2026.05.28 목요일
검색
'개인정보위' 검색결과
기간검색
-
~
검색영역
검색어
-
플랫폼·클라우드 정조준…개인정보 규제 '사후 제재'서 예방으로 [경제일보] 인공지능(AI)과 클라우드 기반 서비스 확산으로 개인정보 유출 위험이 커지면서 정부가 개인정보 규제 체계를 사후 제재 중심에서 예방 중심으로 전환한다. 대규모 개인정보를 처리하는 플랫폼과 금융권, 클라우드·서비스형 소프트웨어(SaaS) 업계를 중심으로 상시 점검과 보호 투자가 확대될 것으로 전망된다. 22일 개인정보보호위원회는 경제장관회의에서 '예방 중심 개인정보 관리체계 전환계획'을 발표했다고 밝혔다. 개인정보 침해와 유출 사고가 발생한 이후 제재하는 방식에서 벗어나 위험 가능성을 사전에 식별하고 관리하는 방향으로 정책 체계를 전환하겠다는 취지로 진행됐다. 개보위는 최근 생성형 AI와 플랫폼, 클라우드 서비스 확산으로 개인정보 처리 규모와 활용 방식이 급격히 확대되면서 개인정보 보호 문제가 산업 전반의 핵심 리스크로 떠오르고 있다는 판단이 반영됐다고 설명했다. 특히 AI 서비스 운영 과정에서 대규모 데이터 수집과 분석이 이뤄지고 SaaS와 클라우드 기반 서비스가 빠르게 늘어나면서 기존 획일적 규제 체계로는 대응에 한계가 있다는 지적이 이어져왔다. 개인정보위는 앞으로 개인정보 처리 규모와 민감도, 산업 특성 등을 기준으로 고·중·저 위험군을 구분해 차등 관리에 나설 계획이다. 고위험군에는 정기·수시 점검과 내부통제 점검을 강화하고 상대적으로 위험도가 낮은 분야는 자율점검과 컨설팅 중심으로 관리 체계를 운영한다. 올해는 플랫폼, 금융기관, 공공기관, 에듀테크, 요양병원 등 대규모 개인정보와 민감정보를 처리하는 분야를 중심으로 집중 점검이 이뤄질 예정이다. 100만명 이상 개인정보를 처리하는 사업자는 고위험군으로 분류돼 영향평가와 보호활동 공개, 보안 점검 등이 강화된다. 특히 정부는 SaaS와 클라우드, 전문 수탁업체 등 데이터 공급망 전반에 대한 관리도 확대한다. AI 서비스 상당수가 클라우드 기반으로 운영되는 만큼 개인정보 보호 책임이 플랫폼 기업뿐 아니라 인프라 사업자까지 확대되는 구조다. 이에 국내 클라우드 업계의 보안 투자 경쟁도 본격화될 가능성이 제기된다. 네이버클라우드와 KT클라우드, NHN클라우드 등 주요 사업자들은 최근 AI 인프라 확대와 함께 보안 체계 강화에 집중하고 있다. 삼성SDS와 LG CNS 등도 기업 대상 AI·클라우드 전환 사업과 함께 개인정보 보호 체계 구축 사업을 강화하는 분위기다. 정부는 개인정보 보호 중심 설계(PbD) 원칙도 확대 적용할 방침이다. 기존에는 일부 IP카메라와 로봇청소기 등에 한정됐지만 앞으로는 서비스 기획과 설계 단계부터 개인정보 보호 요소를 반영하도록 제도화를 추진한다. ISMS-P 인증과 각종 평가 체계에도 PbD 원칙이 반영될 예정이다. 기업들의 자발적 보호 투자 확대를 유도하기 위한 인센티브 제도도 마련된다. 개인정보 보호 활동과 내부통제 체계를 적극 공개하거나 법정 기준을 넘어서는 추가 보호조치를 적용할 경우 과징금 감경 등 혜택을 제공하는 방식이다. 특히 오는 9월부터 개인정보보호책임자(CPO) 지정 신고제가 도입되면서 기업 내부 통제 체계 관리도 강화된다. 개인정보위는 CPO 협의체와 핫라인을 운영해 최신 위협 정보를 공유하고 유사 사고에 대한 사전 대응 체계도 구축할 계획이다. 송경희 개인정보위 위원장은 "관계부처와 협력하여 중점 분야별 개인정보 처리 실태와 취약요인을 지속적으로 점검하고, 위험에 비례한 예방 중심 관리체계를 정착시켜 나가겠다"고 말했다.2026-05-22 08:30:02
-
KT, 개인정보보호 자문위원회 신설…고객 신뢰 회복 나선다 [경제일보] KT가 인공지능(AI)과 데이터 기반 서비스 확산에 대응하기 위해 개인정보보호 자문위원회를 신설한다. 개인정보 유출과 보안 사고에 대한 사회적 경각심이 커진 가운데, 외부 전문가가 참여하는 거버넌스를 통해 선제적 개인정보 관리 체계를 구축하겠다는 취지다. KT는 고객 신뢰 회복과 책임 있는 데이터 활용 생태계 조성을 위해 ‘개인정보보호 자문위원회’를 신설한다고 21일 밝혔다. 자문위원회는 사후 대응보다 사전 예방에 초점을 맞춘 개인정보 관리 체계 강화를 추진하는 전략적 거버넌스다. KT는 정책·법률, 기술·보안, 산업·서비스, 윤리·이용자 보호 등 다양한 분야의 외부 전문가로 초대 자문위원을 구성했다. 염흥열 순천향대 정보보호학과 명예교수, 이희정 고려대 법학전문대학원 교수, 류재철 충남대 컴퓨터융합학부 교수, 손기욱 서울과학기술대 컴퓨터공학과 교수, 심상현 한국CPO 포럼 사무국장, 김경하 제이앤시큐리티 대표 등이 참여한다. 자문위원회는 개인정보 처리자로서 KT의 의무 이행과 책임 강화 방안, 개인정보 안전성 보호조치, 데이터 활용 적정성, 개인정보 유출 사고 예방 및 재발 방지 체계 고도화 등을 자문한다. KT는 이달 중 자문위원회를 발족하고 본격 운영에 들어갈 예정이다. 이번 자문위원회 신설은 통신사가 AI 전환 과정에서 마주한 데이터 거버넌스 과제와 맞물려 있다. 통신사는 가입자 정보, 위치 정보, 이용 행태, 결제·인증 데이터 등 민감도가 높은 데이터를 다룬다. AI 기반 서비스가 확대될수록 데이터 활용 범위는 넓어지지만, 동시에 개인정보 오남용과 유출 리스크도 커진다. 규제 환경도 강화되고 있다. 개인정보보호위원회는 지난 12일 ‘예방 중심 개인정보 관리체계 전환 계획’을 발표하고, 오는 9월부터 반복적이거나 중대한 개인정보 유출 기업에 매출액의 최대 10%까지 과징금을 부과하는 징벌적 과징금 제도를 시행한다고 밝혔다. 고의·중과실로 3년 내 반복 사고를 내거나 1000만명 이상 대규모 유출 피해가 발생한 경우가 대상이다. 개인정보위는 과징금 산정 기준도 강화한다. 직전 연도 매출액과 최근 3년 평균 매출액 중 더 큰 금액을 기준으로 적용하고, 하반기부터 100만명 이상 개인정보를 처리하는 1700개 고위험 시스템에 대한 정기 점검에도 착수할 계획이다. 이는 기업이 사고 이후 대응하는 수준을 넘어 평소 안전관리 체계를 입증해야 하는 방향으로 제도가 바뀌고 있음을 보여준다. KT 입장에서는 개인정보보호 자문위원회가 단순 자문기구를 넘어 신뢰 회복 장치가 될 필요가 있다. 외부 전문가가 데이터 활용과 보호 기준을 점검하고, AI 서비스 설계 단계에서 개인정보 보호 원칙을 반영하도록 자문하면 사고 예방뿐 아니라 고객 설명 책임도 강화할 수 있다. 향후 관건은 자문위원회 운영의 실효성이다. 회의체 신설에 그치지 않고 서비스 출시 전 개인정보 영향 검토, AI 학습 데이터 관리, 고객 동의 체계 개선, 유출 대응 모의훈련, 협력사·수탁사 관리까지 실제 업무 프로세스에 자문 결과가 반영돼야 한다. 김창오 KT 개인정보보호그룹장 상무는 “AI 시대에는 데이터 활용의 혁신만큼이나 개인정보 보호에 대한 고객 신뢰 확보가 무엇보다 중요하다”며 “외부 전문가들과의 긴밀한 협력을 통해 글로벌 수준의 개인정보보호 체계를 구축하고, 고객이 안심할 수 있는 데이터 신뢰 환경을 만들어 나가겠다”고 말했다.2026-05-21 13:45:07
