 ▲ 개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안 주요 과제(자료=개인정보보호위원회) © |
정부가 개인정보 유출·침해 사고에 보다 신속하고 전문적으로 대응하는 동시에, 사건 처리의 공정성과 투명성을 높여 국민과 기업이 신뢰할 수 있는 조사체계를 구축하기로 했다.
개인정보보호위원회는 2일 이 같은 내용을 담은 ‘개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안’을 마련해 단계적으로 추진한다고 밝혔다. 100만 명 이상의 정보가 유출된 ‘중요사건’은 12개월 내 처리를 목표로 관리하고, 일반·경미 사건은 각각 6개월, 3개월 내 처리를 원칙으로 한다.
개인정보위는 최근 인공지능(AI) 기술이 확산되면서 개인정보를 노린 공격이 고도화·지능화돼 유출·침해 사고가 빠르게 늘고 있다고 설명했다. 개인정보 유출 신고는 2022년 167건에서 2023년 318건으로 늘었고, 2025년에는 447건에 이르렀다. 올해는 상반기에만 432건이 접수돼 지난해 연간 신고 건수에 육박한다.
특히 통신·플랫폼·유통처럼 대규모 개인정보를 보유한 사업자에서 사고가 터지면서 수백만~수천만 명의 정보주체가 영향을 받는 사례도 이어지고 있다. 이에 개인정보위는 전략적 사건 관리, 신속 처리절차 도입, 조사절차 투명성 제고, 조사역량 강화, 처리현황 공개 등 5대 과제를 추진한다.
◆ 중요사건은 집중 조사, 일반·경미 사건은 신속 처리
대규모 피해가 발생했거나 사회적 파급력이 큰 중요사건에는 전담 조사단 구성 등으로 조사 역량을 집중한다. 100만 명 이상의 정보가 유출된 사건이나 사회적 관심과 우려가 집중되는 사안, 주요 공공시스템이 해킹된 사례가 중요사건으로 분류된다.
사고가 발생하면 즉시 현장 대응반을 꾸려 유출 영향을 받은 시스템을 파악하고 관련 증적을 보존하는 한편, 개인정보 유출 통지와 추가 피해 확산 방지 조치도 함께 점검해 조사와 피해 예방이 동시에 이뤄지도록 할 계획이다.
일반사건은 사건별 특징에 따라 동종·유사 사건을 유형화하고 위반행위와 제재 기준을 정형화해 연계·일괄 처리한다. 경미한 사건은 중소·영세 사업자 등에 대한 최초 과태료 면제와 기술지원 등을 통해 사고 원인을 개선하고 재발을 막는 사후관리 체계로 전환한다.
소위원회 활용도 늘린다. 사건 증가에 따른 전체회의 부담을 줄이고 신속히 처리하기 위해 현재 과태료 사건 위주인 소위원회 처리 범위를 소액 과징금 사건까지 넓힌다. 우선 예상 과징금액 1억 원 이하 사건부터 소위원회에서 다루고, 운영 성과를 바탕으로 10억 원 이하까지 단계적으로 확대한다. 이렇게 되면 과징금 부과 건의 약 54%에서 85%까지를 소위원회에서 처리해 위반행위를 빠르게 확정하고 시정조치를 유도할 수 있다는 것이 개인정보위의 기대다.
◆ 조사 착수부터 결과까지 투명하게…방어권도 보장
조사 대상자의 예측 가능성과 방어권을 보장하기 위해 절차의 투명성도 높인다. 사건이 접수된 초기에 부서별 전담 인력을 지정해 조사 착수 여부를 신속히 결정하고, 사안이 경미해 조사에 착수하지 않고 종결할 때에는 그 사실을 조사 대상자에게 알린다.
조사 기간이 늘어날 때에도 6개월 또는 12개월 단위로 통지한다. 대규모·복잡 사건은 사실관계 조사결과를 사전에 설명하고, 조사결과 통지 이후에도 공식적인 의견 제시 기회를 충분히 줄 예정이다.
