검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개'통합검색 결과 입니다. (294건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

31개 중앙부처 개인정보 전담인력 54명 확충

31개 중앙행정기관의 개인정보보호 전담인력 54명(증원 39명, 재배치 15명)이 확충된다. 25일 열린 국무회의에서 중앙부처 개인정보 보호 전담 인력 확보를 위한 다수부처 수시직제 개정안이 의결됐다. 이번 조치로 정부로서는 11년만에, 그리고 개인정보위는 2020년 출범 이후 최초로 개인정보 보호 전담인력을 범정부 차원에서 확충하게 됐다. 이번 직제 개정을 통해 중앙부처 개인정보 보호 전담 인력 수는 평균 1.1명에서 2.1명으로 약 2배 늘어났다. 최근 공공기관을 겨냥한 해킹과 개인정보 유출 사고가 잇따라 발생하면서, 공공부문의 개인정보 보호 역량을 근본적으로 강화해야 한다는 목소리가 지속적으로 제기됐다. 이에 개인정보위는 '예방 중심 개인정보 관리체계 전환계획'(5.12. 국무회의 보고)에 따라 공공부문 개인정보 관리체계 강화 노력 일환으로 개인정보 보호 인력 확충을 추진해왔다. 개인정보위는 지난 2월 중앙행정기관, 지방자치단체, 공공기관, 시‧도교육청 등 공공부문 653개 기관을 대상으로 개인정보보호 인력 현황을 전수조사했다. 조사 결과, 공공기관의 개인정보보호 담당인력은 평균 1.9명, 이 중 다른 업무와 병행 없이 개인정보보호 업무를 전담하는 인력은 기관당 0.7명에 불과한 것으로 나타났다. 개인정보위는 진단 결과를 바탕으로 지난 6월 '개인정보 보호 전담 인력 확보'를 위한 다수부처 수시직제 요구서를 제출했다. 이후 행안부·기획예산처 심의(7월), 차관회의 심의(8.21.)를 거쳐, 이날 국무회의에서 중앙부처 인력 증원이 최종 확정됐다. 이번 직제 개정은 기관별 개인정보 처리 규모와 민감도를 고려해 인력을 차등 배치한 것이 특징이다. 대규모 개인정보를 처리하거나 민감정보를 다수 보유한 행정안전부, 국토교통부, 법무부, 경찰청, 질병관리청 등에는 인력을 집중 보강했다. 또 재외동포청, 국가유산청 등 그간 전담인력이 전무했던 14개 기관에도 전담인력을 새로 배치해 개인정보 보호 사각지대를 줄였다. 개인정보위는 지방자치단체, 공공기관, 교육청 등 다른 공공부문에 대해서도 인력 확충을 추진 중이다. 또한 공공부문 개인정보 보호체계를 보다 확고히 다져나갈 수 있도록, 공공분야 실태점검, 개인정보보호 인력 처우개선 등을 지속적으로 추진해 나갈 계획이다. 송경희 개인정보위 위원장은 “이번 인력 충원을 활용해 각 부처가 소관 분야를 책임지고 점검·관리하는 체계를 구축할 수 있는 계기가 되길 바란다”면서 “앞으로도 개인정보위는 국민이 안심하고 공공서비스를 누릴 수 있도록 공공부문의 개인정보 보호 역량을 강화해 나가겠다”고 밝혔다.

2026.08.25 23:06방은주 기자

1458곳 중앙·지방·공공기관 개인정보보호 평가단 100명 발족

개인정보보호위원회(개인정보위)가 '2026 개인정보 보호수준 평가단'을 구성하고 24일 위촉식을 개최했다. '개인정보 보호수준 평가'(이하 '보호수준 평가')는 공공기관의 개인정보 보호 역량을 종합적으로 진단하고, 미흡한 부분에 대한 개선을 유도하는 제도다. 올해는 중앙행정기관 및 산하공공기관, 지방자치단체 및 지방공기업 등 총 1458개 기관이 대상이다. '보호수준 평가'는 법령상 의무사항 이행 여부를 기관이 스스로 점검하는 '자체평가'와 외부 전문가로 구성한 평가단이 업무수행 적절성·충실성 등을 살펴보는 '심층평가'를 병행한다. 이번에 위촉한 평가단은 총 100명이다. 개인정보 보호 법·제도, 정보보호·보안 등 각 분야에서 활동실적과 현장경험을 갖춘 외부 전문가로 구성했다. 특히 학계, 법조계, 산업계 전문가가 고루 참여해 평가의 전문성과 균형성을 높였다. 이번 위촉식에서는 평가단원 위촉장 수여와 보호수준 평가 안내를 진행했다. 또 평가의 엄밀성을 높이기 위해 평가단이 실제 평가 방식을 익힐 수 있게 지표별 회의실에서 시범 평가도 함께 수행했다. 평가단은 앞으로 평가 검토에 따른 현지실사, 평가 결과 평정, 우수·미흡 사례 발굴 등의 역할을 수행한다. 평가방법 및 체계, 평가기준·지표 개선을 위한 자문에도 참여한다. 고낙준 개인정보위 예방조정심의관은 “보호수준 평가는 공공기관 스스로 알기 어려운 실질적인 취약점을 꼼꼼히 짚어낼 수 있는 기회”라며 “보호수준 평가를 통해 공공부문 전반의 개인정보 보호수준을 지속적으로 높여 나갈 계획”이라고 밝혔다.

2026.08.24 21:08방은주 기자

구도형 넷마블에프앤씨 PD "일곱 개의 대죄: 오리진 0.5주년, 대죄단 전원 집결해 도약"