-
개보위, KT 제재 절차 착수…"사전통지서 발송, 오래 걸리지 않을 것" [경제일보] 개인정보보호위원회가 KT 개인정보 유출 사건에 대한 조사 절차를 마무리하고 처분 사전통지서를 발송했다. 쿠팡 대규모 개인정보 유출 사건도 의견서 검토 단계에 들어가면서 두 사건의 제재 수위가 조만간 결정될 전망이다. 송경희 개인정보보호위원회 위원장은 12일 ‘예방 중심 개인정보 관리체계 전환’ 정책브리핑에서 “KT에 대해서도 사전통지를 했고 현재 의견을 받는 단계”라며 “이미 조사가 마무리된 만큼 제재 결정까지 그렇게 오래 걸리지는 않을 것”이라고 밝혔다. 개인정보위의 조사 및 처분 절차에 따르면 조사관은 조사 결과보고서를 바탕으로 예정된 처분 내용을 당사자에게 사전통지한다. 이후 당사자에게 14일 이상의 의견 제출 기회를 부여한다. KT가 의견서를 제출하면 개인정보위는 이를 검토한 뒤 전체회의 의결을 거쳐 최종 제재 여부와 수위를 결정하게 된다. KT 사건은 팸토셀을 활용한 무단 소액결제 피해와 개인정보 유출 의혹이 맞물린 사안이다. 개인정보위는 불법 초소형 기지국인 팸토셀을 통한 무단 소액결제 사건과 관련해 KT의 개인정보 보호조치 적정성을 조사해왔다. 악성코드 ‘BPF도어’ 감염과 관련한 추가 조사도 진행한 바 있다. 송 위원장은 “팸토셀 문제로 소액결제 피해까지 발생했던 만큼 관심과 우려가 많은 사안이라는 것을 잘 알고 있다”며 “빨리 책임에 상응하는 적절한 처벌을 내리기 위해 노력하겠다”고 말했다. 쿠팡 대규모 개인정보 유출 사건 조사도 속도를 내고 있다. 개인정보위는 지난달 초 쿠팡 측에 처분 사전통지서를 발송했고 현재 쿠팡이 제출한 의견서를 검토 중이다. 업계에서는 쿠팡 측 의견서 분량이 방대해 검토에 시간이 걸릴 수 있지만 이르면 6월 중 제재 수위가 결정될 가능성이 있는 것으로 보고 있다. 송 위원장은 “사업자가 제출한 의견을 받아 검토 중이고 검토가 완료되면 개인정보위 전체회의에서 의결하도록 할 것”이라며 “지금 이 단계가 빠르게 진행되고 있다”고 설명했다. 다만 오는 9월 시행 예정인 징벌적 과징금 특례는 쿠팡과 KT 사건에 적용되기 어려울 전망이다. 개정 개인정보보호법은 고의·중과실로 대규모 개인정보 유출이 발생한 경우 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 하지만 법 시행 이후 발생한 사건부터 적용되는 만큼 현재 조사 중인 사건에 소급 적용하기는 어렵다. 송 위원장은 “법이라는 것은 감정만으로 되는 일이 아니기 때문에 철저하게 법 원칙에 따라 판단할 것”이라며 “잘못한 책임이 있다면 그에 상응하는 처분을 내리기 위해 개인정보위는 최선을 다하고 있다”고 말했다. 최근 결혼정보업체 듀오의 개인정보 유출 제재 수위 논란에 대해서도 설명했다. 듀오는 43만명의 개인정보가 유출됐지만 과징금 규모가 12억원 수준에 그쳐 처벌이 약하다는 지적을 받았다. 유출 정보에는 이름과 연락처뿐 아니라 신장 체중 혈액형 종교 혼인경력 학력 직장명 등 민감한 정보가 포함됐다. 송 위원장은 “현행 법 규정상 어쩔 수 없는 부분”이라며 “매출액 자체가 작은 기업의 경우 국민들이 느끼기에 사건의 심각성에 비해 제재 규모가 작다고 생각할 수 있을 것”이라고 말했다. 현행 개인정보보호법은 과징금을 매출액의 최대 3% 범위에서 부과하도록 하고 있다. 듀오는 중소기업 중 중기업에 해당해 관련 규정에 따라 일부 감경을 적용받았다. 개인정보위는 민감정보를 다루는 업종에 대한 점검도 강화한다. 결혼정보업체 상조회사 고객상담센터처럼 민감한 개인정보를 많이 처리하는 분야를 고위험 분야로 보고 실태점검을 확대할 방침이다. 송 위원장은 “국민들의 민감한 정보가 다크웹이나 사회관계망서비스상에 유통되고 있는지 계속 면밀하게 모니터링하고 있다”며 “결혼정보업체나 상조업체 상담센터처럼 민감한 정보를 많이 다루는 분야는 고위험 분야로 보고 실태점검을 실시해 안전관리 조치를 미리 할 수 있도록 만들 계획”이라고 밝혔다.2026-05-12 17:57:53
-
개보위, 중대 개인정보 유출 기업...9월부터 매출 최대 10% 과징금 [경제일보] 오는 9월부터 반복적이거나 중대한 개인정보 유출 사고를 낸 기업에는 매출액의 최대 10%까지 과징금이 부과된다. 정부는 주요 공공시스템과 대규모 개인정보 처리 시스템에 대한 직접 점검도 확대해 사후 제재 중심에서 예방 중심으로 개인정보 관리체계를 전환한다. 개인정보보호위원회는 12일 대통령 주재 국무회의에서 이 같은 내용의 ‘예방 중심 개인정보 관리체계 전환 계획’을 보고했다고 밝혔다. 핵심은 징벌적 과징금 도입이다. 오는 9월11일 시행되는 개정 개인정보보호법에 따라 반복적이거나 중대한 개인정보보호법 위반 행위에 대해서는 매출액의 최대 10%까지 과징금을 부과할 수 있다. 적용 대상은 고의 또는 중과실로 3년 내 반복된 위반 행위가 발생했거나 1000만명 이상 규모의 개인정보 유출 피해가 발생한 경우다. 대규모 유출 사고가 반복돼도 제재 수준이 기업 규모에 비해 낮다는 지적을 반영한 조치다. 과징금 산정 기준도 강화된다. 오는 19일 시행되는 개정 시행령에 따라 과징금 기준은 기존 ‘최근 3년 평균 매출액’에서 ‘직전 연도 매출액’과 ‘최근 3년 평균 매출액’ 가운데 더 높은 금액을 적용하는 방식으로 바뀐다. 매출이 급증한 기업이 낮은 평균 매출 기준을 적용받는 문제를 줄이려는 취지다. 조사와 처분의 실효성을 높이기 위한 제도도 도입된다. 개인정보위는 이행강제금과 신고포상금 제도를 마련하고 증거 은닉 행위에 대한 제재도 강화할 계획이다. 다만 개정법과 시행령은 시행 이후 발생한 사건부터 적용된다. 현재 조사 중인 쿠팡이나 KT 개인정보 유출 사건에는 소급 적용이 어려울 전망이다. 정부는 제재 강화와 함께 인센티브도 병행한다. 법정 기준을 넘어서는 보호조치와 보안 투자, 안전관리체계 운영 수준 등을 종합 평가해 과징금 감경 등 혜택을 제공한다. 오는 9월부터 시행되는 경영진의 개인정보 보호책임이 현장에서 이행될 수 있도록 기업의 개인정보 보호활동 공개도 유도할 방침이다. 위험도에 따른 차등 관리체계도 구축한다. 주요 공공시스템 387개와 교육·복지 등 고위험 분야를 개인정보위가 직접 집중 관리한다. 올 하반기부터는 주요 공공시스템과 대규모 개인정보를 처리하는 약1700개 고위험 정보시스템을 정기 점검한다. 점검 대상은 공공기관에 그치지 않는다. 개인정보위는 클라우드 사업자 전문 수탁사 시스템 공급사 등 공급망 전반으로 점검 범위를 확대할 계획이다. 현재 상조회사와 고객상담센터 등에 대한 점검이 진행 중이며 초·중·고 에듀테크 업체도 추가 점검 대상에 포함된다. 