지난해 개인정보 유출 1억건 넘어…유출 조사, 더 빠르고 공정해진다

개인정보위, 신속조사 및 조사역량 강화 방안 발표
사건관리·처리절차 등 5대 과제 추진

지난해 민간·공공 기관 총 447곳에서 유출된 개인정보 건수가 역대 최대인 1억355만여건에 달한 가운데 정부가 침해 사건에 대한 신속한 조사와 역량 강화에 칼을 빼 들었다.

2일 개인정보보호위원회는 '개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안'을 마련하고 ▲전략적 사건 관리 ▲신속 처리절차 도입 ▲조사절차 투명성 제고 ▲조사역량 강화 ▲처리현황 공개 등 5대 과제를 추진한다고 밝혔다. 사고에 신속하고 전문적으로 대응하는 동시에 공정성과 투명성을 높인 조사체계를 구축하기 위해서다.

송경희 개인정보보호위원장이 29일 서울 종로구 정부서울청사에서 열린 개인정보보호위원회 전체회의에 참석해 발언하고 있다. 2026.7.29 조용준 기자

중요사건 12개월, 경미사건 3개월 이내 처리 원칙

중요사건은 12개월 내, 일반사건과 경미사건은 각각 6개월과 3개월 이내에 처리한다는 원칙을 세웠다. 100만명 이상의 정보가 유출되는 등 대규모 피해가 발생했거나 주요 공공시스템 해킹 등 사회적 파급력이 큰 중요사건은 전담 조사단 구성 등을 통해 집중 처리하는 등 조사 역량을 집중한다. 사고 발생 즉시 현장 대응반을 구성해 유출 영향 시스템을 파악하고 관련 증거를 보존하는 한편, 개인정보 유출 통지와 추가 피해 확산 방지 조치도 함께 점검해 조사와 피해 예방이 동시에 이뤄지도록 할 계획이다.

일반사건은 사건별 특징에 따라 비슷한 사건을 유형화하고 위반행위와 제재 기준을 정형화해 처리한다. 개인정보위가 상반기 말 기준 처분이 완료된 유출사건 총 621건을 분석한 결과, 민간의 경우 해킹(235건)·업무과실(192건)·시스템 오류(51건), 공공은 업무과실(79건)·해킹(33건)·시스템오류(9건) 순으로 확인됐다.

아울러 경미한 사건은 중소·영세 사업자 등에 대한 최초 과태료 면제, 기술지원을 통해 사고 원인 개선과 재발 방지에 초점을 둔 사후관리 체계로 전환한다.

빠른 사건 처리를 위해 현재 과태료 사건 위주로 처리 중인 소위원회는 1억원 이하 소액 과징금 사건까지 맡는다. 개인정보위가 지금까지 과징금을 부과한 200건의 사건 가운데 과징금이 1억 미만인 사건은 107건으로 과반수를 차지한다. 과징금이 100억원을 넘긴 사건은 10건이었다. 향후 운영성과를 바탕으로 10억원 이하까지 처리 범위를 늘려갈 예정이다. 이를 통해 과징금 부과 건의 54~85%를 소위원회에서 처리해 신속한 처분이 가능할 것으로 기대하고 있다.

조사 과정에 대한 절차적인 투명성도 높인다. 사건 접수 초기에 부서별 전담 인력을 지정해 조사 착수 여부를 신속하게 결정하고, 사안이 경미해 조사에 착수하지 않고 종결하는 경우에는 조사 대상자에게 알린다. 조사 기간이 연장되더라도 6개월 또는 12개월 단위로 통지해 예측 가능성을 높인다. 대규모거나 복잡한 사건은 사실관계 조사결과를 사전 설명하고, 조사결과 통지 이후에도 공식적인 의견제시 기회를 충분히 제공한다.

조사관들의 역량도 강화한다. 분야별 맞춤형 교육과 신규 조사관 기초 교육을 강화해 전문 조사관을 양성하고, 핵심 조사관은 전문관으로 지정, 순환보직으로 인한 업무 단절을 보완한다. 강대현 개인정보위 조사총괄과장은 "핵심 조사관 양성을 위한 체계를 갖춰 불필요한 순환 보직을 산업에 대한 이해도를 키울 것"이라며 "조사관 양성 과정에서 각자의 전문성을 강화하는 커리어 플랜을 세워 관리하려고 한다"고 설명했다.

각 기관이 사고를 예방하고 개인정보 보호 수준을 높일 수 있도록 사건 처리현황도 투명하게 공개하기로 했다. 처분 건수 위주로 공개하던 개인정보위 처리현황은 연도별·기관별 사건 접수 및 처분 현황과 평균 조사기간, 소송 제기 현황, 주요 유출 사례 등까지 공개 범위를 늘린다. 과징금 산정 과정 역시 중대성판단, 가중감경률에 더해 부과기준율과 새로 도입된 투자감경률까지 공개한다.

유출건수 작년 1억355만여건...'역대 최대치'

개인정보위 이번 조치는 최근 인공지능(AI) 기술의 확산과 함께 개인정보를 대상으로 한 공격이 고도화·지능화되면서 개인정보 유출·침해 사고가 빠르게 증가하고 있는 상황을 반영한다. 개인정보위는 지난해 개인정보 유출이 발생한 민간·공공 기관이 총 447곳, 유출된 개인정보 건수는 1억355만여건에 달해 역대 최대를 기록했다고 밝혔다. 이용자 수가 많은 주요 이동통신사와 e커머스 등에서 중대 유출사고가 잇따라 터진 영향이다.

올해 역시 상반기에만 432개 기관에서 유출 신고가 접수돼 약 2980만건의 개인정보가 새 나간 것으로 집계됐다. 올해 상반기 신고건수는 지난해 연간 신고건수에 육박한다.

이에 따른 개인정보위의 연도별 처분 건수도 매년 증가해 지난해 421건의 처분이 이뤄지면서 처음으로 400건을 넘었다. 개인정보위의 한정된 조사관 인력 수에 비해 유출 신고가 급증하면서 조사 착수부터 의결까지 걸리는 시간은 1년에 육박한다. 지난해 조사 착수 후 의결까지 걸리는 평균 소요기간은 345일이었고, 올해 1~6월까지는 369일이었다.

송경희 개인정보위 위원장은 "개인정보 유출·침해 사건이 급증하고 대규모·복잡 사건이 증가하는 상황에서는 모든 사건을 동일한 방식으로 처리하기보다 사건의 중요도와 특성에 맞게 조사역량을 배분하는 것이 필요하다"면서 "신속성뿐만 아니라 공정성과 투명성을 갖춘 조사체계를 구축하겠다"라고 밝혔다.

이명환 기자 lifehwan@asiae.co.kr