개인정보위, 대형 유출 '중요사건'으로 묶는다⋯12·6·3개월 처리체계 도입

[아이뉴스24 최효경 기자] 개인정보보호위원회(이하 개인정보위)가 개인정보 유출·침해 사고를 규모와 파급력에 따라 중요·일반·경미 사건으로 나눠 각각 12개월, 6개월, 3개월 안에 처리하는 관리 원칙을 도입한다. 대형 사고에는 전담 조사단을 꾸리고 현장 대응부터 유출 통지, 피해 확산 방지 조치까지 함께 관리해 조사 속도와 2차 피해 예방을 동시에 잡겠다는 구상이다.

2일 개인정보위는 '개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안'을 발표했다. 100만명 이상 개인정보가 유출됐거나 사회적 관심과 우려가 큰 사고, 주요 공공시스템 해킹은 중요사건으로 분류해 12개월 안에 처리한다. 일반 사건은 6개월, 경미 사건은 3개월 내 처리 원칙을 적용한다.

이와 관련 강대현 개인정보위 조사총괄과장은 지난 1일 서울 종로구 정부서울청사에서 열린 출입기자단 설명회에서 "중요 사건은 조사뿐 아니라 유출 통지와 피해 확산 방지 조치까지 함께 챙기겠다"고 말했다.

중요사건 12개월 집중 조사⋯경미 사건은 3개월 내 정리

개인정보 유출 신고는 2022년 167건에서 지난해 447건으로 늘었다. 올해는 상반기에만 432건이 접수돼 지난해 연간 신고 건수에 육박했다. 개인정보위의 올해 상반기 조사·처분 사건 평균 처리기간도 조사 착수부터 의결까지 369일로 집계됐다.

개인정보위는 100만명 이상 개인정보가 유출됐거나 사회적 관심과 우려가 큰 사건, 주요 공공시스템 해킹 등을 중요사건으로 분류한다. 강 과장은 "9월 말 기준 이런 중요사건이 약 15건"이라고 설명했다. 지난 6월 불거진 '티빙' 개인정보 유출 사고 등이 포함된다.

중요사건은 전담 조사단을 꾸리고 사고 직후 현장 대응반을 투입한다. 유출 영향을 받은 시스템을 확인하고 증적을 보존하는 동시에, 유출 통지와 추가 피해 확산 방지 조치도 함께 점검한다. 강 과장은 "조사만 진행하다 피해 예방 조치가 늦어지는 일을 막겠다는 취지"라고 설명했다.

일반 사건은 통신·유통 등 업종과 사고 유형이 비슷한 사안을 묶어 처리한다. 경미 사건은 조사에 착수한 뒤 종결하는 대신, 초기 단계에서 신속히 정리하고 중소·영세 사업자에는 기술 지원을 제공하는 방식으로 바꾼다. 피해 확산 방지와 사고 복구 컨설팅 등을 위한 재발방지 지원 예산으로 2027년 22억원을 편성할 계획이다.

사건 지정 뒤 14일 이내에 조사 착수 여부를 결정하고 조사에 착수하지 않는 경우에도 대상자에게 결과를 알린다. 조사가 길어질 때는 6개월 또는 12개월 단위로 연장 사실을 통지한다. 강 과장은 "대규모·복잡 사건은 의결 전 사업자에게 조사 결과를 미리 설명하고 의견을 낼 기회도 넓할 것"이라고 말했다.

다만 일반 사건의 6개월 처리 원칙에는 현실적 제약도 있다. 강 과장은 "사건 급증과 조사 인력 부족으로 올해 하반기 의결되는 일반 사건 일부는 6개월 원칙을 지키지 못할 가능성이 있다"고 설명했다.

조사관 37명 정원에 현원 31명⋯소위로 사건 적체 해소

조사 역량 부족은 제도의 실효성을 좌우할 변수로 꼽힌다. 개인정보위의 실제 조사 업무 인력은 정원 37명 가운데 31명이다. 강 과장은 "대규모 사건을 이끌 선임 조사관이 많지 않은 상황"이라며, "분야별 전문성을 쌓을 수 있는 경력 관리 체계를 만들겠다"고 설명했다.

개인정보위는 유출·침해, 금융·통신·유통·해외사업자 등 분야별 교육을 강화하고 조사보고서·처분사례·법령을 검색할 수 있는 인공지능(AI) 기반 데이터베이스도 2028년까지 구축할 계획이다. 강 과장은 "클라우드 포렌식과 대용량 로그 분석 기술도 조사에 활용할 것"이라고 말했다.

전체회의에 몰린 소액 과징금 사건은 소위원회로 분산한다. 강 과장은 "우선 예상 과징금 1억원 이하 사건을 소위가 처리하고 운영 성과를 본 뒤 3억원, 10억원 이하까지 처리 범위를 넓힌다"고 설명했다. 개인정보위가 분석한 과징금 부과 200건 가운데 1억원 이하 사건은 107건으로 54%를 차지했다. 10억원 이하까지 넓히면 85%를 소위에서 처리할 수 있는 셈이다.

개인정보위는 앞으로 사건 접수·처분 현황과 평균 조사기간, 소송 제기 현황, 주요 유출 사례까지 공개 범위를 확대한다. 과징금 산정 때 적용한 부과기준율과 투자 감경률도 공개한다는 방침이다.

송경희 개인정보위원장은 "모든 사건을 동일한 방식으로 처리하기보다 사건의 중요도와 특성에 맞게 조사역량을 배분하는 것이 필요하다"며 "중요한 사건에는 충분한 조사역량을 투입하고 일반·경미 사건은 신속하게 처리하겠다"고 말했다.