SBS Biz

[송경희 개인정보보호위원회 위원장이 지난 20일 서울 종로구 정부서울청사에서 열린 2025년 제23회 개인정보보호위원회 전체회의에서 모두발언을 하고 있다. (사진=연합뉴스)]

개인정보보호위원회가 개인정보 유출·침해 사건을 중요도에 따라 나눠 관리하고, 대규모 유출 사건은 전담 조사단을 투입해 12개월 이내 처리하기로 했습니다.

개인정보위는 오늘(2일) 이 같은 내용의 '개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안'을 발표했습니다. 최근 개인정보 유출 신고가 급증하고 대규모 사업자의 사고가 잇따르면서 조사 지연과 전문성 부족 문제를 개선하겠다는 취지입니다. 

개인정보위에 따르면 개인정보 유출 신고는 2022년 167건에서 2023년 318건으로 늘었고, 지난해에는 447건이 접수됐습니다. 올해는 상반기에만 432건이 접수돼 지난해 연간 신고 건수에 육박했습니다. 

앞으로 개인정보위는 사건을 '중요·일반·경미'로 구분해 처리합니다.

100만명 이상 개인정보가 유출됐거나 사회적 관심과 우려가 큰 사건, 주요 공공시스템 해킹 등은 중요사건으로 분류됩니다.중요사건에는 숙련된 선임 조사관 중심의 전담 조사단을 투입하고 12개월 이내 처리를 원칙으로 합니다.

사고 발생 직후에는 현장 대응반을 꾸려 유출 영향 시스템을 파악하고 관련 증적을 보존하는 한편, 유출 통지와 추가 피해 확산 방지 조치도 함께 점검합니다. 

일반사건은 6개월, 경미사건은 3개월 이내 처리를 원칙으로 합니다. 일반사건은 유사 사건을 유형화해 위반행위와 제재 기준을 정형화하고 연계·일괄 처리합니다.

경미한 사건은 불필요한 조사 착수를 줄이는 대신 중소·영세 사업자 등에 대한 최초 과태료 면제와 기술지원을 통해 재발 방지 중심의 사후관리 체계로 전환합니다. 

소액 과징금 사건은 소위원회에서 신속하게 처리합니다. 개인정보위는 우선 예상 과징금액 1억원 이하 사건을 소위원회에서 처리하고, 향후 운영 실적을 토대로 3억원 이하, 10억원 이하까지 단계적으로 범위를 확대할 계획입니다.

조사 대상 기업의 예측 가능성과 방어권도 강화합니다. 사건 지정 후 14일 이내 조사 착수 여부를 결정하는 것을 원칙으로 하고, 조사에 착수하지 않는 경우에도 그 결과를 조사 대상자에게 알립니다.

조사기간이 길어질 경우에는 6개월 또는 12개월 단위로 연장 사실을 통지합니다. 

대규모·복잡 사건의 경우 조사 대상자가 요청하면 사전통지 전에 조사 결과를 설명하고, 이후 위원회 심의·의결 전까지 의견을 제출할 수 있는 기회도 확대합니다. 

개인정보위는 조사 전문성을 높이기 위해 금융·통신·유통·해외 등 분야별 전문 조사관을 양성하고, 핵심 조사관을 전문관으로 지정하는 방안도 추진합니다.

아울러 클라우드 포렌식과 인공지능(AI)을 활용한 대용량 로그 분석 기술을 개발하고, 조사보고서와 처분사례, 법령 등을 자연어로 검색할 수 있는 AI 검색 데이터베이스도 구축할 계획입니다. 

송경희 개인정보위 위원장은 "개인정보 유출·침해 사건이 급증하고 대규모·복잡 사건이 증가하는 상황에서는 모든 사건을 동일한 방식으로 처리하기보다 사건의 중요도와 특성에 맞게 조사역량을 배분하는 것이 필요하다"며 "중요한 사건에는 충분한 조사역량을 투입하고 일반·경미 사건은 신속하게 처리하겠다"고 밝혔습니다