넷마블에프앤씨가 개발한 오픈월드 RPG '일곱 개의 대죄: 오리진'이 오는 26일 0.5주년 업데이트를 기점으로 글로벌 코어 시장 확장에 가속도를 붙인다. 출시 직후부터 안정성과 최적화를 끌어올리는 데 집중했다면, 이제는 그 토대 위에 다채로운 서사와 신규 콘텐츠를 얹어 본격적인 도약에 나서겠다는 포부다. 24일 구도형 넷마블에프앤씨 총괄 PD는 지디넷코리아와의 인터뷰를 통해 "지금까지는 구조를 재정비하며 토대를 다지는 과정이었다면, 이번 0.5주년부터는 살을 붙여 나가기 위한 새로운 시작"이라며 "신규 및 복귀 이용자는 물론 기존 이용자 모두에게 축제가 되기를 바란다"고 밝혔다. 새로운 시작의 핵심은 신규 영웅 '반'의 합류로 완성된 대죄단 7인 전원 집결이다. 구 총괄 PD는 "개발진 입장에서는 이제야 약속을 지켰다는 느낌이 가장 크다"며 대죄단 전원이 모여야만 구현할 수 있었던 원작의 상호작용과 시너지를 게임 내에 온전히 담아냈다는 점을 강조했다. 신규 영웅 반은 원작의 고유 마력 '스내치'와 세 가지 무기를 활용해 기존 영웅들과는 차별화된 다채로운 전투를 선보인다. 구 총괄 PD는 "상대에게서 무언가를 가져와 자신의 것으로 만드는 스내치의 본질에 집중했다"며 "적을 약화시키는 동시에 자신이 강해지는 구조로 설계해 고난도 전투에서 지속형 딜러로 활약할 것"이라고 설명했다. 무거운 한 방으로 자세를 무너뜨리는 대검, 중거리 연타에 능한 삼절곤, 공격적인 건틀릿 등 한 캐릭터에 3종의 무기를 부여한 배경 역시 명확하다. 무한한 영웅 확장보다 한 캐릭터에 대한 깊이와 애정을 더하기 위한 개발진의 선택이었다는 의미다. 오리지널 서사의 밀도 역시 한층 촘촘해진다. 구 총괄 PD는 "메인 스토리는 오리진만의 멀티버스 서사를 중심에 두고, 원작 캐릭터가 본격적으로 참여하는 구조"라며 신규 지역 '레이븐즈'에서 펼쳐질 스토리의 방향성을 짚었다. 특히 스즈키 나카바 원작 작가에게 의뢰해 탄생한 오리지널 캐릭터 '티오레'와 '버그'가 원작 만화에서도 언급되며 세계관의 교집합을 형성한 성공적인 협업 사례를 꼽으며, 향후 '묵시록의 4기사' 캐릭터 추가 역시 긍정적으로 검토 중이라고 부연했다. 원작 애니메이션 1화의 감동을 옮겨온 '모험의 시작' 퀘스트도 전격 도입된다. 구 총괄 PD는 "팬분들께는 그 장면을 직접 플레이한다는 경험을, 신규 이용자에게는 세계관 입문 통로가 되기를 바랐다"며 "단발성 이벤트가 아니라 추후 주요 에피소드를 순차적으로 추가해 전체 이야기를 장기적으로 다룰 것"이라고 약속했다. 구 총괄 PD는 "스펙이나 전투로 돌파하는 콘텐츠가 아니기 때문에 신규 별지기 분들도 어렵지 않게 접근할 수 있다"며 새롭게 선보이는 주간 콘텐츠 '미궁'의 기획 의도를 진단했다. 매번 다른 구성의 층을 이용자의 선택으로 돌파해 나가는 로그라이크 방식으로써, 영웅 조합에 대한 깊은 이해도를 바탕으로 전술적 재미를 느끼게 하겠다는 뜻이다. 반면 코어 이용자들의 도전 욕구를 자극할 최고 난이도 '초월'과 '인듀라 몬스피트' 전투는 정교한 실력 증명의 장으로 기능한다. 구 총괄 PD는 "단순히 스펙을 올려 넘어가는 벽이 아니라 패턴 이해와 운영을 다시 짜야 넘을 수 있는 수준"이라며 "도전하지 않아도 기존 콘텐츠를 즐기는 데는 영향이 없도록 파밍과 경쟁 영역을 철저히 분리했다"고 역설했다. 이용자 피드백을 적극 수용한 전투 메타 개선도 돋보인다. 구 총괄 PD는 "현재 전투에서 합기 활용도가 높아지며 버스터 포지션의 역할이 줄어든 현상을 인지하고 있다"며 "버스터 포지션이 만들어내는 결과가 확실히 보상받는 환경을 설계 중"이라고 밝혔다. 액션의 흐름을 끊는다는 지적을 받은 '블록'과 '치명 방어' 시스템 역시 직관적으로 대응할 수 있도록 전면 검토 중이다. 구 총괄 PD는 "프로젝트의 최우선 사안은 최적화와 전투"라며 쾌적한 플레이 환경 구축을 거듭 강조했다. 초반 튜토리얼 스킵을 지원하고, 튜토리얼 뽑기에서 인기 영웅 '멜리오다스'를 바로 획득할 수 있도록 개편해 시작부터 든든한 전력으로 월드를 체험할 수 있게 했다. 아울러 저사양 단말기 대응을 지속하며 기기 내에서 비주얼과 성능을 이용자가 직접 선택할 수 있는 환경을 목표로 하고 있다. 안정적인 라이브 서비스와 콘텐츠 공급을 위해 개발 조직의 체질도 개선했다. 구 총괄 PD는 "라이브 서비스 조직과 신규 개발 조직을 분리해 대기 시간을 최소화했다"며 "기사단 보스전 등 멀티플레이 콘텐츠 역시 스트레스 요인을 주의 깊게 관찰하며 주기적으로 업데이트할 예정"이라고 덧붙였다. 구 총괄 PD는 "어떤 영웅을 다시 만나고 싶은지는 별지기 분들이 가장 잘 알고 계신다"며 게임 최초로 도입되는 이용자 참여형 '앙케이트 소환'의 배경을 설명했다. 이용자 설문 결과를 바탕으로 선정된 인기 영웅들만 모아 오는 9월 16일 특별 뽑기를 선보이는 등 이용자 의견을 운영에 직접 반영하겠다는 의미다. 끝으로 구 총괄 PD는 "처음 접속한 이용자도 부담 없이 시작할 수 있고, 반년 이상 플레이한 이용자도 매주 뚜렷한 목적을 갖는 게임을 1주년까지 완성하는 것이 목표"라며 "장기간 IP 게임을 개발하며 축적한 노하우를 바탕으로, 이용자 각자의 속도에 맞춰 온전히 즐길 수 있는 생태계를 구축하겠다"고 다짐했다.

2026.08.24 10:11정진성 기자

중국, 달에 로봇 개 보낸다… "순찰·청소까지 담당" [우주로 간다]

중국이 미래 국제달연구기지(ILRS)에 로봇 개를 투입해 달 탐사와 연구를 수행한다. 장기적으로는 인간의 달 이주를 지원하는 방안까지 검토하고 있다. 홍콩 사우스차이나모닝포스트(SCMP), 인터레스팅엔지니어링 등 외신은 중국이 우주비행사와 지능형 로봇 개가 함께 달을 탐사하는 방안을 구상하고 있다고 최근 보도했다. 중국우주기술연구원(CAST) 연구진은 지난달 학술지 '중국우주과학기술'에 발표한 논문에서 우주비행사와 로봇 개가 협력해 달 표면을 탐사하는 개념을 제시했다. 로봇 개는 달 표면에서 탐사 경로를 안내하고 연구 기지를 순찰하는 것은 물론, 위험 요소를 사전에 정찰하고 우주비행사들이 과학적 가치가 높은 암석을 찾는 작업도 지원할 수 있을 것으로 전망된다. 우주비행사 3명이 로봇 개와 함께 임무 수행 연구진은 우주비행사 3명이 로봇 개와 함께 임무를 수행하는 시나리오를 구상했다. 우주비행사 한 명은 로봇 개 2마리를 이끌고 달의 지형을 탐색하고, 다른 한 명은 암석 샘플을 수집하며 정밀한 과학 연구를 수행한다. 나머지 한 명은 밴 크기의 가압식 로버에 머물면서 전체 탐사 임무를 조율하고 필요에 따라 다른 로봇을 원격으로 제어하는 방식이다. 연구진은 “중국은 유인 우주 비행의 영역을 지구 궤도에서 달까지 확장하고 있다”며 “미래의 달 탐사는 우주비행사가 주도하는 의사 결정과 자율 로봇의 작업 수행에 달려 있다”고 밝혔다. 특히 로봇은 달의 자원 활용과 장기적인 인간 정착을 위한 기반 마련에도 핵심적인 역할을 할 것으로 예상된다. 달의 얼음을 채취하고 광물을 채굴하는 것은 물론, 용암 동굴을 거주 공간으로 활용하거나 현지 자원으로 건축물을 만드는 작업까지 로봇이 지원할 수 있다는 것이다. 달 기지가 본격적으로 운영되면 로봇은 탐사 뿐만 아니라 일상적인 관리 업무도 맡게 될 전망이다. 연구진은 로봇이 기지를 매일 순찰하고 시설을 점검하는 한편, 공기와 온도를 조절하고 생활 공간을 청소하거나 식물을 관리하는 등의 작업을 수행할 수 있을 것으로 내다봤다. 식사 준비와 같은 생활 지원 업무도 가능할 것으로 예상된다. 더 나아가 로봇이 우주비행사들과 대화를 나누고 말벗 역할을 하면서 장기간 고립된 환경에서 생활하는 데 따른 심리적 부담을 줄이는 데도 도움을 줄 수 있을 것으로 연구진은 전망했다. 중국, 러시아 등과 손 잡고 ILRS 건설 추진 이번 구상은 중국이 러시아를 비롯한 국제 파트너들과 함께 달 남극 인근에 장기적인 과학 연구 기지인 ILRS를 구축하려는 계획을 추진하는 가운데 나왔다. 중국은 2030년 이전에 우주비행사를 달에 착륙시키는 것을 목표로 하고 있다. 기본형 ILRS는 2035년까지 완공해 정기적인 과학 실험과 달 자원의 초기 활용을 지원하고, 이후 2045년까지 달 궤도 기지 등을 포함하는 대규모 복합 시설로 확장한다는 계획이다. 중국은 이달 말 달 남극에서 얼음 형태로 존재하는 물을 탐사하기 위한 무인 탐사선 창어 7호를 발사할 예정이다. 달의 얼음은 향후 달 기지에 머무는 우주비행사들에게 식수와 산소, 연료 등을 공급할 수 있는 핵심 자원으로 꼽힌다. 다만 인간과 로봇이 달 표면에서 본격적으로 협력하기까지는 해결해야 할 과제도 적지 않다. 연구진은 지구에서는 방대한 실제 데이터를 활용해 인공지능(AI)을 학습시킬 수 있지만, 달 로봇은 실제 사례가 매우 제한적인 데다 작은 오류조차 큰 위험으로 이어질 수 있는 환경에서 작동해야 한다고 지적했다. 통신과 항법 인프라 구축도 과제다. 달에는 지구에서 사람들이 일상적으로 사용하는 디지털 인프라가 충분히 갖춰져 있지 않기 때문에 미래의 탐사대는 인간과 로봇이 장거리에서 안정적으로 협력하기에 앞서 새로운 통신 및 항법 시스템을 구축해야 한다. 중국 연구진은 이 같은 기술적 과제를 해결하는 것이 인간과 지능형 로봇이 함께 활동하는 미래의 달 탐사를 실현하기 위한 핵심 조건이 될 것으로 보고 있다.

