개인정보보호위원회가 급증하는 개인정보 유출·침해 사고에 대응하기 위해 조사체계를 전면 개편합니다. 100만명 이상 유출이나 사회적 파급력이 큰 사건은 '중요사건'으로 분류해 전담 조사단을 투입하고, 일반 사건은 유형별로 묶어 신속히 처리하며, 경미한 사건은 처벌보다 재발방지에 중점을 둡니다. 처리 기간도 중요사건 12개월, 일반사건 6개월, 경미사건 3개월 이내를 원칙으로 정했습니다. 또한 과징금 1억원 이하 사건은 소위원회에서 처리하도록 해 전체회의 부담을 줄이고, 조사 착수 여부를 14일 이내 결정하는 등 절차의 예측 가능성도 높이기로 했습니다. 이번 조치는 2026년 상반기에만 개인정보 유출 신고가 432건에 달하며 작년 전체 신고 건수에 근접할 정도로 사고가 급증한 데 따른 것입니다.
개인정보보호위원회가 개인정보 유출·침해 사건 조사체계를 전면 개편하는 방안을 발표했다.
기업과 기관은 사건 중요도에 따라 조사 강도와 처리 기간이 달라지며, 대형 유출 사고는 전담 조사단의 집중 조사를 받게 되고 소액 과징금 사건은 신속 처리된다.
개인정보 유출 신고가 매년 급증하고(2022년 167건→2026년 상반기 432건) 대형·복잡 사건이 늘면서 조사 적체와 평균 처리기간 장기화(약 345~427일) 문제가 발생했다.
100만명 이상 유출 등 중요사건에 전담 조사단 투입, 일반·경미 사건 유형별 신속처리, 과징금 1억원 이하 사건 소위원회 처리, 조사 착수 여부 14일 내 결정, AI 로그 분석·클라우드 포렌식 등 조사기술 강화, 처리현황·과징금 산정근거 공개 확대.
사고 발생 시 신속한 신고·통지와 사전 보호체계 투자가 있으면 과징금을 최대 40% 감경받을 수 있으므로, 기업은 사고 대응체계와 초기 신고 절차를 미리 점검해둘 필요가 있다.
본문
개인정보보호위원회 자료
개인정보 유출·침해 사고가 급증하고 대형 사고가 잇따르면서 개인정보보호위원회가 사건의 중요도에 따라 조사 역량을 차등 투입하는 방식으로 조사체계를 전면 손질한다. 100만명 이상 개인정보가 유출되거나 사회적 파급력이 큰 사건에는 전담 조사단을 투입하고, 일반·경미 사건은 유형별로 묶어 신속하게 처리하는 방식이다.
개인정보보호위원회는 2일 '개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안'을 마련하고 단계적으로 추진한다고 밝혔다.
이번 방안의 핵심은 모든 개인정보 침해 사건을 동일한 절차로 처리하기보다 중요·일반·경미 사건으로 구분해 조사 인력과 처리방식을 달리하는 것이다. 개인정보위는 중요사건은 12개월, 일반사건은 6개월, 경미사건은 3개월 이내 처리를 원칙으로 제시했다.
개인정보 유출 신고, 올해 상반기에만 432건
개인정보위가 조사체계를 개편한 배경에는 빠르게 늘어나는 개인정보 유출 사고가 있다.
개인정보 유출 신고는 2022년 167건에서 2023년 318건으로 약 90% 증가했다. 2024년에는 307건이 접수됐고, 2025년에는 다시 447건으로 늘었다. 특히 2026년에는 상반기에만 432건이 신고돼 이미 지난해 연간 신고 건수에 육박했다.
통신·플랫폼·유통 등 대규모 개인정보를 보유한 사업자를 겨냥한 사고가 이어지면서 수백만명에서 수천만명 단위의 정보주체가 영향을 받는 대형 사고도 지속되고 있다. 개인정보위는 AI 기술 확산과 함께 개인정보를 노린 공격 수법도 고도화·지능화되고 있다고 분석했다.
조사 업무 부담도 커지고 있다. 개인정보 침해신고센터의 신고·상담은 올해 상반기 2만9,007건으로, 2025년 2만3,636건보다 22.7% 증가했다. 조사 관련 국민신문고 민원 역시 올해 상반기 1,824건으로 전년 745건보다 144.8% 늘었다.
