[4차산업행정뉴스=서정용기자]      서울시 공공자전거 ‘따릉이’ 개인정보 유출 피해자 약 462만 명에게 서울시설공단이 1인당 5천 원 상당의 30일 정기권을 지급하기로 하면서 또 다른 논란이 제기되고 있다.

쟁점은 단순히 ‘5천 원이 충분하냐’는 데 그치지 않는다.

서울시설공단은 서울시 산하 지방공기업이다. 따라서 개인정보 관리 실패에 따른 보상과 보안 강화에 필요한 비용이 어떤 회계와 재원에서 부담되는지, 사고 책임자나 관련 업체에 대한 구상·배상 책임을 별도로 물을 수 있는지를 투명하게 밝혀야 한다는 지적이 가능하다.

-“231억 원 현금 지출로 단정해서는 안 돼”
서울시설공단은 피해 회원 약 462만 명에게 정상가격 5천 원 상당의 따릉이 30일 정기권을 제공한다.

단순 계산하면 이용권 액면가는 최대 약 231억 원에 이른다.

그러나 이는 231억 원의 현금을 시민 세금으로 직접 지급한다는 의미가 아니다.

이용권은 공단이 운영하는 따릉이 서비스의 사용권이기 때문에 실제 추가 비용은 이용률, 운영비 증가분, 시스템 비용 등에 따라 액면가와 달라질 수 있다.

따라서 재정 전문가 관점에서는 ‘231억 원 상당의 이용권을 제공한다’는 것과 ‘231억 원의 혈세가 투입된다’는 것을 구별해야 한다.

-“그러나 공공기관의 사고비용은 결국 공공재정 문제”
그렇다고 재원 문제를 가볍게 볼 수도 없다.

서울시설공단과 같은 공공기관에서 개인정보 관리 실패로 사고가 발생하면 피해 통지, 시스템 복구, 보안 강화, 법률 대응, 피해구제 등에 비용이 발생한다.

이러한 비용이 공단 자체 재원이나 서울시 지원 재원에서 충당된다면 궁극적으로는 공공서비스 재정과 연결된다.

때문에 전문가들은 사고가 발생했을 때 ‘얼마를 보상할 것인가’와 함께 ‘그 비용을 누가 책임질 것인가’를 따져야 한다고 지적한다.

개인정보 관리 책임자의 고의·중대한 과실이 있었는지, 외부 보안업체의 계약상 책임은 없는지, 시스템 구축·관리 과정에 문제가 있었는지 등을 조사한 뒤 책임 소재에 따라 비용 부담 문제도 검토해야 한다는 것이다.

-시민이 피해자인데 시민 재원으로 수습?
이번 사건에서 가장 민감한 대목은 바로 이 부분이다.

개인정보를 맡긴 시민은 피해자다.

그런데 관리기관의 보안 실패로 발생한 사고를 수습하는 비용까지 결과적으로 공공재정에서 부담한다면 ‘시민이 피해를 보고 시민의 재원으로 사고까지 수습하는 구조가 아니냐’는 비판이 제기될 수 있다.

따라서 서울시와 서울시설공단은 보상안 발표에 그칠 것이 아니라 보상에 따른 실제 추가 비용이 얼마인지, 어느 예산·회계에서 부담하는지, 사고 책임자 또는 관련 업체에 비용을 청구할 여지가 있는지까지 공개할 필요가 있다.

-전문가들이 따져봐야 할 4가지
첫째, 보상 이용권의 실제 재정 부담액은 얼마인가.
462만 명에게 5천 원권을 지급하면 액면가는 231억 원이지만 실제 추가 비용은 얼마인지 별도로 산출해야 한다.

둘째, 보상 재원은 어디에서 나오는가.
서울시설공단 자체 예산인지, 서울시 지원 예산인지, 별도의 손해배상·보험 재원이 있는지를 확인해야 한다.

셋째, 관리 책임자나 관련 업체에 비용 책임을 물을 수 있는가.
보안 관리상 과실이 확인된다면 공공재정으로 모든 비용을 떠안는 것이 적절한지 검토가 필요하다.

넷째, 향후 2차 피해 발생 시 누가 책임지는가.
현재까지 제3자 유통이나 2차 피해는 확인되지 않았다는 것이 공단의 입장이지만 개인정보는 한번 유출되면 장기간 악용될 가능성을 배제하기 어렵다.

-“보상보다 책임 규명이 먼저다”
이번 따릉이 개인정보 유출 사태에서 중요한 것은 5천 원이라는 금액만이 아니다.

462만 명의 개인정보가 왜 유출됐는지, 왜 조기에 발견하지 못했는지, 누가 관리 책임을 져야 하는지, 사고 수습 비용을 누가 부담할 것인지를 명확히 규명하는 것이 우선이다.

특히 시민에게 피해가 발생한 공공기관 사고를 다시 시민의 부담으로만 해결하는 구조가 반복되지 않도록 서울시와 서울시설공단은 보상 재원과 실제 소요 비용, 책임자에 대한 후속 조치까지 투명하게 공개해야 한다.

결국 이번 사건은 ‘5천 원짜리 정기권’의 문제가 아니라 공공기관의 개인정보 관리 실패에 따른 책임을 누구에게, 어떤 방식으로 물을 것인가의 문제다.