2026.08.10 14:07이정현 미디어연구소

국내 대리인 신고 '앤트로픽'뿐…정부, 해외 AI 기업과 연내 회동

정부가 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(AI 기본법)'상 국내 대리인 지정 의무를 이행하지 않은 해외 AI 사업자들을 대상으로 신고 독려에 나선다. 실무 협의 채널은 이미 운영되고 있지만 국내 대리인 지정∙신고 등 제도의 공식 이행은 더 이상 미룰 수 없다는 판단에서다. 7일 업계에 따르면 과학기술정보통신부는 연내 주요 해외 AI 사업자들과 회합 자리를 마련할 예정이다. AI 기본법에 따른 국내 대리인 지정·신고 절차가 지연되는 이유를 듣고 제도 취지를 설명하는 한편, 대상 사업자들의 조속한 신고를 독려하기 위해서다. 올해 1월부터 시행된 AI 기본법 제36조는 일정 규모 이상의 해외 AI 사업자에게 국내 대리인 지정 의무를 부과한다. 전년도 총매출 1조원 이상이거나 AI 서비스 부문 매출 100억원 이상, 또는 국내 일평균 이용자 100만명 이상인 경우가 대상이다. 이들은 국내 대리인을 지정해 과기정통부에 신고해야 한다. 하지만 국내 대리인 지정과 신고를 모두 마친 사업자는 현재까지 앤트로픽이 유일하다. 구글은 과기정통부에 신청서를 제출한 뒤 보완 절차를 진행 중이며 오픈AI 등은 아직 신고를 완료하지 않은 상태다. 과기정통부 관계자는 "국내 법인 보유 여부보다 실제 서비스 운영 주체가 중요하다"며 "국내 법인이 있더라도 해외 본사가 서비스를 운영하는 경우에는 국내 대리인 지정 필요성이 있다"고 말했다. 이어 "국내 대리인 제도는 해외 본사와 정부를 연결하기 위한 취지"라고 부연했다. 업계에서는 해외 사업자들이 정부와 이미 AI 기본법 관련 협의 채널을 운영해 온 점이 신고 지연에 영향을 미친 것으로 보고 있다. 주요 기업들이 법 시행 이전부터 정부와 AI 기본법 관련 논의를 이어왔고 법제도 개선 논의에도 참여한 만큼 국내 대리인 지정을 시급한 과제로 인식하지 않았다는 분석이다. 다만 과기정통부는 실무 협의와 별개로 공식 지정 절차는 조속히 마무리돼야 한다는 입장이다. 국내 대리인 지정은 규제 당국과 이용자가 국내 연락망을 공식적으로 확인할 수 있는 최소한의 장치라는 점에서 의미가 있어서다. 제도 운영기준도 구체화한다. 한국지능정보사회진흥원(NIA)은 최근 '인공지능 분야 국내 대리인 제도 운영 방안 마련' 연구용역을 발주했다. 국내외 입법례를 비교·분석해 국내 대리인 지정 기준과 업무 범위, 처리 절차 등을 구체화하고 시행령·고시 정비 방향을 마련하는 것이 핵심이다. 개인정보보호법·정보통신망법·전자상거래법 등 국내 유사 제도와 유럽연합(EU)·미국·중국 등 주요국 입법례를 비교해 시사점도 도출할 계획이다. 국회에서도 제도 보완 논의가 이어지고 있다. 조인철 더불어민주당 의원 등이 지난 5월 발의한 개정안에는 국내 대리인 변경 신고 의무화, 국내 법인 우선 지정, 담당자 지정 및 상시 연락체계 확보 등의 내용이 담겼다. 이에 따라 업계에서는 일부 해외 사업자들이 향후 제도 변경 가능성을 고려해 신고 시점을 조율하고 있다는 의견도 나온다. 2025년 10월 시행된 개정 개인정보보호법도 해외 사업자의 국내 대리인 제도를 강화했다. 보호법상 국내 대리인 제도는 AI 기본법과는 별개의 제도지만 해외 사업자의 국내 연락 창구를 확보한다는 점에서 유사한 구조를 갖고 있다. 개정 보호법 경우 국내 대리인 지정 대상인 해외 사업자는 6개월 이내에 해당 사업자가 설립한 국내 법인 등이 있으면 그 법인을 국내 대리인으로 지정해야 한다. 개인정보위가 보호법 개정 시행에 앞서 국내 법인이 있는 해외 사업자를 점검한 결과, 알리익스프레스와 테무, 에어비엔비, 비와이디(BYD), 오라클 등은 국내 법인을 국내 대리인으로 지정하고 있었다. 반면 구글, 메타, 마이크로소프트, 오픈AI, 로보락, 쉬인 등 16개 해외 사업자는 국내 법인을 두고도 법무법인 또는 별도 법인을 국내 대리인으로 지정해 해당 국내 법인으로 변경을 권고받았다. 과기정통부 관계자는 "이미 해외 사업자들과 실무적인 소통은 지속적으로 이뤄지고 있다"며 "국내 대리인 지정과 신고 절차도 가능한 한 조속히 마무리될 수 있도록 사업자들과 계속 협의해 나갈 예정"이라고 말했다.

2026.08.07 14:41이나연 기자

KT 개인정보 유출 과징금 540억원…LGU+ 증거인멸 수사의뢰

개인정보보호위원회가 펨토셀 관리 부실로 개인정보 유출 사고를 일으킨 KT에 539억 7900만원의 과징금을 부과했다. 악성코드 감염 사고를 은폐하고 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 혐의로 KT를 고발하기로 했다. 아울러 LG유플러스는 개인정보 유출 의혹과 관련해 조사 착수 전 서버를 재설치 및 폐기 행위가 확인돼 경찰에 수사를 의뢰했다. 개인정보위는 29일 제15회 전체회의를 열어 개인정보보호법을 위반한 KT에 과징금 539억 7900만원과 시정명령, 처분사실 공표 명령을 의결했다. KT 조사 과정에서 거짓 자료를 제출하고 자료를 뒤늦게 제출하는 등 위원회 조사를 실질적으로 방해한 행위에 대해서는 고발하기로 결정했다. 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 추출한 뒤 자체 제작한 펨토셀에 이를 삽입해 KT 이동통신망에 접속했다. 이후 이용자의 스마트폰이 해커가 만든 펨토셀을 경유하도록 유도해 단말과 KT 내부망 간 송수신 정보를 가로챘다. 해커는 이를 통해 확보한 개인정보와 추가 정보를 결합해 휴대전화 소액결제를 시도했고, 결제 인증번호가 포함된 문자메시지와 자동응답시스템 인증을 탈취하는 방식으로 부정 결제를 진행했다. 이 과정에서 KT 이용자와 알뜰폰 가입자를 포함한 1만 6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출됐다. 실제로 368명이 약 2억 4000만원 규모의 무단 소액결제 피해를 입은 것으로 조사됐다. 개인정보위는 사고 원인을 KT의 부실한 펨토셀 관리 체계에서 찾았다. 펨토셀은 이동통신 음영지역의 통화 품질을 개선하기 위해 설치하는 소형 기지국으로, KT 설치기사가 직접 설치하는 KT 자산이다. 이용자는 설치 장소를 제공할 뿐이며, 망 접속 승인과 인증, 내부망 접속 허용, 보안 통제 등은 모두 KT가 관리한다. 하지만 KT는 펨토셀 인증서 유효기간을 10년으로 장기간 설정했고, 내부망에 접속하는 펨토셀의 접속 IP를 제한하지 않아 해외나 타사 인터넷망에서도 접속이 가능하도록 운영했다. 또 펨토셀 관리 서버를 우회할 수 있는 경로가 존재했고, 코어망 접속 시 부여되는 셀 아이디에 대한 관리와 이상 접속 탐지 체계도 갖추지 않았다. 그 결과 해커는 별도의 추가 인증 없이 약 11개월 동안 KT 내부망에 접속해 개인정보를 탈취했지만 KT는 이를 인지하지 못했다. 개인정보위는 다수의 이용자가 소액결제 피해를 신고한 이후에야 KT가 비정상 접속을 식별한 것으로 확인됐다고 설명했다. 개인정보위는 KT가 대규모 개인정보를 처리하는 이동통신사업자임에도 정보통신망에 대한 기본적인 접근 통제와 침해 방지 의무를 소홀히 해 개인정보 보호법상 안전조치 의무를 위반했다고 판단했다. 별도의 악성코드 감염 사건도 드러났다. 개인정보위는 펨토셀 사고를 조사하는 과정에서 2024년 3월 KT IT서비스 네트워크 내 서버 38대가 리눅스 백도어 악성코드인 'BPFDoor' 등에 감염된 사실을 확인하고 조사를 확대했다. 조사 결과 해커는 KT 로밍렌탈서비스 홈페이지 취약점을 이용해 내부망에 침투한 뒤 악성코드를 설치했고, 관리자 페이지에 대한 SQL 삽입 공격을 통해 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보 등을 조회·유출한 정황도 확인됐다. 다만 사고 발생 당시의 로그가 상당수 남아 있지 않아 이용자 개인정보의 추가 유출 여부는 확인하지 못했다. 개인정보위는 KT가 2024년 악성코드 감염 사실을 인지했음에도 정부에 침해 사실을 신고하지 않았고, 자체 조치만 진행했다고 밝혔다. 또 2025년 다른 통신사의 개인정보 유출 사고 이후 자체 점검 과정에서 일부 감염 서버의 로그를 삭제하는 등 침해 사실을 은폐한 정황도 확인됐다고 설명했다. 조사 착수 전 로그 삭제 정황이 드러나자 별도로 보관 중이던 로그를 뒤늦게 제출한 것으로 조사됐다. 개인정보위는 이를 조사 방해 행위로 판단해 고발하기로 했다. 개인정보위는 LG유플러스에 대해서도 강경 대응에 나섰다. 지난해 8월 미국 보안 전문지 '프랙'을 통해 LG유플러스 개인정보 유출 의혹을 인지하고 조사에 착수했다. 조사 결과 유출된 임직원과 협력사 직원의 이름과 계정 정보는 LG유플러스의 통합 비밀번호 관리 시스템(APPM)에 저장된 실제 정보로 확인됐다. 그러나 LG유플러스는 개인정보위 조사 착수 전에 APPM 서버 등의 운영체제를 재설치하거나 관련 서버를 폐기한 것으로 나타났다. 개인정보위는 이로 인해 정확한 침해 경위와 추가 유출 여부를 확인하기 어려워졌다고 보고, 공무집행방해 혐의가 있다고 판단해 수사기관에 수사를 의뢰하기로 했다. 개인정보위는 이번 사건을 계기로 증거 은닉이나 서버 폐기를 통한 조사 회피를 막기 위한 제도 개선도 추진한다. 조사 착수 전 증거 은닉·폐기 행위에 대한 형사처벌 규정을 신설하고, 증거를 은닉하거나 폐기한 사업자에게는 전체 매출액의 3%까지 과징금을 부과하는 방안을 추진할 계획이다. 조사 비협조나 시정명령 불이행 시 이행강제금을 부과하고, 침해사고 발생 시 자료보전명령을 내릴 수 있도록 법 개정도 추진한다. 송경희 개인정보위 위원장은 “이번 처분이 통신업계 전반의 보안 역량을 강화하는 계기가 돼야 한다”며 “사고 발생 시 자료를 은폐하거나 축소하는 것이 아니라 투명하게 공개하는 것이 기업에 가장 합리적인 선택이라는 인식이 업계 전반에 자리 잡도록 제도를 지속적으로 개선하겠다”고 말했다.