서비스 설계 단계에서부터 개인정보 보호 요소를 반영하는 ‘개인정보 중심 설계’ 원칙도 제도화된다. 개인정보위는 개인정보 영향평가 기준과 ISMS-P 인증 기준에 개인정보 중심 설계 원칙을 반영할 계획이다. 공공부문 보호 역량 강화도 추진된다. 개인정보위가 지난 3월 공공시스템을 긴급 점검한 결과 개인정보보호 전담 인력은 중앙부처 평균 1.1명, 기초지방정부 평균 0.3명 수준에 그쳤다. 정부는 공공부문 개인정보 보호 인력과 예산을 확충하고 전담 인력 처우 개선도 추진한다. 피해 구제 체계도 강화된다. 개인정보 유출 사고가 발생하면 기업과 기관의 손해배상 책임을 원칙으로 하고 입증 책임도 기업이 지도록 해 법정 손해배상 제도 활성화를 추진한다. 유출 피해자가 피해 사실과 손해를 모두 입증해야 하는 부담을 줄이겠다는 방향이다. 개인정보 침해 행위에 대한 감시도 넓어진다. 개인정보 수정, 동의 철회, 회원 탈퇴를 어렵게 만드는 다크패턴을 집중 점검하고 개인정보 침해신고센터 기능도 강화한다. 민감정보가 유출될 경우 SNS 등 온라인 공간에서 불법 유통 여부를 모니터링하고 탐지·삭제를 지원한다. 수사기관과의 협력도 강화된다. 개인정보 불법 유포자와 이용자에 대한 추적과 처벌을 확대해 유출 이후 2차 피해를 줄이겠다는 방침이다. 이번 계획은 개인정보 보호정책의 무게중심을 사후 처벌에서 사전 예방으로 옮기려는 시도다. 대규모 플랫폼과 전자상거래, 통신, 공공서비스에서 개인정보가 대량으로 처리되는 만큼 단순 과징금 부과만으로는 피해를 막기 어렵다는 판단이 깔려 있다. 다만 기업 입장에서는 규제 부담이 커질 수 있다. 특히 고의·중과실 여부와 반복 위반 판단 기준, 1000만명 이상 유출 사고의 책임 범위가 쟁점이 될 가능성이 있다. 개인정보 보호 투자와 경영진 책임을 강화하되, 기업이 예측 가능한 기준 아래 대응할 수 있도록 하위 기준을 명확히 정비하는 것이 관건이다. 송경희 개인정보위원장은 민간 분야 평가제도 도입과 관련해 “민간은 자발적으로 개인정보 보호를 유도할 수 있는 장치가 필요하다”며 “그간 ISMS-P 제도가 그 역할을 해왔다고 볼 수 있다”고 말했다. 송 위원장은 이어 “앞으로는 위험도에 따라 ISMS-P 체계를 차등 적용할 계획”이라며 “고위험 분야에는 강화된 인증 기준을 적용하고 보통인 경우에는 표준, 위험도가 낮은 분야에는 좀 더 간편화된 인증 기준을 적용할 것”이라고 밝혔다.2026-05-12 17:53:34
-
개인정보위 공공기관 본인전송 확대…'내 데이터' 주권 시대 연다 [경제일보] 개인정보보호위원회(이하 개인정보위)가 공공부문 마이데이터 확산을 위한 현장 점검에 나섰다. 국민의 개인정보 결정권을 강화하는 본인전송 제도가 오는 8월부터 공공 영역으로 확대 시행된다. 정보주체 즉 국민이 자신의 정보를 직접 통제하고 활용하는 데이터 주권 시대가 본격화하고 있다. 개인정보위는 29일 정부세종청사에서 간담회를 열었다. 행정안전부 보건복지부 건강보험공단 등 주요 공공기관 실무자들이 이 자리에 함께했다. 이번 간담회는 개인정보보호법 시행령 개정에 따라 새롭게 본인대상정보전송자가 되는 공공시스템운영기관의 준비 상황을 점검하기 위해 마련됐다. 본인전송 제도는 정보주체가 자신의 개인정보를 전송해달라고 요구할 수 있는 권리다. 기존에는 의료 통신 같은 일부 분야에만 적용됐다. 하지만 개정 시행령은 적용 범위를 대폭 넓혔다. 일정 규모 이상의 민간 사업자뿐 아니라 국민의 민감한 정보를 다루는 핵심 공공기관도 의무 대상에 포함시켰다. 이에 따라 해당 공공기관은 정보주체가 본인전송을 요구할 수 있는 방법과 절차를 마련해야 한다. 개인정보처리방침에 전송 대상 정보와 요구 방법 등을 명확히 기재해야 한다. 전송 대상은 정보주체의 동의나 법령에 따라 수집된 정보다. 다만 기관이 자체적으로 생성한 정보나 영업비밀 국가 산업기술 등은 제외된다. 개인정보위는 대리인이 자동화 도구 스크래핑을 이용해 본인전송을 요구할 경우를 대비한 안전장치도 구체화했다. 본인대상정보전송자와 대리인은 사전에 전송 범위와 목적 방식 등을 반드시 협의해야 한다. 대리인의 위임권 확인과 보안 조치 책임 소재 등도 사전 협의 대상이다. 무분별한 데이터 요청으로 인한 시스템 과부하와 보안 사고를 막기 위한 조치다. 개인정보위는 이날 간담회에서 나온 현장 의견을 수렴할 예정이다. 이를 반영한 '전 분야 마이데이터 제도 안내서' 최종본은 오는 6월 공개된다. 새로운 제도가 서류상 권리에 그치지 않고 국민이 체감하는 혁신 서비스로 이어질지 주목된다.2026-04-29 17:38:03
-
듀오 회원 43만명 프로필 유출…개인정보위 과징금·과태료 12억원 철퇴 [경제일보] 결혼정보회사 듀오정보(대표 박수경)에서 정회원 약 43만명의 신체조건과 직업 등 민감한 정보가 대거 유출되는 대형 보안 사고가 발생했다. 정부는 허술한 데이터베이스(DB) 관리와 불법 주민등록번호 수집 책임을 물어 12억원 규모의 징계를 내리고 즉각적인 시정을 명령했다. 23일 개인정보보호위원회에 따르면 지난해 1월 듀오 직원의 업무용 PC가 해킹당하며 회원 42만7464명의 개인정보가 유출됐다. 유출 항목에는 이름과 연락처는 물론 주민등록번호 비밀번호 신장 체중 혼인경력 장녀여부 등 개인의 전 생애가 집약된 내밀한 정보가 대거 포함됐다. 조사 결과 외부 해커가 회원 DB에 접근을 시도할 때 인증 실패 시 접속을 차단하는 기초적인 방어 조치조차 없었다. 핵심 데이터에는 안전성이 검증되지 않은 낡은 암호화 알고리즘을 적용했다. 법적 권한을 초월한 불법 수집과 파기 규정 위반도 적발됐다. 듀오는 명시적 근거 없이 가입 과정에서 관행적으로 주민등록번호를 무단 수집했다. 보유 기간 5년이 지난 과거 회원 정보 약 30만 건을 파기하지 않고 방치해 피해 규모를 눈덩이처럼 키웠다. 심지어 대규모 정보 유출 정황을 파악하고도 정당한 사유 없이 72시간을 허비하며 신고를 지연해 비판을 받는다. 개인정보보호위원회는 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과하고 피해 회원에게 유출 사실을 즉각 통지할 것을 명령했다. 아울러 수집 정보 최소화와 명확한 파기 지침 수립 등 전반적인 보호 체계를 강화하라고 시정 조치했다. 듀오 관계자는 정부 판단을 존중하며 회원 정보 유출에 참담한 심정이라며 사고 수습에 만전을 기해 2차 피해는 없고 재발 방지에 최선을 다하겠다고 해명했다.2026-04-23 13:50:20
-
