[비즈니스포스트] 개인정보보호위원회가 개인정보 유출·침해 사건을 중요도에 따라 구분해 조사하고 중요사건은 원칙적으로 12개월 안에 처리하는 체계를 도입한다.

개인정보위는 2일 ‘개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안’을 마련해 단계적으로 추진한다고 밝혔다. 
 

중요사건 집중 관리, 신속 처리절차 도입, 조사절차 투명성 강화, 조사역량 강화, 사건 처리현황 공개 등 5대 과제를 추진한다.

개인정보위가 조사체계를 손질한 것은 개인정보 유출·침해 신고가 빠르게 늘고 있어서다. 개인정보 유출 신고는 2022년 167건에서 2023년 318건, 2025년 447건으로 증가했다. 올해는 상반기에만 432건이 접수돼 지난해 연간 신고 건수에 육박했다.

개인정보위는 사건을 중요·일반·경미 사건으로 구분해 각각 12개월, 6개월, 3개월 안에 처리하는 것을 원칙으로 삼는다. 

중요사건은 개인정보 100만 명 이상이 유출된 사건이나 사회적 관심·우려가 큰 사건, 주요 공공시스템 해킹 등이 해당한다. 중요사건에는 선임 조사관 중심의 전담 조사단을 구성하는 등 조사역량을 집중한다.  

일반사건은 동종·유사 사건을 유형화하고 위반행위와 제재 기준을 정형화해 연계·일괄 처리한다.

경미한 사건은 중소·영세 사업자 등에 대한 최초 과태료 면제와 기술지원 등을 통해 재발 방지 중심의 사후관리 체계로 전환한다. 

경미한 인적 실수나 직원 과실로 유출된 개인정보를 회수한 경우, 회사 내부에서 발생해 조사 실익이 낮은 유출, 정보주체의 실질적 손해가 없는 일회성 침해 등이 경미사건 종결 사례로 검토된다.  

소액 과징금 사건을 소위원회에서 처리하는 방안도 추진한다. 

예상 과징금이 1억 원 이하인 사건 등을 소위원회에서 처리하고, 운영 결과에 따라 3억 원 이하와 10억 원 이하로 범위를 단계적으로 확대한다.

올해 6월까지 과징금 부과 200건 가운데 1억 원 이하 사건은 107건으로 54%를 차지했으며 10억 원 이하로 범위를 넓히면 169건, 85%까지 소위원회 처리가 가능하다. 

조사 절차의 예측 가능성도 높인다. 

사건 지정 뒤 14일 안에 조사 착수 여부를 결정하는 것을 원칙으로 하고, 조사에 착수하지 않는 경우에도 조사 대상자에게 결과를 알린다.

조사 기간이 길어지면 6개월 또는 12개월 단위로 연장 사실을 통지한다. 대규모·복잡 사건은 조사 대상자가 요청하면 심의·의결 전 조사 결과를 사전 설명하고 의견 제출 기회도 확대한다.   

조사역량 강화를 위해 금융·통신·유통·해외 등 분야별 전문 조사관을 양성하고 조사보고서와 처분사례, 법령 등을 활용한 AI 검색 데이터베이스도 구축한다.

클라우드 포렌식과 AI를 활용한 대용량 로그 분석 기술을 개발해 포렌식 업무 자동화에도 활용한다. AI 검색 데이터베이스 구축 목표 시점은 2028년이다.  

개인정보위는 사건 처리 결과 공개 범위도 넓힌다. 

연도·기관별 사건 접수와 처분 현황뿐 아니라 조사 단계별 소요기간과 소송 제기 현황, 주요 유출 사례 등을 공개한다. 

과징금 산정 과정에서는 기존 중대성 판단과 가중·감경률 등에 더해 부과기준율과 투자감경률까지 공개한다. 다만 영업비밀과 관련성이 높은 관련매출액은 공개하지 않는다. 

송경희 개인정보보호위원회 위원장은 “중요한 사건에는 충분한 조사역량을 투입하고 일반·경미 사건은 신속하게 처리하되, 처리과정은 보다 명확하고 예측 가능하게 운영하고 그 결과를 투명하게 공개하겠다”며 “신속성 뿐만 아니라 공정성과 투명성을 갖춘 조사체계를 구축할 것”이라고 말했다. 조승리 기자