2026.07.30 10:37김기찬 기자

[법과 상식 사이] 왜 요즘 보안사고가 끊이지 않을까

요즘은 한 기업의 보안사고가 채 잊히기도 전에 또 다른 사고가 이어진다. 개인정보가 유출되고, 서비스가 멈추며, 내부 자료가 외부로 빠져나간다. 기업들도 보안 조직을 만들고 시스템을 점검하며 적지 않은 비용을 쓴다. 그런데도 사고는 좀처럼 줄지 않는다. 왜일까. 공격은 더 빠르고 정교해졌다 먼저 공격자의 의도와 방법이 달라졌다. 과거의 해킹이 일부 개인의 호기심이나 실력 과시에서 시작됐다면 지금은 금전을 목적으로 움직이는 범죄조직과 국가의 지원을 받는 공격집단까지 기업을 노린다. 해킹이 수익성 높은 범죄가 되면서 공격은 개인의 일회적 행위에서 벗어나 역할과 기술을 나눈 조직적 산업으로 변했다. 생성형 AI는 공격의 속도와 정교함을 더욱 높이고 있다. 자연스러운 피싱 메일을 만들거나 특정인의 말투를 흉내 내는 데 그치지 않고, 소프트웨어의 취약점을 찾아 공격 가능성을 검증하는 데까지 활용될 수 있다. 앤트로픽이 발표한 '클로드 미토스 프리뷰'는 과거 숙련된 전문가가 많은 시간과 노력을 들여야 했던 취약점 발견과 검증 작업을 AI가 빠르게 수행할 수 있음을 보여주었다. 공격에 필요한 시간과 전문성의 문턱이 낮아지고 있는 것이다. 공격할 곳이 더 많아졌다 기업의 업무 구조도 달라졌다. 과거에는 회사 내부의 전산망과 업무용 컴퓨터를 주로 보호하면 됐지만, 지금은 클라우드와 외부 프로그램을 이용하고 여러 협력업체와 업무를 나눈다. 임직원이 회사 밖에서 시스템에 접속하고, 판매자와 물류업체, 결제업체가 하나의 서비스 안에서 정보를 주고받는 일도 일상화됐다. 2021년 국내 한 연구기관에서는 외부 접속에 사용하던 가상사설망(VPN)의 취약점을 통해 신원불명의 외부인이 내부 서버에 접속한 사실이 확인됐다. 업무 편의를 위해 만든 외부 접속 통로가 공격자의 침입 경로가 된 것이다. 이처럼 기업 밖으로 연결되는 시스템과 계정이 늘어나면서 공격자가 노릴 수 있는 지점도 많아졌다. 기업 내부의 보안이 비교적 철저하더라도 협력업체의 계정이 탈취되거나 외부 프로그램에 취약점이 생기면 사고로 이어질 수 있다. 공격자는 기업의 모든 보안을 뚫을 필요가 없다. 수많은 연결 지점 가운데 가장 약한 한 곳만 찾으면 된다. 보안 관리는 변화의 속도를 따라가지 못했다 공격은 빠르게 발전하고 공격할 지점은 늘어났지만 기업의 보안 관리는 그 변화를 충분히 따라가지 못했다. 사용하지 않는 계정이나 퇴직자의 접근 권한이 남아 있고 오래된 시스템의 교체나 협력업체 점검이 미뤄지기도 한다. 새로운 공격 기술이 주목받지만, 실제 사고는 오래 방치된 기본적인 빈틈에서 시작되는 경우가 많다. 지난해 국내 한 통신사에서는 수년 전 내부망에 침투한 악성 프로그램이 뒤늦게 발견되면서 대규모 개인정보 유출로 이어졌다. 침투 사실이 장기간 발견되지 않은 관리 공백이 피해를 키운 것이다. 이러한 문제를 보안 담당자의 역량 부족으로만 돌릴 수는 없다. 시스템을 교체하고 보안 인력을 늘리려면 비용과 시간이 필요한데 이를 결정하는 것은 결국 경영진이기 때문이다. 사업 확장의 성과는 곧바로 나타나지만, 보안 투자의 성과는 '아무 일도 일어나지 않은 것'이니 눈에 잘 띄지 않는다. 당장 문제가 없다는 이유로 보안이 뒤로 밀리기 쉬운 이유다. 법은 처벌뿐 아니라 예방도 묻기 시작했다 이러한 현실을 반영해 법도 보안을 기술 부서만의 업무가 아니라 경영진이 책임져야 할 기업 관리의 문제로 보기 시작했다. 오는 9월 시행을 앞둔 개정 개인정보보호법은 일정한 반복적·대규모 개인정보 침해에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 동시에 개인정보 보호를 위한 예산과 인력, 설비 등에 미리 투자한 경우에는 이를 과징금 감경 사유로 인정하도록 했다. 처벌을 강화하는 데 그치지 않고 기업이 사고 전에 투자하도록 유도하려는 것이다. 개정법은 사업주나 대표자를 개인정보 처리와 보호에 관한 최종 책임자로 명확히 하고 개인정보 보호책임자의 역할과 권한도 강화했다. 법이 묻는 것은 사고가 발생한 직접적인 원인만이 아니다. 필요한 인력과 예산을 배정했는지, 낡은 시스템을 방치하지 않았는지, 외부 업체의 위험을 평소에 제대로 관리했는지도 기업의 책임을 판단하는 기준이 된다. 왜 보안사고는 줄지 않을까. 공격은 더 정교해졌고 공격할 곳은 더 많아졌지만 보안 관리는 그 속도를 따라가지 못했기 때문이다. 보안사고는 IT 시스템에서 발생하지만, 그 위험을 사전에 줄일 것인지는 경영이 선택하고 책임져야 할 때다.

2026.07.29 16:20안정민 컬럼니스트

개인정보위, 29일 KT 침해사고 제재 논의

KT 사이버 침해사고에 대한 개인정보보호위원회의 제재 수위 심의가 오는 29일 시작된다. 27일 개인정보위에 따르면 이번 주 전체회의를 열어 KT 개인정보보호법 위반에 따른 시정명령과 제재 수위를 논의한다. 위원회 심의가 당일 마치게 되면 업계의 관심이 쏠리는 제재 수위는 30일에 공개될 예정이다. 개인정보위는 지난달 쿠팡에 약 6400억원의 역대 최대 과징금 처분을 내린 터라 더욱 관심이 집중되는 분위기다. 심의가 길어지면 29일 결론을 내리지 몫하고 차기 회의에서 계속 논의될 수도 있다. KT의 경우 약 2만 2000명의 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등의 정보가 유출됐다. 상대적으로 앞서 시정명령을 받은 침해사고와 비교하면 실제 피해 가입자 규모는 적은 편이지만 무단 소액결제 피해가 일부 확인되면서 과징금 부과 기준에서 매출 산정 범위와 감경 사유 등을 예단하기 어려운 편이다.

