개인정보위는 2일 이 같은 내용의 ‘개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안’을 발표했다.
개인정보보호위원회 (DB)
조사 기간도 다시 늘고 있다. 개인정보위가 공개한 자료에 따르면 사건 착수부터 의결까지 평균 소요 기간은 2024년 362일에서 지난해 345일로 줄었다가 올해 상반기 369일로 늘었다. 사실상 조사 착수 이후 의결까지 평균 1년 이상이 걸리는 상황이다.
개인정보 유출 신고 현황 및 개인정보위 연도별 사건 처분 건수 (사진=개인정보보호위원회)
조사 현장에서도 업무 과중 분위기가 감지된다. 현장 조사관 정원은 37명이지만 지난 8월 말 기준 현원은 31명이다. 강대현 개인정보위 조사총괄과장은 1일 언론과 만나 “사건이 누적되면서 일부 조사관은 80~90건의 사건을 동시에 맡고 있다”며 “조사 경력이 3~5년 이상 되는 핵심 조사관도 5명이 채 되지 않는다”고 말했다.
◇중요 사건은 집중 조사…소위원회 활성화
개인정보위는 우선 사건을 중요·일반·경미 사건으로 나눠 조사 역량을 차등 배분한다.
100만명 이상 개인정보가 유출됐거나 사회적 관심과 우려가 큰 사건, 주요 공공시스템 해킹 등은 중요사건으로 분류한다. 숙련된 선임 조사관을 중심으로 전담 조사단을 꾸려 원칙적으로 12개월 이내 처리한다.
일반사건은 6개월 이내 처리를 원칙으로 한다. 통신·유통 등 산업 특성이나 사고 유형이 비슷한 사건은 유형화한 뒤 위반행위와 제재 기준을 정형화해 연계·일괄 처리한다.
경미한 사건은 3개월 안에 정리하는 것을 원칙으로 한다. 사소한 부주의나 오류, 실질적 피해가 크지 않은 일회성 침해 등은 불필요하게 정식 조사에 착수하지 않고 기술지원이나 시정조치 중심으로 전환한다.
중소·영세 사업자 등에 대해서는 최초 과태료 면제와 사고 복구 컨설팅 등도 활용한다. 개인정보위는 이를 위해 내년도 재발방지 지원 예산으로 22억원을 편성했다.
사건 적체를 줄이기 위해 소위원회 역할도 확대한다. 지금까지 소위원회는 주로 과태료 사건을 처리했고 과징금 사건은 대부분 전체회의에서 다뤘다.
앞으로는 예상 과징금이 1억원 이하인 사건부터 소위원회에 맡긴다. 운영 결과를 본 뒤 처리 범위를 3억원, 10억원 이하까지 단계적으로 넓힐 계획이다. 다만 소액 사건이라도 쟁점이 복잡하면 전체회의에 상정한다.
개인정보 유출사고 유형 및 구간별 과징금 부과 현황 (사진=개인정보보호위원회)
조사 착수 전 단계도 줄인다. 사건이 지정되면 원칙적으로 14일 이내 조사 착수 여부를 결정한다. 사실관계 확인 등에 추가 시간이 필요한 경우 기간을 정해 연장한다.
사건이 장기화되는 동안 조사 대상자가 진행 상황을 알 수 없다는 지적도 보완한다. 조사에 착수하지 않고 종결한 경우에도 결과를 알리고, 조사 기간이 늘어나면 6개월 또는 12개월 단위로 연장 사실을 통지한다.
조사 처분 과정 전반에 대한 정보 공개 범위도 늘린다. 처분 건수 위주의 처리현황 공개에서, 연도·기관별 사건 접수·처분 현황, 평균 조사기간, 소송 제기 현황, 주요 유출 사례 등까지 공개 범위를 확대한다.
과징금 산정 과정 역시 중대성판단, 가중감경률에 더해 부과기준율과 보호법 개정으로 새롭게 도입된 투자감경률까지 공개한다.
◇전문 조사관 양성 및 인센티브 부여
조사 인력의 전문성도 높인다. 분야별 맞춤형 교육을 확대하고 장기간 조사 업무를 맡은 핵심 조사관을 전문관으로 지정한다. 순환보직으로 축적된 조사 경험이 끊기는 문제를 줄이기 위해서다. 클라우드 포렌식과 AI 기반 대용량 로그 분석 기술도 조사에 접목할 예정이다.
개인정보위는 인력 확보를 위해 관련 부처와의 협의도 이어나갈 예정이다. 이러한 절차 개선을 10월부터 단계적으로 시행할 방침이다.
송경희 개인정보위 위원장은 “중요한 사건에는 충분한 조사역량을 투입하고 일반·경미 사건은 신속하게 처리하되, 처리과정은 보다 명확하고 예측 가능하게 운영하고, 그 결과를 투명하게 공개함으로써 신속성 뿐만 아니라 공정성과 투명성을 갖춘 조사체계를 구축하겠다”고 말했다.
