개보위, 앞으론 100만명 이상 유출 사건에 전담조사단 꾸린다

사건 규모나 내용 따라 중요·일반·경미로 구분…처리기간 12·6·3개월 원칙

조사 착수 여부 14일 내 결정…평균 조사기간·소송 현황도 공개

송경희 개인정보보호위원회 위원장이 9일 수요일 정부서울청사에서 개최된 제19회 전체회의에서 모두발언을 하고 있다.ⓒ개인정보보호위원회

개인정보보호위원회가 점차 많아지는 개인정보 유출과 침해 사건에 대응해 각 사건을 중요도에 따라 나눠 처리하는 조사체계를 도입한다. 100만명 이상이 영향을 받는 대규모 유출은 전담조사단을 꾸려 집중 조사하고, 경미한 사건은 기술지원과 사후관리 중심으로 전환한다.

개인정보위는 2일 이 같은 내용을 담은 '개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안'을 발표했다.

개인정보 유출 신고는 2022년 167건에서 2023년 318건, 2025년 447건으로 늘었다. 올해는 상반기에만 432건이 접수돼 지난해 연간 신고 건수에 육박했다. 조사 착수부터 의결까지 평균 소요기간도 올해 상반기 기준 369일에 달했다.

이에 개인정보위는 사건을 중요·일반·경미로 구분한다. 중요사건은 ▲100만명 이상 개인정보 유출 ▲사회적 관심·우려가 큰 사건 ▲주요 공공시스템 해킹 등을 대상으로 한다. 선임 조사관 중심의 전담조사단을 꾸리고 사건 발생 직후 현장 대응반을 가동해 증적 보존과 피해 확산 방지 조치를 함께 점검한다.

처리기간은 중요사건 12개월, 일반사건 6개월, 경미사건 3개월 이내를 원칙으로 잡았다. 일반사건은 유사 유형을 묶어 일괄 처리하고, 사소한 부주의나 일회성 침해 등 경미사건은 불필요한 조사 착수를 줄인다. 중소·영세 사업자가 기술지원을 받아 시정을 마친 경우 사후관리로 전환하고 최초 과태료를 면제하는 방안도 포함됐다.

소위원회의 처리 범위도 넓힌다. 우선 예상 과징금 1억원 이하 사건을 소위원회에서 다루고 향후 3억원, 10억원 이하로 단계적으로 확대한다. 개인정보위는 과거 부과 사례를 기준으로 1억원 이하 사건은 전체 과징금 사건의 약 54%, 10억원 이하까지 넓히면 약 85%를 소위원회에서 처리할 수 있을 것으로 보고 있다.

조사 절차의 예측 가능성도 높인다. 사건 지정 후 14일 안에 조사 착수 여부를 결정하는 것을 원칙으로 하고, 조사에 착수하지 않거나 조사기간이 연장되는 경우에도 대상자에게 알린다. 대규모·복잡 사건은 요청이 있을 경우 사전통지 전에 조사 결과를 설명하고 의견 제출 기회를 추가로 제공한다.

조사 결과 공개 범위도 넓어진다. 기존 처분 건수 중심에서 연도·기관별 접수·처분 현황과 평균 조사기간, 소송 제기 현황, 주요 유출 사례까지 공개한다. 과징금 산정 과정에서는 기존 중대성 판단과 가중·감경률, 최종 과징금에 더해 부과기준율과 투자감경률도 공개할 예정이다.

조사 역량 강화를 위해 금융·통신·유통 등 분야별 전문 조사관을 양성하고, 클라우드 포렌식과 AI 기반 대용량 로그 분석 기술도 활용한다. 조사보고서와 처분사례, 법령 등을 자연어로 검색할 수 있는 AI 검색 데이터베이스는 2028년 구축을 목표로 한다.

송경희 개인정보위 위원장은 "중요한 사건에는 충분한 조사역량을 투입하고 일반·경미 사건은 신속하게 처리하되, 처리과정은 보다 명확하고 예측 가능하게 운영하겠다"고 말했다.