2026.07.27 17:27박수형 기자

공공AX 추진때 프라이버시 보호는?...개보위, 안내서 발간

공공부문의 인공지능 전환(AX;AI Transformation, 이하 'AX')이 본격 추진되는 가운데, 프라이버시를 고려해 안전하고 신뢰할 수 있는 공공 AX를 추진할 수 있게 지원하는 안내서가 나왔다. 개인정보보호위원회(개인정보위)는 23일 열린 제11회 과학기술관계장관회의에서 '공공 AX 프라이버시 보호 안내서'를 공개했다. 이번 안내서는 공공기관이 AX를 추진하는 과정에서 개인정보 처리 이슈를 미리 확인하고 대응할 수 있게 하기 위해 마련됐다. 공공기관은 국민 일상과 밀접한 행정서비스를 제공하며 복지, 보건, 안전, 민원 등 다양한 분야의 방대한 데이터를 처리한다. 이에 따라 공공 AX 안전성은 정부 정책과 행정서비스에 대한 국민 신뢰와 직결된다. 일선 공공기관은 개인정보보호와 인공지능(AI) 분야 전문인력이 충분하지 않아 복잡한 AI 데이터 처리방식을 이해하고 구체적인 보호조치를 설계하는 데 어려움을 겪는 경우가 있다. 개인정보위는 이러한 현장 어려움을 줄이고 공공AX가 보다 적극적으로 추진될 수 있도록 AI 관련 사전실태점검, 사전적정성 검토 결과 등 실제 사례를 바탕으로 법적기준, 안전조치 등을 안내서에 담았다. 안내서의 주요 내용은 다음과 같다. 첫째, 공공AX 추진 세 단계로 나눠 실무자 확인 '10대 핵심 점검사항' 제시 '사전 설계' 단계에서는 AX를 통해 달성하려는 목적과 처리 대상을 명확히해 목적제한, 최소수집 등 보호원칙이 준수될 수 있는 기반을 마련하도록 했다. 또한, 처리하는 개인정보 항목별 수집·이용·제공의 적법 근거를 확인하도록 했다. 개발·구축 방식을 선택할 때는 시스템 성능 뿐 아니라 처리하는 개인정보 성격과 예상되는 프라이버시 위험을 함께 고려해 적절한 방식을 선택하도록 안내했다. '개발·구축' 단계에서는 학습데이터 활용, 지시어 입력, 검색 증강 생성 연계, 결과 출력 등 개인정보가 처리되는 지점별 안전조치를 적용하도록 했다. 실무에서 검토할 수 있는 안전조치 내용으로 학습데이터 가명·익명처리, 차분 프라이버시 등 개인정보보호 강화기술 적용, 개인정보 입력·출력 필터링, 접근권한 관리 등을 제시했다. '시스템 적용·관리' 단계에서는 배포 전·후 테스트 등을 통해 개인정보 유·노출 가능성을 지속 확인하고, 모니터링 및 사고 대응체계를 마련하도록 했다. 또한, 개인정보 열람, 정정·삭제, 처리정지 등 보호법에서 보장하고 있는 정보주체 권리에 대한 보장절차를 수립하도록 하고, 처리방침 등을 통해 개인정보 처리 관련 사항을 투명하게 알리도록 안내했다. 둘째, 공공AX 활용 방식과 위험 수준 따라 필요한 보호조치 차등 제시 공공 AX를 ▲기초업무 보조 ▲정보 연계·분석·추천 ▲선별·판단의 세 가지 유형으로 구분하고, 모든 AI 시스템에 동일한 조치를 일률적으로 요구하기보다는 구체적 맥락에 따라 필요한 사항을 유연하게 검토할 수 있도록 했다. 대규모 언어모델을 활용한 자료 가공·요약·검색, 챗봇 상담 등 '기초업무 보조' 유형은 안전한 이용환경 조성과 기본적인 안전조치를 중심으로 안내했다. 허용·금지되는 활용 사례를 명확히해 주요 사용자를 대상으로 안내 및 교육하고, AI 입력·출력 데이터 등에 대한 관리체계를 수립하도록 안내했다. 여러 데이터베이스와 시스템을 연결해 맞춤형 정보를 분석하거나 추천하는 '정보 연계·분석·추천' 유형은 목적 외 이용과 과도한 개인정보 추론 위험을 중점적으로 살피도록 했다. 외부 데이터베이스(DB)를 연계할 때 처리 근거 미비가 없도록 확인하고, 분석·추론되는 정보도 목적 달성에 필요한 수준으로 제한해 사생활 침해를 최소화하도록 했다. 또한 연계된 데이터베이스(DB) 및 시스템에 대해 접근권한을 차등 부여, 접근통제하는 등 강화된 관리체계를 구현하도록 안내했다. 행정 수혜자 선별, 위험 탐지 등 공공 의사결정에 직접 활용되는 '선별·판단' 유형은 AX 및 개인정보 처리의 필요성·효과성, 법적 근거를 보다 면밀하게 검토하도록 했다. AI의 편향과 정확성·강건성 부족으로 인해 정보주체 권리침해가 발생하지 않도록 관련 데이터의 정확성·대표성, 시스템의 성능을 지속 점검·개선할 수 있도록 했다. 또한, 자동화된 결정에 해당하는 경우 보호법에서 보장하는 거부권, 설명·검토 요구권 등 정보주체의 권리가 실질적으로 보장될 수 있도록 대응체계를 마련하도록 안내했다. 셋째, 안전한 AX 위한 각 공공기관 역할과 개인정보위 역할 제시 각 공공기관은 기관장, 개인정보 보호책임자(CPO), 최고인공지능책임자(CAIO) 등을 중심으로 개인정보 보호를 공공 AX의 핵심 요소로 인지하고, 개인정보보호 부서, AX 현업부서 등 관련 부서 간 협력체계를 구축하는 것이 바람직하다. 또한, AI 운영환경을 고려하여 내부 관리계획을 고도화할 필요가 있다. 개인정보위는 공공기관의 애로사항 해소를 밀착 지원하기 위해 '공공 AX 프라이버시 헬프데스크'를 상시 운영한다. 헬프데스크는 공공기관의 문의 내용과 사업 특성에 따라 ▲법령 해석 ▲사전적정성 검토제 ▲가명정보 처리 지원 ▲규제 샌드박스 등 적합한 지원제도와 연계하는 종합창구다. 송경희 개인정보위 위원장은 “공공AX는 국민에게 더 빠르고 편리한 서비스를 제공하고, 공무원이 보다 효율적으로 일할 수 있도록 하는 정부 혁신의 핵심 수단”이라며 “개인정보위는 공공기관이 프라이버시에 대한 불확실성 때문에 혁신을 주저하지 않도록 구체적인 기준과 실무적인 해결방안을 제공하고, 공공 AX가 안전하고 신뢰할 수 있는 방식으로 확산될 수 있도록 적극 지원하겠다"고 말했다.

2026.07.23 10:01방은주 기자

개보위, '개인정보 이노베이션 존' 운영기관 모집

개인정보보호위원회(개인정보위)가 '개인정보 이노베이션 존' 운영기관을 모집한다. 이번 지정 공모는 오는 9월 4일까지 약 30여일간 진행한다. 20일 개보위에 따르면, '이노베이션 존'은 데이터 처리 환경 안전성을 높여 가명정보를 보다 유연하게 활용할 수 있게 지원하는 공간이다. 연구자와 기업이 양질의 데이터를 보다 안전하게 활용할 수 있는 기반을 마련하기위해 지난 2024년 도입했다. 지금까지 이노베이션 존 운영기관으로 지정한 곳은 총 8곳이다. 국가데이터처(구.통계청), 국립암센터, 한국사회보장정보원, 더존비즈온, 한국도로공사, 한국교육학술정보원, 광주테크노파크, 대구디지털혁신진흥원(개소준비중) 등이다. ' 이노베이션 존'은 “아무도 신뢰하지 않는다.”라는 '제로 트러스트(Zero Trust)' 원칙에 따라 사전·사후적 데이터 처리과정 전체를 관리한다. ▲4인 이상 담당 전문 조직 ▲다중 인증 방식 ▲실시간 화면 녹화 등을 통해 데이터 처리 환경에 대한 안전성을 높였다. 또 안전한 데이터 처리 환경을 기반으로 일반적인 연구 공간에서는 시도가 어려웠던 ▲가명처리 수준 완화 ▲다양한 결합 키 활용 ▲지속·반복적 연구를 위한 가명정보의 장기간 보관 및 제3자 재사용 등을 수행할 수 있다. 특히 ▲빅데이터(영상·이미지 등) 표본 검사 ▲개인정보보호 강화기술(PET) 실증연구 등도 가능, 작년에 관계 부처 합동으로 발표한 '새정부 경제성장 전략'의 AI 대전환 15대 선도 프로젝트로 선정된 바 있다. 이번 지정 공모는 국비지원 부문과 자체구축 부문으로 구분해 모집한다. 국비지원 부문(공공기관만 지원 가능)으로 선정된 기관에는 이노베이션 존 구축·운영을 위해 3.7억원 규모의 국비를 지원(보안장비·SW 등 인프라 구축비)한다. 신청을 희망하는 기관은 오는 9월 4일까지 개인정보위에 지정 신청서 등 서류를 제출하면 된다. 기존 결합전문기관, 데이터 안심구역, 가명정보 활용지원센터가 신청하는 경우에는 가산점을 부여한다. 공모에 관한 보다 상세한 내용은 개인정보위 누리집(www.pipc.go.kr)과 한국인터넷진흥원 누리집(www.kisa.or.kr), 가명정보 지원 플랫폼(www.dataprivacy.go.kr)에서 확인할 수 있다.

