까지 알 수 없다.

앞으로 확인할 것은 실제 과징금 처분에 어떤 요건과 산정 기준이 적용됐는지, 고위험 시스템의 점검이 어디까지 진행됐는지, 기업이 보호 조치를 어떻게 바꿨는지다. 이용자의 클릭 이후에도 데이터의 흐름을 설명하고 안전하게 관리할 책임은 남는다.

작품 정보 · 상영시간은 Google Play의 114분 표기를 따랐다. DOC NYC 영화제는 113분으로 안내한다.

2026년 9월 10일 정정 · 과징금 특례와 산정 기준의 시행일·적용 범위를 구분했다. 점검 대상 수의 관계와 예방 효과를 단정한 설명을 고치고 근거를 확인하지 못한 영화의 시작·마지막 장면 서술을 공개 소개와 감독 인터뷰에 근거한 설명으로 바꿨다.