개인정보위, AI 시대 프라이버시 위협 커진다...사후 처벌 벗어나 강력한 예방 통제 나선다 [경제일보] 정부가 인공지능 기술 확산에 따른 개인정보 유출 위협에 능동적으로 대응하기 위해 향후 3년간의 범정부 정보 보호 전략 수립에 본격적으로 착수했다. 개인정보보호위원회(위원장 송경희)는 단순한 사후 처벌과 피해 복구 수준을 벗어나 대형 보안 사고를 원천적으로 차단하는 사전 예방 시스템을 공공부문에 우선 도입한다는 강력한 방침을 세웠다. 개인정보위는 20일 정부서울청사에서 중앙행정기관 24개 주요 부처의 개인정보보호책임자가 모두 참석한 가운데 개인정보 보호 정책협의회를 개최했다. 이날 협의회에 참석한 각 부처 책임자들은 2027년부터 2029년까지 추진될 국가 개인정보 보호 기본계획의 핵심 수립 방향을 점검하고 공공부문 필요 예산 확충 방안을 심도 있게 논의했다. 이번에 논의된 차기 기본계획의 가장 중요한 핵심은 지속적으로 증가하는 지능형 개인정보 유출 사고에 대응해 사전 예방 중심의 철저한 보호 체계를 확립하는 것이다. 기존의 사후 대응 방식으로는 날로 고도화하는 해킹 기법과 복잡한 내부자 정보 유출 시도를 원천적으로 막기 어렵다는 정부 내부의 강한 위기의식이 작용했다. 특히 인공지능 사회가 본격적으로 도래하면서 새롭게 발생하는 프라이버시 침해 위험에 선제적이고 능동적으로 대처하는 방안이 매우 비중 있게 다뤄졌다. 정부는 공공과 민간 영역에서 인공지능 모델을 개발하고 운영하는 전 과정에 걸쳐 무분별하게 수집되는 방대한 데이터 리스크를 명확히 식별하고 그 위험을 최소화하는 혁신적인 정책을 추진할 계획이다. 최근 대국민 서비스를 제공하는 여러 공공기관에서 연이어 발생한 정보 시스템 장애와 데이터 유출 사고는 국가적 보안 체계의 취약성을 여실히 드러낸 계기가 됐다. 민감한 주민등록 정보와 금융 데이터를 대규모로 다루는 정부 플랫폼이 사이버 공격의 주요 표적으로 부상하면서 국가 인프라 전반의 근본적인 체질 개선이 시급하다는 관련 전문가들의 지적이 끊이지 않았다. 이러한 문제의식을 바탕으로 개인정보위는 앞선 지난 2월 중앙행정기관과 주요 지방자치단체 그리고 다수 공공기관 등 653곳을 대상으로 개인정보 보호 인력과 필요 예산 현황을 전수 조사했다. 방대한 현장 조사 결과 막대한 국민 데이터를 직접 다루는 공공기관 상당수가 만성적인 전담 인력 부족과 턱없이 적은 예산 편성으로 인해 극심한 어려움을 겪고 있는 것으로 나타났다. 실제로 조사 대상 공공기관의 자체 개인정보보호 전담 인력은 평균 0.29명에 불과할 정도로 핵심 보안 인프라가 매우 취약한 실정이다. 기관 내 보안 전문 인력 부족 현상과 더불어 나날이 복잡해지는 관련 법률에 대한 실무진의 이해 부족까지 겹치며 체계적이고 견고한 사전 예방 시스템을 제대로 구축하기 어려운 환경임이 수치로 입증됐다. 이에 따라 개인정보위는 이번 협의회 자리를 빌려 각 정부 부처에 공공부문 전반의 개인정보 침해 대응 역량을 즉각적으로 강화해 달라고 강력히 주문했다. 핵심 시스템의 자체 취약점 점검과 세밀한 접속기록 관리 등 필수적인 안전 조치를 신속하게 이행하고 고도화된 외부 공격을 방어할 수 있는 최신 개인정보 보호 솔루션 도입을 서둘러 달라고 당부했다. 또한 이러한 기술적 조치를 실질적으로 뒷받침하기 위해 필수 예산 확보와 보안 전담 조직 신설에 정부 부처가 주도적으로 나서야 한다고 거듭 강조했다. 막대한 국민 생활 정보를 보유한 공공부문이 선도적으로 안전한 보안 인프라를 완벽하게 갖춰야 민간 영역까지 신뢰하고 활용할 수 있는 건전한 인공지능 생태계를 조성할 수 있기 때문이다. 정부는 이미 인공지능 프라이버시 리스크 관리 모델을 전격 도입하며 기술 발전에 따른 새로운 프라이버시 침해 위험 통제 원칙을 명확히 세운 바 있다. 이번 차기 기본계획에는 이러한 범정부 관리 모델을 각기 다른 공공기관의 특수한 실무 환경에 맞춰 유연하고 신속하게 적용할 수 있는 구체적인 가이드라인이 비중 있게 포함될 예정이다. 회의를 주재한 이정렬 개인정보위 부위원장은 국가 단위 개인정보 정책은 개별 부처 수준의 편협한 접근을 벗어나 범정부 차원의 통합적 시각에서 일관성 있게 추진될 필요가 있다고 날카롭게 지적했다. 각 행정 기관이 분절적이고 독립적으로 대응하기보다 상호 유기적인 정보 공유 체계를 촘촘히 구축해야 보안 사각지대를 완전히 없앨 수 있다는 뼈있는 당부다. 이어 그는 일선 공공부문의 취약한 개인정보 보호 인프라가 조기에 성공적으로 확충될 수 있도록 여러 관련 부처와 앞으로도 적극적으로 협의하겠다는 뜻을 분명히 밝혔다. 예산 당국과의 긴밀한 업무 조율을 통해 실효성 있는 지원 예산을 조속히 이끌어내고 사이버 침해에 대한 국가적 현장 대응력을 획기적으로 높이겠다는 강한 의지를 표명한 셈이다. 최근 치열하게 전개되는 글로벌 기술 패권 경쟁 속에서 미국과 유럽연합 등 세계 주요 선진국 역시 국가 주도의 강력한 인공지능 프라이버시 규범 마련에 사활을 걸고 총력전을 펼치고 있다. 한국 정부 역시 이번 범정부 종합계획 수립을 발판 삼아 국제 기술 표준에 완벽히 부합하는 미래 지향적 보안 규제를 빠르게 확립하고 국민의 안전한 사이버 주권을 굳건히 지켜내겠다는 장기적 목표를 세웠다. 정부는 이날 정책협의회에서 수렴한 부처별 건의 사항과 다양한 현장 의견을 종합적으로 정밀하게 검토해 정책 간 연계성과 정합성을 최대한 끌어올릴 계획이다. 단순하고 추상적인 선언적 지침에서 완전히 탈피해 현장 실무자가 쉽게 이해하고 위기 상황에서 즉각적으로 조치할 수 있는 현실적인 실행 방안을 완성하는 데 모든 행정력을 집중한다. 향후 부처 간 세부적인 이견 조율을 원만하게 마무리한 뒤 개인정보위는 오는 6월 중 위원회 전체회의 심의를 거쳐 해당 기본계획을 최종 확정하여 발표한다. 최종 확정된 종합 마스터플랜은 다가오는 2027년부터 범정부 통합 공식 매뉴얼로 전면 적용되어 대한민국 국가 차원의 개인정보 보호 역량과 위기 대응 수준을 세계 최고 수준으로 한 단계 끌어올릴 전망이다.2026-04-20 17:52:50
-
개인정보위 고위 퇴직자 로펌행… 이해충돌 우려 개인정보 유출에 대한 정부 차원의 규제가 잇달아 강화되는 가운데 개인정보보호위원회 퇴직 공무원들이 대형 로펌으로 잇따라 재취업하면서 이해충돌 우려가 제기되고 있다. 최근 4년간 개인정보위 고위공무원 6명이 김앤장·광장·세종·율촌 등 주요 로펌에 자리를 잡았으며, 이 중엔 퇴직 두 달여 만에 로펌으로 이동한 사례도 있었다. 30일 국회 정무위원회 소속 이정문 더불어민주당 의원실이 개인정보위와 인사혁신처로부터 제출받은 자료에 따르면 개인정보위가 2020년 8월 국무총리 소속 장관급 중앙행정기관으로 격상된 이후 올해 2월까지 퇴직 공무원 8명이 정부공직자윤리위원회에 취업심사를 신청한 것으로 나타났다. 이 가운데 7명은 취업 승인 또는 취업 가능 판정을 받았다. 2023년 5월 법무법인 광장 고문으로의 취업이 불승인됐던 진성철 전 조사2과 과장(3급)은 개인정보위와 광장 간 소송이 최종 확정되면서 재심사를 거쳐 2024년 6월 취업 승인을 받은 것으로 확인됐다. 반면 2024년 12월 31일 퇴직한 조사총괄과 과장(3급)은 법무법인 태평양 경제고문으로의 취업이 최종 불승인됐다. 취업심사 대상이 아닌 사례도 있었다. 