2026.07.20 22:47방은주 기자

개보위, AI개발 리스크 해소 '안심 지원 체계' 구축

개인정보보호위원회(개인정보위)가 AI 개발·운영 과정의 프라이버시 리스크와 법적 불확실성 해소를 위해 가칭 'AX 안심 지원체계'를 구축한다. 또 공익·사회적 목적의 AI 기술 개발 시 맞춤형 안전조치를 전제로 개인정보 활용을 허용하는 'AI 원본활용 특례'도 도입한다. 대규모·민감정보를 보유한 공공기관을 대상으로 개인정보 보호 및 관리 체계도 강화한다. 이에, 공공기관 시스템 중 387개 주요 개인정보 처리 시스템은 연 1회 이상 취약점 점검과 모의해킹을 의무화하고, 전문 CPO 지정 및 신고를 오는 9월부터 의무화한다. 정부24, 국민신문고 등 주요 시스템 81개를 대상으로 내년 7월부터 ISMS-P 인증을 의무화, 단계적으로 확대한다. 16일 개인정보위는 이 같은 내용을 포함한 ▲4대 역점 분야 ▲3대 개혁과제 ▲2대 지방주도 성장 과제 ▲ 3대 국가정상화 과제를 이재명 대통령에게 보고했다. 역점분야1/AX 혁신을 위한 안전한 개인정보 활용체계 구축 수요에 부응하는 안전하고 효과적인 데이터 활용 실현에 매진한다. 이를 위해 첫째, 'AI 원본활용 특례'제를 도입한다. 절차는 신청·접수 → 현장조사, 위험요인 평가 → 전문위/개인정보위 심의·의결 → 사후관리로 진행된다. 이미 지난 5월 14일 국회 상임위에서 이 같은 내용의 '개인정보 보호법 개정안'이 의결됐다. 둘째, '에이전틱 AI'와 '공공 AX' 등 분야별 안내서를 발간해 현장의 안전처리를 지원한다. 이는 현장의 목소리를 반영한 것으로, 올 1월 23일 열린 '자율주행·로봇산업 발전 위한 개인정보 규제합리화 현장간담회'에서 "자율주행 AI 분야의 글로벌 경쟁이 심화하고 있는 상황이다. 신속한 법제 정비와 가이드라인 마련이 필요하다"는 목소리가 나왔다. 셋째, AX 종합지원 체제도 가동한다. 사안별 최적수단 매칭으로 규제 불확실성을 해소한다. 구체적으로, AI 개발·운영 과정의 프라이버시 리스크와 법적 불확실성 해소를 위해 다양한 혁신지원 제도를 통합한 가칭 'AX 안심 지원체계'를 구축한다. 또 적극 법령해석, 사전적정성 검토, 비조치 의견서 등 개인정보위 제도를 통해 적법하고 안전한 공공·민간 AX를 지원한다. 넷째, 국가간 안전한 데이터 이전도 추진한다. 국외이전수단 확대 및 지역별‧국가별 전략적 협력에 나선다. 개인정보위 마련 표준계약서(SCC)와 개인정보위 승인을 받은 기업내부규정(BCR) 에 따른 국외이전 허용 및 국외이전 영향평가제(대규모‧민감정보 이전, 보호수준 우려 국가로의 개인정보 이전 시 평가)를 신설한다. 역점분야2/예방체계 확산으로 개인정보 보호 생활화 사전실태점검으로 위험요인을 사전에 해소한다. 이를 위해 첫째, 고객센터·에듀테크·요양병원 등 국민생활 밀접분야와 사고 시 파급효과가 큰 대규모·민감정보 보유 분야를 대상으로 정기 및 수시 실태점검을 실시한다. 특히 클라우드 협업 도구, AI 에이전트 등 신기술 분야도 개인정보 위협요인을 사전에 파악한다. 둘째, 공공실태점검단을 중심으로 각 부처와 소속 및 산하기관의 실태점검을 지원하고 감독한다. 각 부처가 본부 외 소속 및 산하 기관까지 관리·점검하고, 개인정보위는 실태점검 지원으로 지속적 관리 및 점검체계를 확립한다. 특히 주요 공공 시스템(387개) 중 자체점검 결과 미흡 시스템은 합동점검하고, 주민등록번호 5천만 건 이상 보유 대민시스템(11종)은 집중 관리한다. 셋째, 예방투자 상응 인센티브 설계다. 개인정보보호 노력과 연계해 과징금을 부과하고 평가 활성화도 도모한다. 이를 위해 첫째, 오는 9월 예방투자 및 유출사고 회복력(레질리언스)을 반영한 과징금 제도를 시행, 법상 의무를 뛰어넘는 실질적 예방투자에 대해 인센티브를 부여한다. 또 유출 사고 신속 탐지 및 차단, 2차 피해 방지 및 피해회복 등 보다 안전한 보호체계로의 복원 노력 수준도 과징금 산정에 반영한다. 둘째, 평가·컨설팅을 통한 개인정보 보호 관심 제고와 보호 실천 내재화 차원에서 개인정보 영향평가와 민간 활성화를 위한 평가 기준 및 방법을 오는 12월까지 재설계한다. 주요 시스템 도입·개편 시 개인정보 침해요인 분석과 개선방안 도출 등에 나선다. 다양한 업종별 평가와 심사를 하고 개인정보 보호 활동 지표 포함도 추진한다. 사례가 있다. 문체부 관광호텔업 등급평가 가점항목에 투숙객 개인정보 보호를 반영해 7월1일부터 시행중이다. 공공앱·프랜차이즈 등 국민생활 밀접 기업·기관 52곳의 처리방침을 평가한다. 셋째, 보호여력이 부족한 중소·영세 기업은 직접 지원한다. 사고 발생 시 신속 기술지원, 경미 사건은 시정을 전제로 처분을 면제하되, 반복 시 가중하는 중소·영세 기업은 처분성 경고제를 오는 9월 도입한다. 보호체계 자가점검 도구 개발 추진 및 중소·영세 기업은 우선 배포하며, 안전성 확보조치 수준 현장 진단 후 종합적 개인정보 보호 컨설팅을 해준다. 넷째, 대규모·민감정보를 보유할 수 밖에 없는 공공기관을 대상으로는 개인정보 보호·관리 체계를 강화, 주요 개인정보 처리 시스템 387개를 대상으로 의무를 확대한다. 즉, 전문 CPO 지정 및 신고를 의무화하고, 현재 자율인 개인정보보호 관리 체계 인증(ISMS-P)을 내년 7월부터 단계적 의무화하고, 현재 권장인 취약점 점검 및 모의해킹을 연 1회 의무시행해야 한다. 다섯째, 기관별 개인정보 보호 인력과 예산(취약점 점검, 접속기록 관리, 개인정보 보호 솔루션 도입 등 안전조치 예산) 확보를 지원하고 처우개선(특수업무수당, 근평 등 가점 부여 및 장기근속 우대방안 등)과 병행해 업무해태, 고의·중과실 유출 등에는 징계권고와 이행점검으로 책임성을 강화했다. 역점분야3/국민이 체감하는 개인정보 권익 증진 첫째, 개인정보 유출 피해에 대한 실질적 보상을 추진, 유출 발생 시 기업의 손해배상 책임원칙을 명시, 기업이 기술현황 등 유출책임에 대한 전반적 입증을 하도록 법정 손해배상제도 강화한다. 둘째, 유출 기업에서 징수한 과징금 수입 등이 국민 권리구제, 피해회복에 쓰일 수 있도록 통합기금 마련을 기획처 협조를 얻어 추진한다. 셋째, AX로 국민 권리행사를 효과적으로 지원하기 위해 AX 기반 개인정보 상담‧신고 처리 및 대국민 피해구제, 권리회복 지원을 위한 개인정보 침해 종합지원 서비스를 올 하반기 설계하고 내년에 구축한다. 정보주체가 개인정보에 대한 권리(열람·정지 등)를 보다 쉽게 행사할 수 있게 AI 기반 대국민 지원 서비스를 제공하고, 국민 개인정보 권익을 증진하고, 권리구제를 종합 집행하는 체계를 마련한다. 넷째, 신기술 프라이버시 침해 예방 차원에서 일상생활과 밀접한 분야 이용자수가 많은 주요 앱(300개 내외)을 대상으로 다크패턴(눈속임 설계) 현황을 분석, 탈퇴 방해와 선택동의 강요, 지속·반복적 동의 요구, 불명확한 문구 통한 동의 획득 등 주요 다크패턴 유형 분류 및 현실적 규율체계를 마련한다. 다섯째, 개인정보 생애 전주기 프라이버시 침해방지 연구개발(R&D)도 신규 과제로 추진, 개인정보 비식별화, 추론방지 등 산업현장에서 활용할 수 있게 실증 및 상용화를 목표로 하는 개인정보보호 강화 기술(PET) 연구개발에 나선다. 즉, 개인정보 유출사고 발생시 신속한 초동대응을 위한 'AI 기반 로그 통합분석 기술' 연구를 범부처 현장수요 신속대응 R&D 사업으로 과기정통부 협조를 얻어 추진한다. 역점분야4/신속한 조사·처분 및 실효적 제재 첫째, 중요 사건(100만건 이상 유출 등) 중심 신속한 조사·처분으로 개인정보 유출 2차 피해 방지 및 국민 피해 구제 지원에 나선다. 특히 중요 사건의 경우 전담 조사단(TF)을 구성해 신속히 처분하고, 국민 손해배상청구 등에 증거로 활용할 수 있게 지원한다. 개보위는 "급증하는 사건 신속 조사·처분을 위한 조사 수행인력 현실화도 필요하다"고 밝혔다. 둘째, 처분례가 확립된 소규모 사건에 대해서는 신속 처리절차를 도입한다. 예컨대, 소액 과징금(예 1억원) 사건의 경우 개인정보위 소위원회에서 집중 심의한다. 셋째, 제재 실효성은 강화, 책임에 상응하는 엄정제재 및 조사 강제력을 강화한다. 