100만명 이상 유출·공공시스템 해킹은 '중요사건'
개인정보위는 앞으로 사건을 중요도와 성격에 따라 구분한다.
100만명 이상 개인정보가 유출됐거나 사회적 관심과 우려가 큰 사건, 주요 공공시스템 해킹 등은 중요사건으로 지정한다. 중요사건에는 숙련된 선임 조사관을 중심으로 전담 조사단을 구성해 조사 역량을 집중한다.
사고 발생 직후에는 현장 대응반을 투입해 영향을 받은 시스템을 파악하고 로그 등 관련 증적을 보존한다. 동시에 개인정보 유출 통지가 제대로 이뤄졌는지, 추가 피해 확산 방지 조치가 적절했는지도 함께 점검한다. 사후 법 위반 여부만 조사하는 것이 아니라 조사 초기부터 2차 피해 방지를 병행하겠다는 것이다.
일반사건은 해킹, 업무과실, 시스템 오류 등 유형별로 분류해 위반행위와 제재 기준을 정형화하고 유사 사건을 연계해 처리한다.
개인정보위가 처분이 완료된 유출사건 621건을 분석한 결과, 민간에서는 해킹 235건, 업무과실 192건, 시스템 오류 51건 순으로 나타났다. 공공기관은 업무과실 79건, 해킹 33건, 시스템 오류 9건 순이었다.
경미한 사건은 조사와 처벌 중심에서 재발방지 중심으로 전환한다. 중소·영세 사업자 등이 사소한 부주의나 오류로 사고를 일으킨 뒤 시정을 완료한 경우 최초 과태료를 면제하거나 기술지원을 제공하는 방안이 추진된다. 개인정보위는 2027년 재발방지 컨설팅 등 기술지원 예산으로 22억원을 편성하는 방안도 추진하고 있다.
1억원 이하 과징금 사건은 소위원회 처리
급증하는 사건을 보다 빠르게 처리하기 위해 소위원회 역할도 확대한다.
현재 과태료 사건을 중심으로 운영되는 소위원회에 예상 과징금 1억원 이하 사건까지 맡기는 방안이 우선 추진된다. 다만 금액이 적거나 유사 사건이라 하더라도 법적·기술적 쟁점이 복잡하면 전체회의에서 심의한다.
개인정보위는 향후 운영 결과를 바탕으로 소위원회 처리 범위를 3억원, 이후 10억원 이하까지 단계적으로 확대할 계획이다.
2026년 6월까지 과징금이 부과된 200건을 기준으로 보면 1억원 이하 사건은 107건으로 54%를 차지한다. 처리 기준을 3억원 이하로 확대하면 68%, 10억원 이하로 확대할 경우 약 85%를 소위원회에서 처리할 수 있다는 계산이다.
개인정보 침해신고센터 운영도 개선한다. 개인정보위와 한국인터넷진흥원(KISA) 사이에 상시 소통창구를 만들고 사건이 기관 간 반복적으로 이관되며 처리가 늦어지는 문제를 줄일 계획이다.
2027년부터는 신속한 시정 유도와 함께 법률·소송 지원, 기술조치 지원, 심리상담 등을 연계하는 원스톱 피해구제 시범사업도 추진한다.
조사 착수 여부 14일 안에 결정…장기 조사도 주기적으로 통지
조사 대상 기업이나 기관이 언제 조사가 시작되고 얼마나 진행됐는지 알기 어려웠던 문제도 개선한다.
개인정보위는 사건이 접수되면 부서별 초기 대응 전담 인력을 지정하고 사건 지정일부터 14일 이내 조사 착수 여부를 결정하는 것을 원칙으로 정했다. 다만 추가 사실관계 확인이 필요한 경우에는 기간을 정해 연장할 수 있다.
조사에 착수하지 않기로 결정한 경우에도 사전 자료 제출 요구 등이 있었다면 조사 대상자에게 미착수 사실을 통지한다. 조사가 장기화되면 6개월 또는 12개월 단위로 진행 상황을 알릴 예정이다.