최영진 전 개인정보위 부위원장은 2022년 8월 퇴직 후 3년이 지난 2025년 9월 김앤장 법률사무소 고문으로 취업해 별도의 취업 심사를 받지 않았으나, 공직자윤리법에 따른 취업 사실 신고를 통해 취업 사실이 확인됐다. 이를 포함해 총 8명의 재취업 신청기관을 보면 법무법인 세종 2명(윤종인 전 개인정보보호위원장, 전 법무감사담당관), 김앤장 법률사무소 2명(최영진 전 개인정보위 부위원장, 전 개인정보보호정책과장), 법무법인 광장 1명(진성철 전 조사2과장), 법무법인 율촌 1명(전 조사2과장)으로 나타났다. 이밖에 비씨카드 본부장(전 자율보호정책과장)과 삼일회계법인 전문위원(최장혁 전 개인정보위 부위원장)으로도 각각 1명씩 취업 가능 판정을 받았다. 개인정보 규제 강화와 과징금 확대 등으로 위원회의 위상이 높아지면서 기업들의 법률 대응 수요가 커진 점이 이러한 흐름의 배경으로 꼽힌다. 이 같은 수요 증가가 규제기관 출신 인사의 로펌행으로 이어지는 것이 적절한지를 두고 논란도 제기된다. 최근의 굵직한 사건들에서도 개인정보위 전관이 포진한 로펌들의 약진이 두드러진다. 대규모 개인정보 유출 사태를 일으킨 SK텔레콤의 개인정보위 대응 단계에서는 법무법인 세종과 광장이 참여했고, 이후 소송 단계에서는 김앤장이 대응을 맡은 것으로 알려졌다. KT와 쿠팡의 개인정보위 대응에도 세종이 참여한 것으로 전해진다. 한 정보통신업계 관계자는 "기업 입장에서는 전관이 있는 로펌을 고려할 수밖에 없는 구조"라고 말했다. 현행 공직자윤리법은 4급 이상 공무원이 퇴직 후 3년 이내 취업할 경우 퇴직 전 5년간 수행한 업무와의 관련성을 기준으로 취업 가능 여부를 심사하도록 하고 있다. 퇴직 공무원이 기존 업무와 밀접한 분야에서 부당한 영향력을 행사하는 것을 막기 위한 취지다. 그러나 상당수 경우 '취업 이후 영향력 행사 가능성이 작다'는 등의 사유로 심사를 통과하는 사례가 적지 않은 상황이다. 특히 로펌으로의 재취업하는 경우 개인정보위의 피감기관이 아니라는 점 등이 고려되는 것으로 전해졌다. 한편 개인정보위는 내부 기강 관리에 나섰다. 개인정보위는 지난 1월 전 직원에게 외부 이해관계자와의 사적 접촉을 일절 금지하는 내용의 송경희 위원장 명의 특별서신을 발송했다. 개인정보위 관계자는 "조사 대상인 기업이나 로펌 측에서 연락이 오더라도 일절 받지 않거나 접촉 자체를 하지 않고 있다"며 "매우 조심하고 있다"고 말했다.2026-03-30 10:38:48
-
롯데카드, 해킹 사고로 과징금 96억원 부과…개보위 제재 의결 [경제일보] 롯데카드가 지난해 발생한 297만명 고객 개인정보 유출 사고로 인해 개인정보보호위원회(개보위)로부터 96억2000만원의 과징금이 부과됐다. 12일 업계에 따르면 개인정보보호위원회는 지난 11일 전체회의 통해 개인정보 보호 법규를 위반한 롯데카드에 대해 과징금 96억2000만원과 과태료 480만원을 부과하고 시정 및 공표 명령을 의결했다. 이번 조치는 롯데카드의 온라인 간편결제 시스템이 해킹 공격을 받으면서 대규모 개인정보 유출이 발생한 사건에 대한 조사 결과에 따른 것이다. 개인정보위는 지난해 9월 금융감독원으로부터 롯데카드 개인신용정보 누설 신고 사실을 전달받고 조사를 진행했다. 조사 결과 롯데카드 온라인 결제 시스템 해킹 과정에서 로그 파일에 기록된 이용자 약 297만명의 개인신용정보가 유출된 것으로 확인됐다. 이 가운데 약 45만명의 주민등록번호도 함께 유출된 것으로 나타났다. 또한 롯데카드는 온라인 결제 과정에서 생성되는 로그에 주민등록번호를 포함한 다수의 개인정보를 평문 형태로 기록해온 것으로 확인됐다. 또한 해당 로그 파일에 대한 암호화 조치도 충분히 이뤄지지 않은 것으로 조사됐다. 현행 개인정보 보호법은 주민등록번호 처리를 엄격히 제한하고 있다. 법률이나 대통령령 등에서 구체적으로 요구하거나 허용한 경우 또는 정보주체나 제3자의 급박한 생명·신체·재산 보호가 필요한 경우 등에만 예외적으로 처리가 가능하다. 그러나 롯데카드는 이러한 법적 근거 없이 온라인 결제 관련 로그에 주민등록번호를 포함한 개인정보를 저장해온 것으로 조사됐다. 또한 로그 파일에는 최소한의 개인정보만 기록해야 함에도 별도의 검토 없이 다수의 개인정보를 기록해 해킹 사고 발생 시 대규모 개인정보 유출 위험성이 있는 구조였던 것으로 파악됐다. 이에 개보위는 법적 근거 없이 주민등록번호를 처리한 행위와 암호화 조치를 충분히 하지 않은 행위에 대해 과징금과 과태료 부과를 결정했다. 또한 처분 사실을 사업자 홈페이지에 공표하도록 명령했다. 이어 개인정보 처리 현황 전반을 점검하고 개인정보 보호 체계를 개선하도록 시정 조치 명령도 전달했다. 특히 개인정보 보호책임자(CPO)의 책임과 독립성을 강화하는 등 내부 개인정보 보호 관리 체계를 정비하도록 했다. 개보위는 이번 사건을 계기로 금융분야 사업자의 주민등록번호 처리 실태에 대한 사전 점검도 추진할 계획이다. 개보위 관계자는 "이번 사건을 계기로 사업자 스스로 개인정보 오‧남용에 대한 경각심을 가지고 개인정보 보호 원칙에 따라 주기적으로 개인정보 처리 현황을 점검, 개선해 나가야 할 것"이라고 말했다.2026-03-12 10:22:22
-
"털리면 회사 휘청"…유럽 뛰어넘는 '매출 10%' 징벌적 과징금 온다 [경제일보] 기업의 개인정보 유출 사고를 실무진의 실수나 IT 부서의 책임으로 꼬리 자르던 관행에 마침표가 찍힌다. 앞으로 중대한 개인정보 침해 사고를 낸 기업은 전체 매출액의 최대 10%에 달하는 징벌적 과징금을 물어야 하며 최고경영자(CEO)가 최종 책임자로 명시된다. 개인정보보호위원회는 이 같은 내용을 골자로 한 '개인정보 보호법' 개정안을 10일 공포하고 오는 9월11일부터 본격 시행한다고 9일 밝혔다. 공공 및 민간 주요 기관에 대한 정보보호 관리체계(ISMS-P) 인증 의무화 규정은 준비 기간을 고려해 2027년7월1일부터 적용된다. 이번 법 개정은 최근 수년간 끊이지 않고 발생한 대규모 개인정보 유출 사태를 근절하기 위한 정부의 초강수다. 기존 사후 처벌 위주의 솜방망이 제재에서 벗어나 기업의 지배구조(거버넌스) 자체를 '보안 우선'으로 뜯어고치겠다는 강력한 의지가 반영됐다. 가장 파장이 큰 변화는 징벌적 과징금 제도의 도입이다. 기존 법 체계에서는 과징금 상한선이 '전체 매출액의 3% 이하'였으나 이번 개정으로 '반복적이거나 중대한 위반행위'에 대해서는 상한선이 전체 매출액의 10%까지 대폭 상향됐다. 이는 글로벌 최고 수준의 개인정보 규제로 꼽히는 유럽연합(EU)의 일반개인정보보호법(GDPR) 과징금 상한선(전체 매출의 4%)을 훌쩍 뛰어넘는 강력한 제재다. 10% 과징금이 적용되는 '중대 위반'의 기준도 명확히 했다. 최근 3년간 고의 또는 중과실로 위반 행위를 반복한 경우나 1000만명 이상의 대규모 피해를 초래한 경우 그리고 시정명령을 불이행해 유출 사고가 발생한 경우 등이 이에 해당한다. 