송경희 개인정보보호위원장이 지난달 28일 서울 중구 프레스센터에서 열린 통신3사 CEO 간담회에서 '국민이 신뢰하는 AI디지털 사회를 위한 공동선언문'에 서명한 3사 대표들과 기념촬영을 하고 있다. 왼쪽부터 정재헌 SK텔레콤 대표, 송 위원장, 홍범식 LG유플러스 대표, 박윤영 KT 대표. 연합뉴스
2일 개인정보보호위원회에 따르면 개인정보 유출 신고는 2022년 167건에서 2023년 318건으로 늘어난 뒤 2024년 307건을 기록했다. 지난해에는 447건으로 다시 크게 늘었고, 올해는 상반기에만 432건이 접수됐다. 통신과 플랫폼·유통 등 대규모 개인정보를 보유한 사업자의 유출 사고가 잇따른 영향이라는 게 개인정보위의 분석이다. 여기에 인공지능(AI) 기술 확산과 함께 개인정보를 노린 공격이 고도화·지능화된 영향도 더해졌다.
정부는 이처럼 개인정보 유출 사고가 급증하자 조사체계를 개편하기로 했다. 우선 사건을 중요·일반·경미로 구분해 각각 12개월·6개월·3개월 이내 처리한다는 원칙을 세웠다. 100만명 이상 개인정보가 유출됐거나 사회적 관심·우려가 큰 사건, 주요 공공시스템 해킹 등은 중요사건으로 분류했다. 중요사건이 발생하면 즉시 현장 대응반을 구성해 증거를 보존하고 추가 피해 확산 방지 조치도 함께 점검할 방침이다.
일반사건은 해킹이나 업무상 과실, 시스템 오류 등 유형이 비슷한 사건을 묶어 처리한다. 개인정보위가 처분을 마친 유출 사건 621건을 분석한 결과, 민간에서는 해킹이 235건으로 가장 많았다. 이어 업무상 과실 192건, 시스템 오류 51건 순이었다. 공공부문에서는 업무상 과실이 79건으로 두드러졌다. 중소·영세 사업자의 경미사건은 최초 과태료를 면제하고, 기술 지원 등을 통해 재발 방지에 초점을 맞춘다.
사건 처리 속도를 높이기 위해 전체위원회가 아닌 소위원회가 심의할 수 있는 사건도 늘린다. 현재 과태료 사건을 주로 다루는 소위원회가 앞으로는 과징금이 1억원 이하로 예상되는 사건도 심의하도록 하고, 향후 대상 범위를 10억원 이하까지 단계적으로 확대할 계획이다. 조사가 장기화하면 6개월 또는 1년 주기로 진행 상황을 알리고, 조사하지 않고 종결한 경우에도 이를 통지한다. 연도·기관별 사건 접수·처분 현황과 평균 조사기간, 소송 제기 현황 등도 공개할 방침이다.
김민욱([email protected])