매일안전신문 - 개인정보 침해사건 처리기간 기준 마련…중요 12개월·일반 6개월·경미 3개월

▲ 개인정보보호위원회 명패 [개인정보보호위원회 제공]

개인정보 유출·침해사고를 중요도에 따라 구분해 중요사건은 12개월, 일반사건은 6개월, 경미사건은 3개월 이내 처리하는 것을 원칙으로 하는 조사체계가 도입된다. 100만명 이상 개인정보가 유출된 사건 등은 전담 조사단을 구성해 집중 조사하고, 경미한 사건은 중소·영세사업자 등에 대한 최초 과태료 면제와 기술지원 중심으로 처리하는 방안이 추진된다.

개인정보보호위원회는 2일 개인정보 유출·침해사건의 조사 속도와 전문성을 높이기 위해 전략적 사건 관리, 신속 처리절차 도입, 조사절차 투명성 강화, 조사역량 강화, 처리현황 공개 등 5개 과제를 단계적으로 추진한다고 밝혔다.

조사체계를 손질한 배경에는 개인정보 유출사고 증가가 있다. 개인정보위에 접수된 유출 신고는 2022년 167건에서 2023년 318건, 2025년 447건으로 늘었다. 올해는 6월까지 이미 432건이 접수돼 지난해 연간 신고 건수에 근접했다.

개인정보위가 지난 5월 발표한 2025년 개인정보 유출 신고 분석에서도 지난해 신고 447건은 2024년 307건보다 45.6% 증가한 것으로 집계됐다. 지난해 조사·처분은 227건이었으며 이 가운데 과징금은 40건, 총 1,677억원이 부과됐다. 과태료는 125건, 약 5억9천만원이었다.

새 조사체계에서는 피해 규모와 사회적 영향에 따라 사건을 중요·일반·경미 사건으로 나눈다. 100만명 이상 개인정보가 유출됐거나 사회적 관심과 우려가 큰 사건, 주요 공공시스템 해킹 등은 중요사건으로 분류한다. 중요사건에는 전담 조사단 등 조사역량을 집중하고 12개월 이내 처리를 원칙으로 한다.  

중요사건이 발생하면 초기 현장 대응도 강화한다. 사고 발생 직후 현장 대응반을 구성해 유출 영향을 받은 시스템과 관련 증적을 확인·보존하고, 개인정보 유출 통지 여부와 추가 피해 확산을 막기 위한 조치도 함께 점검한다.

현행 개인정보 보호법은 개인정보가 유출된 사실을 알게 된 개인정보처리자가 해당 정보주체에게 유출 항목과 시점·경위, 피해 최소화 방법, 대응조치와 피해구제 절차 등을 알리도록 규정하고 있다. 시행령상 통지는 원칙적으로 유출 사실을 안 때부터 72시간 이내 이뤄져야 한다. 1천명 이상의 개인정보가 유출되거나 민감정보·고유식별정보가 유출된 경우, 외부의 불법 접근으로 유출된 경우에는 72시간 이내 개인정보위 또는 한국인터넷진흥원에 신고해야 한다.

일반사건은 사건의 성격에 따라 동종·유사 사례를 유형화한 뒤 위반행위와 제재기준을 정형화해 연계·일괄 처리한다. 개인정보위가 처분을 완료한 유출사건 621건을 분석한 결과 민간에서는 해킹 235건, 업무과실 192건, 시스템 오류 51건 순으로 나타났다. 공공부문은 업무과실 79건, 해킹 33건, 시스템 오류 9건이었다.

경미사건은 처벌 중심에서 사고 원인 개선과 재발 방지 중심으로 처리방식을 바꾸는 방안을 추진한다. 중소·영세사업자 등에 대해서는 최초 과태료를 면제하고 피해 확산 방지와 사고 복구를 위한 컨설팅 등 기술지원을 제공하는 방안이 포함됐다. 개인정보위는 관련 재발방지 지원 예산으로 2027년 정부안 기준 22억원을 제시했다.