글로벌 빅테크는 물론 국내 대형 플랫폼과 통신사 등 국민 대다수를 회원으로 둔 기업들에게는 사활이 걸린 리스크가 생긴 셈이다. ◆ '유출 가능성'만 있어도 즉시 통지…랜섬웨어 피해도 포함 개인정보 유출에 대한 기업의 대응 매뉴얼도 전면 개편된다. 과거에는 기업이 내부 조사를 거쳐 '유출 사실이 확실히 확인된 후'에야 정보주체(이용자)에게 통지하는 경우가 많아 피해를 키운다는 지적이 잇따랐다. 앞으로는 '유출 등의 가능성이 있음을 알게 된 때' 즉시 이용자에게 알려야 한다. 사고 초기부터 이용자가 비밀번호를 변경하거나 2차 금융 사기에 대비할 수 있는 골든타임을 확보하기 위함이다. 또한 유출의 개념을 확장해 랜섬웨어 공격 등으로 인한 개인정보의 위조·변조·훼손도 신고 및 통지 대상으로 명문화했다. 데이터를 외부로 빼돌리지 않고 내부 서버를 암호화해버리는 최신 사이버 범죄 트렌드를 법망 안으로 끌어들인 것이다. 더불어 기업은 유출 통지 시 이용자에게 손해배상 청구나 분쟁조정 신청 등 구체적인 피해 구제 방법도 의무적으로 안내해야 한다. 내부 책임 구조의 변화는 기업 지배구조에 상당한 파장을 예고한다. 개정법은 CEO를 개인정보 처리 및 보호의 '최종 책임자'로 규정하고 관리·감독 의무를 법에 명시했다. 보안 사고 발생 시 경영진이 책임을 회피할 수 있는 퇴로를 원천 차단한 것이다. 최고개인정보책임자(CPO)의 위상도 대폭 강화된다. 일정 규모 이상의 기업은 CPO를 지정하거나 해임할 때 반드시 이사회 의결을 거치고 개인정보위에 신고해야 한다. CPO에게는 전문 인력 관리와 예산 확보 권한이 부여되며 관련 사항을 대표와 이사회에 직접 보고하도록 의무화했다. CPO가 경영진의 눈치를 보지 않고 독립적인 보안 통제 타워 역할을 수행할 수 있도록 제도적 방패막이를 쳐준 조치다. 산업계는 바짝 긴장하면서도 전사적인 보안 체계 재구축에 돌입할 전망이다. 징벌적 과징금이라는 거대한 '채찍'과 함께 사전 예방 투자에 대한 '당근'도 명확해졌기 때문이다. 개정안은 기업이 개인정보 보호를 위해 예산과 인력 및 설비를 선제적으로 투자하고 운영한 사실이 입증되면 고의·중과실이 아닌 이상 과징금을 필수적으로 감경해주도록 규정했다. 보안업계 전문가는 이번 개정안이 정보보안 시장의 퀀텀점프를 이끌 것으로 내다본다. 과징금 폭탄을 피하기 위해 대기업뿐만 아니라 중견기업들까지 보안 솔루션 도입과 인프라 확충에 지갑을 열 수밖에 없는 구조가 형성됐기 때문이다. 또한 2027년부터 주요 기관의 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증이 의무화됨에 따라 관련 컨설팅 및 시스템 통합(SI) 산업도 특수를 누릴 것으로 예상된다. 결국 다가오는 9월은 대한민국 산업계가 '데이터 수집을 통한 이윤 창출'에서 '안전한 데이터 관리를 통한 신뢰 확보'로 체질을 완전히 바꾸는 분수령이 될 전망이다.2026-03-09 18:38:31
-
개인정보 유출 책임 물었다…개보위, 한국연구재단 7억·티머니 5억 과징금 부과 [이코노믹데일리] 개인정보보호위원회가 대규모 개인정보 유출 사고를 일으킨 한국연구재단과 티머니에 대해 총 12억원 규모의 과징금을 부과했다. 해킹 공격 자체뿐 아니라 장기간 방치된 취약점과 미흡한 대응 등 관리 부실 책임이 인정된 사례로 평가된다. 공공기관과 민간 기업 모두 개인정보 보호 체계 전반을 다시 점검해야 한다는 지적이 나온다. 29일 개인정보보호위원회는 전날 제2회 전체회의를 열고 개인정보 보호 법규를 위반한 한국연구재단과 티머니에 대한 제재를 의결했다고 밝혔다. 이번 조치로 한국연구재단에는 과징금 7억300만원과 과태료 480만원이, 티머니에는 과징금 5억3400만원이 각각 부과됐다. 두 기관에 부과된 과징금을 합치면 총 12억원을 넘는 규모다. 한국연구재단은 온라인 논문 투고 시스템에서 발생한 해킹 사건으로 제재를 받았다. 개인정보위 조사 결과 한국연구재단이 운영하는 온라인 논문 투고 시스템 'JAMS'에서는 지난해 6월 해커가 '비밀번호 찾기' URL에 존재하던 취약점을 악용해 회원 약 12만명의 개인정보를 열람한 것으로 확인됐다. 성명과 ID, 이메일, 휴대전화번호, 계좌번호 등 총 44개 항목이 유출됐다. 문제는 해당 취약점이 장기간 방치됐다는 점이다. 개인정보위 조사에 따르면 이 취약점은 지난 2013년부터 존재했지만 장기간 탐지·개선되지 않았다. 연구재단은 JAMS 포털 자체에 대한 점검만 실시했고 실제로 개인정보가 관리되는 1600여개 학회 페이지에 대해서는 취약점 점검을 진행하지 않은 것으로 나타났다. 결과적으로 기본적인 보안 관리 체계가 제대로 작동하지 않았다는 지적이 제기된다. 사고 이후 대응 과정에서도 미흡한 점이 드러났다. 개인정보위는 한국연구재단이 유출 사실을 통지하면서 휴대전화번호와 계좌번호, 연구자등록번호 등 주요 유출 항목을 누락해 통지했다고 지적했다. 일부 회원이 임의로 기재한 주민등록번호 116건이 함께 유출됐음에도 사전 탐지 이후 별도의 후속 조치가 이뤄지지 않은 점도 문제로 파악됐다. 또한 해킹 이후에도 충분한 보안 개선 없이 시스템을 운영하면서 회원 명의 도용이라는 2차 피해까지 발생한 것으로 알려졌다. 개인정보위는 사고 이후 재발 방지를 위한 기술적·관리적 조치가 제대로 이뤄지지 않은 점 역시 책임 사유로 판단했다. 이날 개인정보위는 '개인정보 보호법'에 따른 안전조치 의무를 위반한 티머니에 대해서도 과징금 5억3400만원을 부과하고 시정명령과 공표 명령을 의결했다. 티머니는 지난해 3월 13일부터 25일까지 '티머니 카드&페이' 웹사이트에서 발생한 '크리덴셜 스터핑' 공격으로 5만1691명의 개인정보가 유출됐다. 크리덴셜 스터핑은 다른 사이트에서 유출된 계정 정보 등을 활용해 대량 로그인 시도를 하는 공격 방식이다. 개인정보위 조사에 따르면 해커는 국내외 9647개 IP 주소를 이용해 1200만회가 넘는 로그인 시도를 감행했고 이 중 5만1691개 계정에 로그인해 개인정보가 포함된 페이지에 접근한 것으로 알려졌다. 이 과정에서 일부 계정에서는 금전 피해도 발생했다. 총 4131개 계정의 잔여 'T마일리지' 약 1400만원이 탈취되는 추가 피해가 확인됐다. 개인정보위는 비정상적인 대량 로그인 시도라는 명백한 이상 징후가 있었음에도 침입 탐지와 차단 조치가 제대로 이뤄지지 않았다고 판단했다. 개인정보위는 두 사건 모두 기본적인 보안 관리 체계 미흡이 공통된 문제라고 지적했다. 장기간 방치된 시스템 취약점과 비정상 로그인 시도에 대한 탐지·차단 실패 등 기본적인 보호 조치가 제대로 작동하지 않았다는 것이다. 개인정보를 대량으로 보유한 기관일수록 보다 적극적인 보안 관리와 대응 체계의 필요성이 높아지고 있다. 개인정보위는 관련 부처에 JAMS 관리·운영 실태 점검을 강화하고 산하 기관의 개인정보 보호 투자 유인을 확대할 것을 요청했다. 또한 최근 크리덴셜 스터핑 공격이 빈번하게 발생하고 있는 만큼 비정상 접속 탐지, 로그인 시도 제한, 다중 인증 도입 등 보안 대책을 점검·강화할 필요가 있다고 당부했다.2026-01-29 16:24:14