즉, 중대·반복 위반 시 징벌적 과징금을 부과(매출액의 최대 10%)하고, 유출신고 및 통지를 지연하거나 피해 확산 방지 조치 불이행 시 과징금을 가중해 부과한다. 넷째, 조사 비협조에 대한 이행강제금 및 증거보전명령, 위반 확정 전 침해중지 등을 명할 수 있는 긴급 보호조치 명령 등 조사력 강화 제도도 마련한다. 이와 관련한 '개인정보 보호법' 개정안이 올 2월 발의, 현재 정무위에 계류 중이다. 다섯째, 기술 역량 강화로, AI 해킹 등 신규 위협 대응 과학적 조사체계를 구축한다. 즉, 랜섬웨어 등 복잡한 증거 확보 및 분석이 가능하게 포렌식랩 기능을 고도화하고, AI·신기술 침해위협 적시 대응을 위한 기술분석센터를 올 12월 구축한다. 3대 개혁과제 개보위는 이 같은 하반기 중점과제 외에 3대 개혁 과제로 AI시대 위험기반·원칙중심 규율 체계로 전환, 사망자 정보 규제 합리화, 마이데이터를 통한 국민 편익 증진을 제시했다. 1)AI시대 위험기반·원칙중심 규율 체계로 전환: AI 시대 필수 요소인 데이터(개인정보) 활용 혁신방안을 수립 및 이행, 3대 메가프로젝트 등 국가적 사업에 적극 동참한다. 또 사회적 합의를 통해 수용 가능한 개인정보 적법처리 근거 확대를 추진한다. 예컨대, 현행 민간 '공익' 목적 데이터 활용 제약을 개선, 공익 목적(범죄대응, 재난방지 등)에 활용하게 하는 것이다. 또 현재 사고 CCTV 열람 등 정당한 사유에도 데이터 처리가 불가한데 이를 개선하는 것 등이다. 스마트글라스, 로봇 등 현실 데이터 환경을 반영한 처리 및 보호 원칙도 수립한다. 카메라·마이크 등 주변을 실시간 인식, 주변인 데이터 수집·이용이 불가피한 측면이 있는 반면, 오남용 등 프라이버시 침해 위협도 존재함에 따라 균형적 고려가 필요하다. 규율체계도 차등화, 일률적 규율체계를 재검토한다. 개인정보 성격·민감도, 처리결과 예측가능성 등 중요도·파급력을 고려해 위험도 기반으로 차등적 안전조치 개선방안을 수립해 추진한다. 에이전틱 AI의 자율성을 고려한 책임성 확보 방안과 피지컬AI의 실시간 데이터 처리 위험성 통제 방안 등 기술별 리스크 관리 기준도 마련한다. 2)사망자 정보 규제 합리화: 사고 발생 시마다 법령해석을 거치는 현행 체계를 탈피, 재난 등 특수한 상황의 사망자 정보 이용기준을 수립한다. 즉, 재난상황 시 사망자·유족의 개인정보 처리·보호 지원 안내서를 10월께 발간하고, 사자(死者) 정보 이용 보호를 위해 생전 의사표시 등에 기반한 유족의 사망자 계정 접근 허용 및 사망자·제3자 프라이버시 보호 균형 방안을 마련한다. 현행법 상 살아있는 개인의 정보만 개인정보로 규정하므로, 사망자 정보는 법 적용 불확실성이 존재한다. 3)마이데이터를 통한 국민 편익 증진: 첫째, 국민 체감 선도서비스를 출시한다. 즉, 마이데이터 제도를 통해 국민(정보주체)이 편리하고 주체적으로 데이터를 활용하고 서비스를 체감할 수 있게 한다. 이를 위해 의료·통신·에너지 등 각 분야를 융·복합한 혁신 서비스를 오는 12월께 출시한다. 국민체감 혁신 서비스의 예는 다음과 같다. (의료) 병원 진료·검사내역 파편화 ⇒ 진료내역 활용을 통한 비대면 진료 고도화, 맞춤형 식단 서비스, (통신) 통신요금의 과다여부 확인 애로 ⇒ 실제 이용패턴을 기반으로 맞춤형 요금제 추천, (에너지) 청년·주부·고령자 등은 금융이력 부족 ⇒ 공과금 납부 이력을 활용한 대안 신용평가 등이다. 둘째, 마이데이터 주권 실현 구체화에 나선다. 개인정보 활용 수익의 일정 부분을 소유자인 정보주체에게 환원하는 것을 검토, 새로운 차원의 개인정보 권리 보장을 추진한다. 셋째, 마이데이터 제도와 연계한 이익공유(환원) 방안 마련 및 시범사업도 추진한다. 개보위는 이의 사례로 아래 내용을 들었다. 주민, 기업 등 자발적 참여를 기반으로 원본 및 빅데이터(의료, 에너지 데이터 등)를 연구, AI 구축 등에 활용해 부가가치를 창출한 경우, 일부를 참여자에게 환원하는 모델. 넷째, 돌봄·응급이송 등 사회난제 해결 위한 국민참여 리빙랩 방식 실증 등으로 마이데이터 제도의 효과를 확산한다. 2대 지방주도 성장 과제 개인정보위는 지방 주도 성장 과제 2가지도 제시했다. 데이터 안전활용 인프라 확산으로 지역혁신 촉진과 지방 청년 인재양성 및 청년 스타트업 지원이다. 1)데이터 안전활용 인프라 확산으로 지역혁신 촉진: 첫째, 지방 주도 데이터 산업 육성이다. 5극 3특 국가균형성장 전략, 3대 메가프로젝트 등 국가역점사업 지원을 위한 개인정보 활용 제도를 혁신하고, 목적 제한 완화로 가명·결합정보의 활용 범위를 확대 및 재사용을 허용한다즉, 현재는 특정 개별 연구에 활용 후 즉시 파기해야 하는데 이를 개선, 다양한 연구에 재사용 가능한 데이터셋을 사전에 구축해 안전한 환경에서 보관한다. 지역 시범사업에 선(先)적용(예 광주 의료데이터) 후 단계적 제도화를 추진한다. 둘째, 가명제도 거점을 확대한다. 지역 한계가 없는 AX를 위해 지역 플랫폼을 확대한다. 각 지역 가명정보 활용 지원센터의 가명처리 서비스 대상을 확대하고, 가명정보 결합기능도 부여, 데이터 활용 거점으로 도약한다. 텍스트 뿐 아니라 영상·음성·이미지 등 비정형 데이터까지 가명처리 인프라를 확보한다. 셋째, 거점별 이노베이션 존 간 데이터 연계(클라우드화)로 자유로운 개인정보 분석·활용 수행, 데이터 결합·분석까지 가능게 연계 확대 및 추진에 나선다. 넷째, 가명제도 거점을 확대한다. 지역적 한계가 없는 AX를 위해 지역 플랫폼을 확대, 각 지역 가명정보 활용 지원센터의 가명처리 서비스 대상을 확대하고, 가명정보 결합 기능도 부여,데이터 활용 거점으로 도약시킨다. 텍스트 뿐 아니라 영상·음성·이미지 등 비정형 데이터까지 가명처리 인프라를 확보한다. 또 거점별 이노베이션 존 간 데이터 연계(클라우드화)로 자유로운 개인정보 분석·활용을 수행한다. 현재 가명 처리·활용 지원센터는 7개(서울·인천·원주·대전·전주·대구·부산), 결합전문기관은 가명정보 간 결합 수행은 18곳으로 서울·경기·강원·대전·전북·대구·경북·전남 등이다. 또 이노베이션 존은 8곳으로 서울·경기·춘천·대전·광주·대구·김천 등이다. 2)지방 청년 인재양성, 청년 스타트업 지원: 첫째, 찻방소재 대학 등 IT 전공 청년을 대상으로 개인정보 법령·기술을 집중교육한 후, 개인정보 보호 관리체계 컨설팅 활동으로 연계를 추진 한다. 둘째, 전문성 보증을 위한 개인정보 분야 공인 민간자격·국가 자격 도입을 검토한다. 즉, 국가직무능력표준(NCS)의 기능 분류 및 설계를 참고해 필수 역량 등을 도출한다. 셋째, 접근성 낮은 지역 중심으로 현장맞춤을 지원한다. 또 가명정보 활용 지원센터를 통해 투자여력이 낮은 청년 스타트업 대상 개인정보 법령·기술을 컨설팅하고, 권역별 처리자 교육(20회), 전국 초·중·고 및 노령층 등 피해예방 교육(250회) 실시, 공공기관 보호수준 미흡 권역(3개 지역) 맞춤형 컨설팅을 시행한다. 2대 국가정상화 과제 개인정보 유출신고 역설(성실신고 기업이 더 큰 부담) 해소: 첫째, 미신고 적발 시 더 큰 경제적 부담을 지도록, 장기간 해태·의도적 방치 시 과징금 가중, 신고·조기 대응에는 인센티브를 9월께 부여한다. 둘째, 온라인 상 노출 및 불법유통 개인정보 탐지를 강화한다. 1)증거 은닉·폐기 시 제재 및 신고포상금 도입: 첫째, 개인정보 유출사고와 권리침해 사항을 은폐‧축소하기 위해 관련 자료를 은닉‧폐기한 행위에 대한 과징금 등 제재를 신설하고, 신고포상금제를 도입, 은닉‧폐기 행위를 신고해 위법행위 처분에 도움이 된 자에게 과징금의 일정비율을 포상금으로 지급한다. 2)개인정보 불법유통 탐지·대응 강화: 첫째, 형벌규정을 신설, '누구든지' 유출된 개인정보임을 알면서 구매·제공·유포하는 행위를 금지하고, 형벌규정(5년이하 징역, 5천만원 이하 벌금) 신설하고 둘째, 수사 협업 근거를 마련, 개인정보위의 불법유통 관련 정보 수집·분석 및 탐지·삭제·차단 근거를 마련하고 수사기관 등 관계기관과의 협업체계를 구축한다. 또 개인정보 불법유통 탐지체계를 다크웹 등 음성화 사이트로 6월부터 확대, 운영중이다.