대규모·복잡 사건은 심의·의결에 앞서 조사 대상자가 요청할 경우 사실관계와 조사결과를 사전에 설명한다. 사전통지 이후에도 위원회 심의·의결 전까지 의견을 제출할 수 있도록 해 조사 대상자의 방어권과 절차적 예측 가능성을 높인다는 방침이다.
클라우드 포렌식·AI 로그 분석 등 조사기술 강화
조사 전문성을 높이기 위한 전문 조사관 양성과 기술지원 체계도 강화된다.
개인정보위는 유출·침해뿐 아니라 금융·통신·유통·해외 등 분야별 맞춤형 교육을 실시하고, 시나리오 기반 실습과 처분 사례·판례 공유를 확대한다. 순환보직으로 조사 경험이 단절되는 문제를 줄이기 위해 핵심 조사관을 전문관으로 지정하는 방안도 추진한다.
기술적으로는 KISA의 신고관리시스템과 개인정보위 조사정보시스템을 연계해 신고 단계부터 조사·처분까지 자료를 체계적으로 관리한다.
중장기적으로는 조사보고서, 처분사례, 법령 등을 기반으로 AI 검색 데이터베이스를 구축해 자연어 질의로 관련 사례와 근거 자료를 검색할 수 있도록 할 계획이다. 클라우드 포렌식 기법과 AI 기반 대용량 로그 분석 기술을 개발하고, 증거 수집부터 보고서 작성까지 포렌식 업무 일부를 자동화하는 방안도 추진된다.
평균 조사기간·소송 현황·과징금 산정 과정까지 공개
사건 처리 결과에 대한 공개 범위도 확대된다.
현재는 기관별 유출 신고와 처분 건수 등이 주로 공개되고 있지만 앞으로는 연도·기관별 사건 접수·처분 현황은 물론 조사 착수부터 결과 통지, 의결까지 단계별 평균 소요기간과 행정소송 등 소송 제기 현황도 공개한다.
주요 공격 사례와 민원 사례도 공개해 기업과 공공기관이 유사 사고 예방에 활용하도록 할 방침이다.
과징금 산정 과정 역시 보다 구체적으로 공개한다. 기존 중대성 판단, 가중·감경률, 최종 과징금뿐 아니라 상당 부분 비공개됐던 부과기준율과 올해 9월부터 새로 도입된 투자감경률도 공개할 예정이다. 다만 기업 영업비밀과 밀접한 관련매출액은 공개하지 않는다.
반복적인 법 위반에 대한 제재도 강화된다. 고의·중과실로 3년 이내 위반행위를 반복하면 과징금 가중 폭을 높이는 한편, 사고 전 대응체계를 마련하고 사고 발생 후 신속하게 신고·통지해 피해 확산을 막은 뒤 안전한 보호체계로 개선한 기업에는 최대 40%의 과징금 감경을 적용해 사전 투자와 사고 후 개선을 유도한다.
개인정보위 자료에 따르면 개인정보 사건의 조사 착수부터 의결까지 소요기간은 2023년 평균 427일, 2024년 362일, 2025년 345일이었으며, 2026년 상반기 기준 369일을 기록했다. 개인정보위가 중요사건 12개월, 일반사건 6개월, 경미사건 3개월이라는 처리 원칙을 제시한 것도 이 같은 사건 적체와 조사 장기화 문제를 줄이기 위한 조치로 풀이된다.
송경희 개인정보보호위원장은 "개인정보 유출·침해 사건이 급증하고 대규모·복잡 사건이 증가하는 상황에서는 모든 사건을 동일한 방식으로 처리하기보다 사건의 중요도와 특성에 맞게 조사역량을 배분하는 것이 필요하다"며 "중요한 사건에는 충분한 조사역량을 투입하고 일반·경미 사건은 신속하게 처리하되 처리과정은 보다 명확하고 예측 가능하게 운영하겠다"고 밝혔다.
이번 방안 가운데 중요사건 집중관리와 일반사건 신속처리, 1억원 이하 소액 과징금의 소위원회 처리, 조사절차 개선 등은 즉시 시행된다. 침해신고센터 상시 소통창구와 사건 처리현황 공개는 올해 하반기, 원스톱 피해구제 시범사업은 2027년 상반기, 조사정보시스템 AI 검색 데이터베이스 구축은 2028년을 목표로 추진된다.