◆ 전문 조사관 양성·처리현황 공개 확대
조사 역량 강화를 위해서는 분야별 맞춤형 교육과 신규 조사관 기초교육을 강화하고, 순환보직으로 인한 업무 단절을 막기 위해 핵심 조사관을 전문관으로 지정해 연속성과 전문성을 확보한다. 신고관리시스템(KISA), 조사정보시스템(위원회), 포렌식 랩 등을 통해 조사에 필요한 자료를 공유·제공해 생산성도 높일 계획이다.
공개 범위도 넓힌다. 그동안 처분 건수 위주였던 처리현황 공개를 연도·기관별 사건 접수·처분 현황, 평균 조사기간, 소송 제기 현황, 주요 유출 사례까지 확대한다. 과징금 산정 과정도 중대성 판단과 가중감경률에 더해 부과기준율과 보호법 개정으로 새로 도입된 투자감경률까지 공개해, 정보주체의 알권리를 보장하고 기업과 공공기관이 유사 사고를 예방하는 데 활용하도록 한다는 방침이다.
송경희 개인정보위원장은 “개인정보 유출·침해 사건이 급증하고 대규모·복잡 사건이 늘어나는 상황에서는 모든 사건을 동일한 방식으로 처리하기보다 사건의 중요도와 특성에 맞게 조사역량을 배분하는 것이 필요하다”고 강조했다.
이어 “중요한 사건에는 충분한 조사역량을 투입하고 일반·경미 사건은 신속하게 처리하되, 처리과정은 보다 명확하고 예측 가능하게 운영하고 그 결과를 투명하게 공개함으로써 신속성뿐 아니라 공정성과 투명성을 갖춘 조사체계를 구축하겠다”고 덧붙였다.
[기자 코멘트]
유출 신고가 3년 새 2.7배 가까이 늘고 올해는 상반기에 이미 지난해 연간 건수의 97%에 이른 상황에서 사건을 중요도별로 나눠 처리하겠다는 방향은 현실적이다. 다만 ‘12개월’이라는 중요사건 처리 목표가 피해를 입은 정보주체의 입장에서는 길게 느껴질 수 있고, 목표·원칙인 만큼 구속력이 어디까지인지도 분명하지 않다. 중요사건 분류 기준도 관건이다.
앞서 본지가 보도한 신한은행 해킹 사고는 유출 규모가 2만5천여 명으로 100만 명 기준에는 못 미치지만, 금융 신용정보가 노출돼 사회적 관심이 집중된 사안이라는 점에서 ‘사회적 관심과 우려가 집중되는 사안’에 해당할지가 시험대가 될 전망이다. 소액 과징금을 소위원회가 처리하는 비중을 85%까지 높이는 것은 속도에는 도움이 되지만, 전체회의 심의가 줄어드는 만큼 소위원회 결정의 근거와 과정이 얼마나 투명하게 공개되는지가 신뢰의 전제가 된다.
경미 사건의 최초 과태료 면제 역시 중소·영세 사업자의 부담을 덜어주는 한편 형평성과 도덕적 해이 논란이 생길 수 있어 적용 요건의 엄격한 설계가 필요하다. 조사 대상자의 방어권 강화와 절차 투명화는 사업자 쪽에 무게가 실린 개선이어서, 정작 피해를 본 정보주체의 구제나 집단분쟁조정과 같은 후속 절차는 이번 자료에 구체적으로 나타나 있지 않다는 점도 짚어봐야 한다.
전문관 지정과 포렌식 랩 확충에 필요한 인력·예산 규모도 공개되지 않았다. 과징금 산정 과정의 공개는 기업의 예측 가능성을 높이는 동시에 제재가 솜방망이에 그치지 않았는지 외부가 검증할 수 있는 수단이 된다는 점에서 이번 방안의 가장 의미 있는 대목으로 꼽을 만하다.
기사작성: 미디어코리아 박상찬 기자 mknews114@gmail.com