[비즈니스포스트] 이동통신3사의 해킹 사고 조사 과정에서 드러난 증거 은닉과 허위자료 제출 의혹이 경찰 수사로 넘어간 뒤, 수사 결론이 늦어지면서 과학기술정보통신부와 개인정보보호위원회의 일부 후속 제재 처분이 함께 미뤄지고 있다.

개인정보위는 정보유출 조사 착수 전 증거를 은닉·폐기한 행위에 형사처벌과 과징금을 부과하고, 자료 보전명령 제도를 도입하는 등 제재 강화를 추진하고 있다.  

하지만 새 제도가 도입되더라도 향후 해킹 사고에서 경찰 수사가 장기화하는 문제까지 해소하기에는 한계가 있을 것으로 예상된다.

이에 따라 침해 사고 초기부터 증거를 확보하고 책임자를 직접 조사할 수 있도록 한국인터넷진흥원(KISA)와 개인정보위에 특별사법경찰 권한을 부여해야 한다는 목소리가 나온다.

3일 정보통신 업계 취재를 종합하면 과기정통부와 개인정보위는 SK텔레콤, KT, LG유플러스의 해킹 사고를 조사하는 과정에서 확인한 자료 훼손과 허위 제출 정황을 잇달아 경찰에 수사 의뢰했으나, 경찰 수사가 장기간 결론을 내리지 못하면서 관련 행정처분도 지연되는 사례가 이어지고 있다.

과기정통부 민관합동조사단은 2025년 7월 SK텔레콤이 자료보전 명령을 받은 뒤 서버 2대를 포렌식 분석이 어려운 상태로 조치해 제출했다고 판단하고, 정보통신망법상 자료보전 명령 위반 혐의로 경찰 수사의뢰 방침을 밝혔다.

KT도 서버 폐기 시점을 허위로 제출하고 백업 로그 존재를 뒤늦게 보고한 사실이 확인돼 민관합동조사단이 정부 조사 방해의 고의성이 있다고 판단하고 2025년 11월 수사기관에 수사를 의뢰했다.

LG유플러스도 한국인터넷진흥원이 침해 정황을 안내한 뒤 관련 서버의 운영체제를 재설치하거나 서버를 폐기한 행위가 부적절하다고 판단돼 과기정통부가 2025년 12월 위계에 의한 공무집행방해 혐의로 경찰에 수사를 의뢰했다.

개인정보위도 지난 7월 KT가 악성코드 감염 서버의 로그를 삭제하고 조사 과정에서 거짓 자료를 제출한 행위를 개인정보 보호법상 조사 방해로 판단해 수사기관에 고발했다. 

개인정보위는 LG유플러스에 대해서도 개인정보 유출 정황을 인지한 뒤 개인정보위 조사 착수 전에 관련 서버의 운영체제를 재설치하고 서버를 폐기한 행위가 증거 인멸에 해당할 가능성이 있다고 보고 경찰에 수사를 의뢰했다.

하지만 지난해부터 이어진 통신3사 관련 경찰 수사 가운데 SK텔레콤에 대한 자료보전명령 위반 혐의에 대한 경찰 수사만 올해 6월 '무혐의'로 결론 났고, 나머지는 아직도 최종 결론이 나오지 않으면서 삭제된 자료의 고의성과 책임자 관여 여부, 추가 개인정보 유출 범위를 확인하기 위한 일부 조사와 후속 처분도 함께 늦어지고 있다.

이에 경찰에 수사 의뢰가 과학기술정보통신부와 개인정보보호위원회의 조사 한계를 보완하기보다 해킹 사건을 장기간 묶어두는 결과를 낳을 수 있다는 지적이 나온다. 

경찰 수사가 길어질수록 기업의 책임 규명뿐 아니라, 피해자 구제와 후속 제도 개선도 함께 늦어질 가능성이 높기 때문이다.

개인정보위도 이런 규제 사각지대를 줄이기 위해 정보유출 조사 과정에서의 증거 은닉과 폐기에 대한 제재를 강화하고 있다.

현행 개인정보보호법은 개인정보위의 조사 착수 뒤 자료를 숨기거나 없애는 행위에는 형사처벌이나 과태료를 부과할 수 있지만, 조사 착수 전 행위에 적용할 제재 규정은 없다.

이에 개인정보위는 조사 착수 전 증거 은닉·폐기에도 형사처벌 규정을 마련하고, 해당 사업자에게 전체 매출액의 3%까지 별도 과징금을 부과하는 방안을 추진하고 있다.

증거 은닉·폐기 사실을 신고한 사람에게 포상금을 지급하고 조사 비협조나 시정명령 미이행 때 하루 매출액의 0.3%에 해당하는 이행강제금을 부과하는 방안도 마련한다. 침해사고가 발생하면 개인정보위가 서버와 로그 등에 자료보전명령을 내릴 수 있도록 개인정보보호법도 개정한다.

하지만 새 제도가 도입되더라도 경찰 수사 장기화 문제까지 해소하기는 어렵다는 분석이 나온다.

형사처벌과 은폐 과징금, 자료 보전명령도 초기 증거 훼손을 막는 예방책일 뿐, 이미 사라진 자료를 복구하거나 경찰 수사 속도를 높이는 직접적 수단은 될 수 없기 때문이다.

이에 따라 개인정보위와 한국인터넷진흥원에 특별사법경찰 권한을 부여해 침해사고 초기부터 강제수사에 나설 수 있도록 해야 한다는 목소리가 거세지고 있다.

특별사법경찰은 전문성이 필요한 특정 분야의 법률 위반행위를 담당 행정기관이 직접 수사할 수 있도록 제한된 수사권을 부여하는 제도다. 

특사경이 도입되면 사업자가 사고를 신고하지 않거나 자료 제출을 거부하는 상황에서도 서버와 로그를 확보하고, 관련자를 조사해 증거 훼손의 고의성과 책임자 관여 여부를 규명할 수 있다.

개인정보위의 은폐 과징금과 자료보전명령이 기업의 조사 방해를 예방하는 장치라면, 특사경은 감독기관의 직접 조사 역량을 보완하는 수단이 될 수 있을 것으로 전망된다.

이재명 대통령도 2025년 12월 과기정통부·개인정보위 업무보고에서 개인정보위와 한국인터넷진흥원에 강제조사 또는 특사경 권한을 부여할 필요성에 공감하는 태도를 보였다.

당시 송경희 개인정보보호위원장은 “현 제도상으로 강제 조사권이 없는데 자료 확보에 한계가 많다”고 말했다. 이에 이 대통령은 “개인정보보호위원회가 조사 권한을 부여받는 것이 매우 정상적인 것 같다. 그렇게 해야 할 것 같기는 하다”고 답했다.

다만 대통령의 필요성 언급 이후 실제 논의는 기관별로 다르게 진행되고 있는 것으로 파악된다. 

개인정보위는 현재 자체 특사경 도입 절차를 추진하고 있지 않은 반면 과기정통부 산하 한국인터넷진흥원은 관계부처 및 이해관계자들과 관련 논의를 이어가고 있다.

개인정보위 관계자는 비즈니스포스트와 통화에서 “개인정보위 차원에서 (특사경 도입 논의를) 별도로 진행하거나 예정된 사항은 아직 없다”고 말했다.

한국인터넷진흥원 관계자는 “현재 구체적으로 밝힐 수 있는 내용은 없다”면서도 “특사경과 관련해 관계부처 등 이해관계자들과 이야기하고 있는 중”이라고 말했다. 조승리 기자