사건 심의 방식도 바뀐다. 현재 과태료 사건을 주로 다루는 소위원회의 처리 범위를 소액 과징금 사건까지 넓혀 전체회의에 집중된 사건을 분산할 계획이다. 우선 예상 과징금액 1억원 이하 사건부터 소위원회에서 처리하고, 운영 결과를 토대로 10억원 이하 사건까지 단계적으로 확대한다.

개인정보위가 집계한 과징금 부과사건 200건 가운데 1억원 미만은 107건으로 전체의 54%를 차지했다. 3억원 미만까지 범위를 넓히면 136건으로 68%, 10억원 미만까지는 169건으로 85%에 해당한다. 개인정보위는 이 같은 사건을 소위원회가 처리하도록 범위를 단계적으로 확대한다는 계획이다.

조사가 장기화되는 과정에서 조사 대상자가 진행 상황을 알기 어려웠던 절차도 손질한다. 사건이 접수되면 초기 단계부터 부서별 전담 인력을 지정해 조사 착수 여부를 결정하고, 경미한 사안으로 판단해 조사 없이 종결할 경우에도 해당 사실을 조사 대상자에게 알리도록 할 방침이다.

조사기간이 길어지면 진행 상황도 정기적으로 통지한다. 사건에 따라 6개월 또는 12개월 단위로 연장 사실을 알리고 조사 착수, 자료제출 요구, 현장조사 등에 대해서도 개별 통지를 원칙으로 한다. 대규모·복잡 사건은 사실관계에 대한 조사 결과를 사전에 설명하고, 최종 조사 결과가 통지된 뒤에도 공식적으로 의견을 제출할 수 있는 기회를 제공할 계획이다.

조사관의 전문성을 높이기 위한 내부 체계도 마련한다. 분야별 맞춤형 교육과 신규 조사관 기초교육을 강화하고, 핵심 조사관은 전문관으로 지정해 순환보직에 따른 업무 단절을 보완한다. 한국인터넷진흥원의 신고관리시스템과 개인정보위 조사정보시스템, 포렌식 랩을 연계해 조사에 필요한 자료 활용도 확대한다. 중장기적으로는 인공지능 검색 데이터베이스를 조사에 활용하는 방안도 검토한다.

사건 처리 결과를 공개하는 범위도 넓어진다. 현재 처분 건수 중심으로 공개하는 방식에서 연도별·기관별 사건 접수와 처분 현황, 평균 조사기간, 소송 제기 현황, 주요 개인정보 유출 사례 등을 함께 공개할 계획이다. 과징금 산정 과정에서도 중대성 판단과 가중·감경률뿐 아니라 부과기준율과 투자감경률까지 공개 대상으로 확대한다.

개인정보위가 올해 6월 말까지 집계한 조사·처분 현황을 보면 2020년부터 올해 상반기까지 모두 1,794건이 처분됐다. 사건 착수부터 의결까지 평균 소요기간은 2020년 267일에서 2023년 427일까지 늘었다가 2025년 345일, 올해 상반기 369일로 집계됐다. 이번에 중요·일반·경미 사건별 처리기간 원칙을 마련하는 것과 맞물려 앞으로는 실제 사건별 처리현황과 평균 조사기간도 공개 대상에 포함된다.

송경희 개인정보보호위원장은 “개인정보 유출·침해 사건이 급증하고 대규모·복잡 사건이 증가하는 상황에서는 모든 사건을 동일한 방식으로 처리하기보다 사건의 중요도와 특성에 맞게 조사역량을 배분하는 것이 필요하다”며 “중요한 사건에는 충분한 조사역량을 투입하고 일반·경미 사건은 신속하게 처리하되, 처리과정은 보다 명확하고 예측 가능하게 운영하고, 그 결과를 투명하게 공개함으로써 신속성 뿐만 아니라 공정성과 투명성을 갖춘 조사체계를 구축하겠다”고 밝혔다.

[저작권자ⓒ 매일안전신문. 무단전재-재배포 금지]