-
SKT, '1348억원 과징금' 불복 소송 제기... "피해 구제 노력 감안해야" [이코노믹데일리] 사상 최대 규모인 1348억원의 개인정보 유출 과징금 처분을 받은 SK텔레콤이 결국 정부를 상대로 법적 대응에 나섰다. 해킹 사고 수습을 위해 1조원 넘는 비용을 투입했음에도 불구하고 천문학적인 과징금이 부과된 것은 '비례의 원칙'에 어긋난다는 판단에서다. 19일 법조계와 통신 업계에 따르면 SK텔레콤은 이날 오후 서울행정법원에 개인정보보호위원회를 상대로 과징금 부과 처분 취소 소송을 제기했다. 행정소송 제기 기한인 20일을 하루 앞두고 내린 결정이다. SK텔레콤은 앞서 부과된 과징금을 전액 납부한 상태에서 법리 다툼을 이어가게 됐다. ◆ 쟁점은 '비례의 원칙'과 '매출액 기준' 이번 소송의 핵심은 과징금 산정 기준의 적절성이다. 개인정보위는 지난해 8월 SK텔레콤 해킹 사고로 2324만명의 정보가 유출된 건에 대해 '매우 중대 위반 행위'를 적용했다. 특히 개정된 개인정보보호법에 따라 위반 행위와 관련된 매출액이 아닌 '전체 매출액'을 기준으로 과징금을 산정해 1347억9100만원이라는 역대 최대 금액을 매겼다. 이는 2022년 구글과 메타가 이용자 동의 없이 정보를 수집해 맞춤형 광고에 활용했다가 받은 과징금 합계(1000억원)를 웃도는 수준이다. SK텔레콤 측은 소송 과정에서 형평성 문제를 집중 거론할 전망이다. 구글이나 메타는 영리 목적으로 고의적으로 정보를 활용했지만 SK텔레콤은 해킹 공격을 당한 '피해자' 입장이 강하다는 논리다. 또한 사고 직후 유심 무상 교체와 고객 보상 프로그램, 보안 혁신 등에 총 1조2000억원을 투입하며 사태 수습에 나선 점이 과징금 감경 사유로 충분히 반영되지 않았다고 주장할 것으로 보인다. 유출된 정보로 인한 직접적인 금융 피해가 확인되지 않았다는 점도 주요 방어 논리다. SK텔레콤이 정부와의 전면전을 택한 배경에는 실적 악화가 자리 잡고 있다. 지난해 2분기와 3분기 SK텔레콤은 해킹 사고 관련 충당금과 보상 비용, 그리고 이번 과징금 납부로 인해 영업이익이 전년 대비 급감하는 '어닝 쇼크'를 겪었다. 경영진 입장에서는 주주 가치 제고와 배임 이슈 해소를 위해서라도 법원의 판단을 구해 과징금 규모를 줄여야 하는 상황이다. 향후 통신업계에 미칠 파장도 고려된 것으로 풀이된다. 현재 KT 역시 펨토셀 해킹 사고로 인한 개인정보 유출 건으로 개인정보위의 제재 절차를 밟고 있다. SK텔레콤이 이번 처분을 그대로 수용할 경우 향후 발생하는 보안 사고에서도 '전체 매출액 기반의 고강도 과징금'이 업계 표준으로 굳어질 수 있다는 위기감이 작용한 것으로 분석된다. ◆ 치열한 법리 공방 예고... KT 제재 수위에도 영향 법조계에서는 이번 소송이 개인정보보호법 개정 이후 기업의 보안 책임 범위와 과징금 산정 기준을 확립하는 중요한 판례가 될 것으로 보고 있다. 개인정보위는 SK텔레콤이 암호화 키 관리 소홀 등 기본적인 안전조치 의무를 위반했고 유출 통지를 지연해 혼란을 키웠다는 입장을 고수하고 있어 치열한 공방이 예상된다. 업계 관계자는 "SK텔레콤은 해킹 방어의 기술적 한계와 사후 구제 노력을 강조하며 과징금 감액을 시도할 것"이라며 "이번 소송 결과는 현재 조사가 진행 중인 KT 등 다른 기업들의 제재 수위 결정에도 상당한 영향을 미칠 전망"이라고 말했다.2026-01-19 17:49:39
-
교원그룹 서버 대규모 침해 정황 확인…서버 800대 중 600대 '영향권' [이코노믹데일리] 교육·렌털·상조 등 생활 밀착형 사업을 영위하는 교원그룹에서 랜섬웨어로 추정되는 사이버 공격이 발생해 관계 당국이 본격 조사에 착수했다. 전체 서버 상당수가 감염 영향권에 포함된 것으로 파악되면서 개인정보 유출 여부와 피해 규모에 관심이 쏠리고 있다. 특히 교육 서비스 이용 고객 다수가 미성년자인 점에서 2차 피해 우려도 제기된다. 14일 개인정보보호위원회에 따르면 전날 오전 9시께 교원그룹 8개 계열사로부터 개인정보 유출 신고를 접수하고 조사에 착수했다. 신고 내용에는 비정상적인 트래픽 발생과 데이터 유출 정황이 포함됐으며 실제 개인정보 유출 여부와 유출 규모는 현재 확인 중이다. 조사 대상은 교원, 교원구몬, 교원라이프, 교원투어, 교원프라퍼티, 교원헬스케어, 교원스타트원, 교원위즈 등 8개사다. 개인정보위는 사고 경위와 침해 경로, 안전조치 의무 준수 여부, 개인정보 보호법 위반 여부 등을 종합적으로 점검해 위반 사항이 확인될 경우 과징금 부과 등 관련 법령에 따른 처분을 내릴 방침이다. 이에 한국인터넷진흥원 등이 참여한 합동 조사단도 긴급 대응에 나섰다. IT 업계에 따르면 교원그룹 전체 서버 약 800대 가운데 가상 서버 600대가량이 랜섬웨어 감염 영향 범위에 포함된 것으로 파악됐다. 감염 영향 범위에는 내부 업무 시스템뿐 아니라 일부 대외 서비스 영역도 포함된 것으로 전해졌다. 이로 인해 영업관리 시스템과 홈페이지 등 최소 8개 이상의 주요 서비스에서 장애가 발생한 것으로 조사됐다. 조사단은 침해사고 신고 접수 직후 방화벽을 통해 공격자 IP와 외부 접근을 차단하고 악성 파일 삭제, 추가 확산 방지 조치 등을 진행했다. 공격자 IP와 랜섬웨어 공격에 사용된 웹셸 등 악성코드를 확보해 유입 경로와 정보 유출 여부를 분석하고 있으며 해당 웹셸은 과거 통신사 서버 해킹 사건에서도 활용된 유형으로 알려졌다. 이번 해킹 방식은 서버 취약점을 악용해 원격에서 명령을 실행하는 방식으로 작동하는 것으로 알려졌다. 교원그룹은 지난 10일 오전 8시께 일부 내부 시스템에서 비정상적인 움직임을 포착하고 즉시 내부 네트워크 망분리와 접근 차단 조치를 시행했다고 밝혔다. 침해 정황 확인 후 약 13시간 만인 같은 날 오후 9시께 KISA와 관계 수사기관에 신고했다. 이후 비상 대응 체계를 가동하고 외부 보안 전문 업체를 투입해 포렌식 조사에 착수했다. 현재 교원그룹은 KISA 및 외부 보안 업체와 협력해 사고 원인과 피해 범위를 정밀 분석하고 있으며 백업 데이터를 활용한 시스템 복구와 전반적인 보안 점검을 병행하고 있다. 조사단은 별도로 운영 중인 백업 서버에서는 현재까지 감염 징후가 발견되지 않았다고 설명했다. 이에 따라 핵심 데이터의 완전 소실 가능성은 낮은 것으로 추정되지만, 실제 외부 유출 여부는 추가 확인이 필요한 상황이다. 이번 사고는 랜섬웨어 공격이 제조·공공기관을 넘어 교육·상조·렌털 등 고객 데이터가 대량 축적된 생활 서비스 기업으로 확산되는 흐름을 보여준 사례로 분석된다. 특히 교육 사업의 경우 장기간에 걸쳐 아동·청소년의 이름, 주소, 연락처, 학습 정보 등이 축적되는 구조여서 민감도가 높다. 다만 현재까지 개인정보 유출이 공식적으로 확인된 것은 아니다. 개인정보위와 조사단은 로그 기록과 서버 저장 데이터, 외부 전송 기록 등을 토대로 실제 유출 여부와 범위를 확인한 뒤 구체적인 결과를 발표할 예정이다. 교원그룹은 개인정보 유출이 확인될 경우 관련 법령과 절차에 따라 신속하고 투명하게 고객에게 사실을 알리고 필요한 보호 조치를 지원하겠다는 입장이다. 조사 진행 상황과 확인된 내용도 단계별로 공식 홈페이지 등을 통해 공유할 계획이다. 교원그룹 관계자는 "초기 대응이 중요한 만큼 고객 보호와 피해 최소화를 위해 모든 역량을 총동원하고 있다"며 "관계 기관 조사에 적극 협조하는 한편 고객 불안을 최소화하는 데 최선을 다하겠다"고 말했다.2026-01-14 16:24:19
