대규모 개인정보 유출 10건 중 9건 '안전조치 의무' 위반

대규모 개인정보 유출사고 10건 중 9건에서 개인정보보호법상 안전조치 의무 위반이 확인된 것으로 나타났다. 사고 건수는 줄었지만 한 번에 수천만건의 정보가 유출되는 대형사고가 이어지면서 전체 유출 규모는 급증했다.

김종민 의원. 김 의원실 제공

국회 산업통상자원중소벤처기업위원회 소속 김종민 의원(세종갑)이 1일 개인정보보호위원회로부터 제출받은 '2021~2026년 6월 유출사고 처분 현황'에 따르면 개인정보 유출로 처분된 525건 가운데 390건(74.3%)에서 개인정보보호법 제29조에 따른 안전조치 의무 위반이 확인됐다.

특히 100만건 이상 개인정보가 유출된 대형사고는 19건 가운데 17건(89.5%)이 안전조치 의무를 위반했다. 100만건 미만 사고의 위반 비율(73.8%)보다 15.7%포인트 높은 수치다.

개인정보보호법 제29조는 개인정보의 분실·도난·유출 등을 막기 위해 내부관리계획 수립, 접근통제, 중요정보 암호화, 접속기록 보관 등의 안전조치를 요구하고 있다.

대형사고가 전체 유출 규모를 좌우하는 현상도 뚜렷했다. 2025년 처분된 93건에서 확인된 개인정보 유출 규모는 4815만8734개로, 2024년 590만7863개의 약 8.2배로 늘었다. 반면 처분 건수는 103건에서 93건으로 9.7% 감소했다.

2025년에는 SK텔레콤 사건의 유출 규모가 3164만4648개로 전체의 65.7%를 차지했다. 올해 상반기에도 쿠팡 한 곳에서 3322만2472개가 유출돼 전체 유출 규모 4374만3251개의 75.9%에 달했다. 단일 사고가 해당 연도 전체 유출 규모의 3분의 2 이상을 차지한 셈이다.

이번 통계는 사고 발생 시점이 아닌 개인정보위의 처분연도를 기준으로 집계됐다. 또 유출 건수에는 동일인의 정보가 중복 포함될 수 있어 실제 피해자 수와는 차이가 있다.

김 의원은 "대형 유출사고 10건 중 9건에서 안전조치 의무 위반이 확인됐고, 그 비율도 전체 유출사고보다 높았다"며 "대형 유출을 불가피한 해킹으로만 볼 것이 아니라 기업과 기관이 기본적인 보호조치를 제대로 이행했는지부터 점검해야 한다"고 말했다. 이어 "개인정보보호법 제29조가 정한 안전조치는 대규모 개인정보 유출을 막기 위한 최소한의 방어선"이라며 "대규모 개인정보처리시스템을 중심으로 안전조치 이행 여부를 사전에 점검하고, 미비점이 확인된 기관과 기업은 개선이 완료될 때까지 관리해야 한다"고 강조했다.

문혜원 기자 hmoon3@asiae.co.kr