개인정보위, 100만명 이상 유출 사건 12개월 내 처리 원칙…1억원 이하 과징금 사건은 소위원회로

개인정보보호위원회(개인정보위)가 개인정보 유출·침해 사건을 중요도에 따라 중요·일반·경미 사건으로 나눠 처리 기한을 달리 두는 조사 개편안을 내놨다. 개인정보위는 2일 '개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안'을 마련해 단계적으로 추진한다고 밝혔다. 중요사건은 12개월, 일반사건은 6개월, 경미사건은 3개월 안에 처리하는 것이 원칙이다.

개인정보위가 배경으로 든 것은 신고 급증이다. 유출 신고는 2022년 167건에서 2023년 318건, 2024년 307건, 2025년 447건으로 늘었고, 올해는 상반기에만 432건이 접수돼 지난해 연간 건수에 육박했다.

100만명 이상 유출은 전담 조사단이 맡아

100만명 이상의 개인정보가 유출됐거나 사회적 관심·우려가 큰 사건, 주요 공공시스템 해킹 등은 중요사건으로 분류해 숙련된 선임 조사관 중심의 전담 조사단이 맡는다. 사고가 나면 곧바로 현장 대응반을 꾸려 유출 영향을 받은 시스템을 파악하고 증거를 보존하며, 유출 통지와 추가 피해 확산 방지 조치도 함께 점검한다.

일반사건은 비슷한 유형끼리 묶어 연계·일괄 처리한다. 경미한 사건은 중소·영세 사업자에 대한 최초 과태료 면제와 기술 지원 등 재발 방지 중심의 사후관리로 전환한다. 경미한 인적 실수로 유출된 정보를 회수했거나 정보주체에게 실질적 손해가 없는 일회성 침해 등은 조사에 착수하지 않고 종결할 수 있도록 요건도 넓힌다.

착수 여부 14일 안에 결정…과징금 산정 기준도 공개

전체회의 부담을 줄이기 위해 예상 과징금이 1억원 이하인 사건 등은 소위원회에서 처리하고, 운영 성과를 보며 10억원 이하 사건까지 범위를 단계적으로 넓힐 계획이다. 개인정보위 집계로 과징금이 부과된 200건 가운데 1억원 이하는 107건(54%), 10억원 이하는 169건(85%)이었다.

조사 착수 여부는 사건 지정일로부터 14일 안에 결정하는 것을 원칙으로 하고, 조사하지 않고 종결할 때도 조사 대상자에게 알린다. 조사 기간이 늘어나면 6개월 또는 12개월 단위로 통지한다. 처리 현황 공개도 처분 건수 위주에서 연도·기관별 접수·처분 현황, 평균 조사기간, 소송 제기 현황 등으로 넓히고, 과징금 산정에 쓰인 부과기준율과 투자감경률도 공개한다.

송경희 개인정보위원장은 "모든 사건을 동일한 방식으로 처리하기보다 사건의 중요도와 특성에 맞게 조사역량을 배분하는 것이 필요하다"고 말했다.

대표 이미지: AI 생성 이미지 / 데이마크

출처: 개인정보보호위원회 보도자료 — 개인정보 유출·침해사고, 더 빠르게 더 공정하게 더 투명하게 조사 — https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12555

출처: 연합뉴스 — 개보위, 100만명 이상 유출 집중조사…경미사건은 3개월내 처리 — https://www.yna.co.kr/view/AKR20261001200100530