개인정보위, 중요사건 집중·경미사건 신속…조사체계 전면 개편

개인정보 유출·침해 사고가 급증하면서 개인정보보호위원회가 사건의 중요도에 따라 조사역량을 나눠 투입하는 조사체계 개편에 나섰다.

개인정보위는 2일 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」을 발표하고 전략적 사건 관리, 신속 처리절차 도입, 조사절차 투명성 제고, 조사역량 강화, 처리현황 공개 등 5대 과제를 단계적으로 추진하겠다고 밝혔다.

개편의 배경은 신고 건수의 가파른 증가다. 개인정보 유출 신고는 2022년 167건에서 2023년 318건으로 늘었고, 2025년에는 447건까지 증가했다. 올해는 상반기에만 432건이 접수돼 지난해 연간 신고 건수에 육박한 상태다. 통신·플랫폼·유통 등 대규모 개인정보를 보유한 사업자에서 유출사고가 잇따르면서 수백만에서 수천만 명의 정보주체가 영향을 받는 사례도 이어지고 있다.

이에 따라 중요사건은 12개월, 일반사건은 6개월, 경미사건은 3개월 이내에 처리하는 원칙이 세워졌다. 100만 명 이상 유출이나 사회적 관심·우려, 주요 공공시스템 해킹 등이 중요사건 기준으로, 이 경우 전담 조사단을 꾸려 집중 처리하고 사고 발생 즉시 현장 대응반을 구성해 유출 영향 시스템 파악과 증적 보존, 유출 통지 및 추가 피해 확산 방지 조치를 함께 점검한다. 일반사건은 동종·유사 사건을 유형화해 연계·일괄 처리하고, 경미사건은 중소·영세 사업자의 최초 과태료를 면제하는 등 재발 방지 중심의 사후관리 체계로 전환한다. 이를 위한 재발방지 지원 예산으로 2027년 예산안에 22억원이 반영됐다.

소위원회의 처리 범위도 넓어진다. 현재 과태료 사건 위주로 운영되는 소위원회를 예상 과징금액 1억원 이하 소액 과징금 사건까지 확대하고, 향후 운영성과를 바탕으로 10억원 이하까지 단계적으로 넓힐 계획이다. 이렇게 되면 과징금 부과건의 약 54%에서 85%까지를 소위원회에서 처리하게 된다.

조사 대상자의 예측가능성과 방어권을 높이기 위한 절차 개선도 병행된다. 조사 착수까지 사전 검토 기간이 길어지지 않도록 사건 접수 초기에 부서별 전담 인력을 지정해 조사 착수 여부를 신속히 결정하고, 경미해 조사 없이 종결하는 경우에는 그 사실을 당사자에게 알린다. 조사 기간이 연장될 때도 6개월 또는 12개월 단위로 통지하고, 대규모·복잡 사건은 사실관계 조사결과를 사전에 설명한 뒤 의견제시 기회를 충분히 준다.

조사 소요기간은 여전히 1년 안팎이다. 조사 착수부터 의결까지 걸린 기간은 2026년 6월 말 기준 369일로, 2022년 344일과 2023년 427일에서 크게 줄지 않았다. 처분이 완료된 유출사건 621건을 분석해 보니 민간은 해킹 235건, 업무과실 192건, 시스템 오류 51건 순이었고 공공은 업무과실 79건, 해킹 33건, 시스템 오류 9건 순으로 나타났다.

처리현황 공개 범위도 처분 건수 위주에서 연도·기관별 사건 접수·처분 현황, 평균 조사기간, 소송 제기 현황, 주요 유출 사례 등으로 확대된다. 과징금 산정 과정 역시 중대성판단과 가중감경률에 더해 부과기준율과 새로 도입된 투자감경률까지 공개하기로 했다.

송경희 개인정보보호위원회 위원장은 "개인정보 유출·침해 사건이 급증하고 대규모·복잡 사건이 증가하는 상황에서는 모든 사건을 동일한 방식으로 처리하기보다 사건의 중요도와 특성에 맞게 조사역량을 배분하는 것이 필요하다"며 "처리과정은 보다 명확하고 예측 가능하게 운영하고, 그 결과를 투명하게 공개함으로써 신속성 뿐만 아니라 공정성과 투명성을 갖춘 조사체계를 구축하겠다"라고 밝혔다.

개인정보위는 전문 조사관 양성과 함께 순환보직으로 인한 업무 단절을 막기 위해 핵심 조사관을 전문관으로 지정하고, 신고관리시스템과 조사정보시스템, 포렌식 랩 등을 통해 조사에 필요한 자료를 공유하는 방안도 추진한다.