-
교원그룹 전 계열사 사이버 침해 의혹…개인정보위 조사 착수 [이코노믹데일리] 교육·렌털·상조 등 다양한 사업을 영위하는 교원그룹에서 랜섬웨어로 추정되는 사이버 공격 정황이 포착돼 개인정보 유출 조사에 들어갔다. 교육 서비스를 이용하는 미성년자 고객 정보가 포함됐을 가능성이 제기되면서 우려가 확산되고 있다. 14일 개인정보보호위원회에 따르면 13일 오전 9시께 교원그룹 8개 계열사로부터 개인정보 유출 신고를 접수하고 조사에 착수했다고 밝혔다. 신고 내용에는 비정상적인 트래픽 발생과 데이터 유출 정황이 포함됐으며 실제 개인정보 유출 여부는 현재 확인 중이다. 조사 대상 계열사는 교원, 교원구몬, 교원라이프, 교원투어, 교원프라퍼티, 교원헬스케어, 교원스타트원, 교원위즈 등 8개 회사이다. 개인정보위는 이번 조사를 통해 사고 경위와 유출 여부, 개인정보 보호법 위반 여부 등을 면밀히 살펴보고 위반 사항이 확인될 경우 관련 법령에 따라 처분할 방침이다. 교원그룹도 앞서 랜섬웨어로 추정되는 사이버 침해 징후를 인지하고 비상 대응 체계를 가동했다고 밝혔다. 사측에 따르면 지난 10일 오전 8시께 일부 내부 시스템에서 비정상적인 움직임이 포착됐으며 즉시 내부 네트워크 망분리와 접근 차단 조치를 시행했다. 침해 정황을 확인한 뒤 약 13시간 만인 같은 날 오후 9시께 한국인터넷진흥원(KISA)과 관계 수사기관에 관련 내용을 신고했다. 현재 교원그룹은 KISA와 외부 보안 전문 업체와 협력해 사고 원인과 피해 범위를 조사 중이며, 백업 데이터를 활용한 시스템 복구와 전반적인 보안 점검을 진행하고 있다. 이번 랜섬웨어 감염으로 그룹 전반에서 서비스 장애가 발생한 것으로 알려졌다. 공격자로부터 협박성 메시지도 전달된 것으로 전해진다. 교원그룹은 개인정보 유출이 확인될 경우 관련 법령과 절차에 따라 신속하고 투명하게 고객에게 사실을 알리고 필요한 보호 조치를 지원하겠다는 입장이다. 사고 원인과 피해 규모, 복구 진행 상황 등 추가로 확인되는 내용은 공식 홈페이지 등을 통해 순차적으로 공지할 계획이다. 교원그룹은 공지를 통해 "최근 일부 시스템에서 랜섬웨어로 추정되는 침해 정황을 인지했다"며 "전사적 역량을 총동원해 서비스 안정화와 고객 보호를 최우선으로 복구에 최선을 다하겠다"고 말했다.2026-01-14 08:11:06
-
1000만 명 정보 털리면 보안 인증 즉각 박탈... 정부 'ISMS 무용론' 칼 뺐다 [이코노믹데일리] 앞으로 1000만 명 이상의 개인정보 유출 사고를 일으킨 기업은 정부가 부여한 정보보호 인증이 즉각 취소된다. 형식적인 인증 유지로 면죄부를 주던 관행을 타파하고 실질적인 보안 태세를 갖추지 못한 기업에는 강력한 페널티를 부과하겠다는 정부의 의지다. 개인정보보호위원회(위원장 송경희)와 과학기술정보통신부(장관 배경훈)는 29일 한국인터넷진흥원(KISA) 및 금융보안원 등 관계 기관과 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증 취소 관계기관 대책회의'를 열고 이 같은 내용의 인증 취소 기준 구체화 방안을 확정했다. 이번 대책은 최근 잇따른 대형 사이버 침해 사고에도 불구하고 해당 기업들이 ISMS 인증을 유지하고 있어 제도의 실효성에 의문이 제기된 데 따른 후속 조치다. 정부가 확정한 방안의 핵심은 '무관용 원칙' 적용이다. 개인정보보호법 위반으로 과징금 등의 처분을 받은 기업 중 위반 행위의 중대성이 큰 경우 인증이 박탈된다. 구체적으로 △1000만 명 이상의 피해 발생 △반복적 법 위반 △고의 및 중과실 위반행위 등으로 사회적 영향이 크다고 판단되면 원칙적으로 인증을 취소하기로 했다. 이는 대규모 유출 사고가 발생해도 인증이 유지돼 소비자에게 '안전한 기업'이라는 잘못된 신호를 주는 것을 막기 위함이다. 사후 관리 체계도 대폭 강화된다. 인증 기업이 연 1회 받아야 하는 사후 심사에서 △외부 인터넷 접점 자산 식별 △접근권한 관리 △패치 관리 등 사고와 직결되는 '핵심 항목'을 집중 점검한다. 점검 결과 해당 항목에서 중대 결함이 발견되거나 사후 관리를 거부하고 자료를 허위로 제출하는 경우 인증위원회 심의를 거쳐 즉시 인증을 취소한다. 단순한 서류 심사를 넘어 실제 보안 시스템이 작동하는지 현미경 검증을 하겠다는 뜻이다. 인증이 취소된 기업에 대한 제재와 회생 절차도 구체화했다. ISMS 인증 의무 대상 기업이 인증 취소를 당할 경우 취소 시점부터 1년간 재신청을 할 수 없게 '유예 기간'을 뒀다. 이는 사고 직후 형식적인 요건만 갖춰 급하게 인증을 다시 받는 꼼수를 차단하고 1년 동안 근본적인 보안 체질 개선을 유도하기 위함이다. 다만 정부는 이 기간 인증 의무 미이행에 따른 과태료는 면제해 기업이 보안 투자에 집중할 수 있도록 배려했다. 정보통신망법 위반 행위에 대한 제재 근거도 마련 중이다. 망법 위반 행위가 중대할 경우 인증을 취소할 수 있도록 법 개정을 추진하고 있으며 개정이 완료되는 대로 세부 기준을 수립할 예정이다. 양 부처는 지난 11월부터 합동 태스크포스(TF)를 운영하며 최근 발생한 보안 사고의 주요 원인을 분석해왔으며 이번 대책에 그 결과를 반영했다. 개인정보위 관계자는 "인증 기준에 미달하거나 중대한 위반이 있는 기업은 인증을 유지할 수 없도록 엄격히 관리하여 인증 제도의 신뢰성을 회복해 나가겠다"고 강조했다. 과기정통부 관계자 또한 "인증 사후 심사 시 기준에 미달하는 등 정보보호 관리체계 수준을 지속 유지하지 않는 경우 인증 취소를 적극 실시하여 정부 인증 제도의 실효성을 높이겠다"고 밝혔다. 업계에서는 이번 조치로 인해 기업들의 보안 경각심이 한층 높아질 것으로 보고 있다. 특히 최근 대규모 개인정보 유출 사태를 빚은 플랫폼 및 통신사들이 강화된 기준의 첫 적용 대상이 될지 이목이 쏠리고 있다.2025-12-30 00:07:28
많이 본 뉴스
영상
Youtube 바로가기
![[사설] 반도체 신기루 세수, 미래 산업의 초석으로만 써야 한다…경제일보 국회 정책 간담회서 다수 의견](https://image.ajunews.com/content/image/2026/05/28/20260528081108190855_518_323.jpg)