2026.07.16 16:20방은주 기자

李대통령, 쿠팡 겨냥..."나만 표적? 개인정보유출, 법과 방침 따라"

이재명 대통령이 16일 청와대 영빈관에서 열린 개인정보보호위원회 업무보고에서 “나만 표적으로 하는 것 아니냐고 주장하는 기업이 있는 것 같다”면서 “어떤 기업을 고려하지 않고 법과 방침에 따라 한 것이라고 충분히 설명하면 좋겠다”고 밝혔다. 최근 개인정보 유출로 6247억원의 과징금 처분을 받은 쿠팡을 고려한 발언으로 풀이된다. 쿠팡에 대한 제재에 그치지 않고 미국 의회와 정부가 나스닥에 상장된 쿠팡이 피해를 입었다고 주장하면서 국가 간 마찰 문제로 비화되고 있기 때문이다. 송경희 개인정보위원장은 이에 대해 “위원회는 국가나 기업, 기관에 관계 없이 법 위반 행위에 집중해 엄정하고 공정하게 처분을 내리고 있다”고 강조했다. 이 대통령은 “개인정보 유출에 대해서는 제재금을 대규모로 올려야 기업들이 개인정보 보호 활동을 할 것”이라며 이를 두고 나만 표적으로 해서 이러는 것 아니냐는 주장을 하는 기업도 있는 것 같더라”고 말했다.

2026.07.16 12:28박수형 기자

이력서·연봉 정보 쌓인 HR 플랫폼, 개인정보 관리 시험대 올랐다

이력서와 연봉 등 방대한 개인정보를 보유한 HR 플랫폼들이 정부의 개인정보 처리방침 평가 대상에 오르며 관리 체계 점검을 받게 됐다. 최근 수년간 일부 채용 플랫폼에서 개인정보 유출 사고가 반복된 데다, 기업 인수합병(M&A)에 따른 개인정보 해외 이전 우려까지 제기되면서 관리 체계 전반에 대한 점검 필요성이 커지고 있기 때문이다. 국내 HR 플랫폼들은 보안 투자 확대와 관리 체계 강화에 나서고 있다. 다만 개인정보보호위원회 평가 결과에 따른 조치가 개선 권고에 그친다는 점에서 실효성에는 한계가 있다는 지적도 나온다. 7일 IT업계에 따르면 개보위는 지난 6일 '제 3기 개인정보 처리방침 평가위원회'를 출범하고 국민생활과 밀접한 7개 분야, 52개 서비스를 대상으로 개인정보 처리 방침을 살펴보겠다는 계획을 발표했다. 이 위원회는 외부 전문가 30명으로 구성됐으며, 기업과 기관이 공개한 개인정보 처리방침의 법령 준수 여부, 실제 처리 현황 일치성, 권리 보장 수준 등을 종합적으로 살펴본다. 학력·연봉 등 개인정보 다수…유출 이력·해외 이전 우려도 개보위가 살펴보는 7개 분야에는 HR 플랫폼도 포함된다. HR 플랫폼의 경우 이용자가 올려둔 자기소개서와 이력서에 이름, 이메일, 학력, 근무회사와 이력 등 다량의 개인정보가 포함돼 있다. 일부 이력서에는 지원자 사진과 연봉도 기재돼 있다. 여기에 일부 플랫폼은 지난 몇 년 사이 개인정보가 유출된 전력이 있다. 웍스피어가 운영하는 알바몬은 지난해 5월 임시저장 이력서 2만2473건이 유출됐다. 유출 정보에는 임시저장된 이력서 정보 내 이름과 휴대폰 번호, 이메일 주소 등이 포함된다. 인크루트는 2024년 7월 3만5000건, 지난해 1월 해커의 공격으로 728만 명의 개인정보를 빼앗겼다. 해당 사안을 두고 개보위는 4억6300만원의 과징금을 부과했다. 리멤버 역시 2023년 단체 이메일을 발송하는 과정에서 다른 사람의 이메일 주소가 노출되는 '동보 메일' 실수로 365명이 피해를 입었다. 지난해 리멤버가 글로벌 사모펀드 EQT 파트너스에 인수되면서 개인정보 해외 이전 우려도 커지고 있다. 이에 강민국 국민의힘 의원은 대규모 개인정보를 보유한 기업의 인수합병이 진행되면 개보위의 사전 심사를 거치도록 하는 내용이 골자인 법안을 준비 중이다. 실제로 빗썸은 가상자산 거래 정보 국외 이전 과정에서 규정 위반으로 문제가 됐다. 빗썸이 해외 가상자산거래소와 오더북(호가창)을 공유하고 가상자산을 이전할 때 이용자 동의를 받은 거래소가 아닌 다른 거래소로 회원번호와 주문정보를 국외 이전했기 때문이다. 보안 대책 강화하는 HR 플랫폼…예산·인력도 확대 지난 몇 년 사이 개인정보 유출 과정과 처리 방침에 대한 문제가 불거졌던 만큼 국내 HR 플랫폼들은 관련 조치를 강화하고 예산을 늘렸다. 웍스피어는 지난해 해킹 시도 인지 즉시 해당 계정과 IP를 차단하고 보안 취약점에 대한 긴급 조치를 완료했다. 또 외부 해킹 및 계정 탈취 시도에 대한 상시 탐지 체계를 강화하고, 전문기관과 협력을 통해 점검 결과 등을 공유하고 있다. 개인정보 파일 다운로드 시 휴대전화 인증·사유 입력, 파일 암호화 강제 적용 등 기술적·관리적 보호조치를 운영 중이다. 사람인은 정기적인 내외부 감사를 통해 외부 위협에 대한 방어력을 강화하고 있다. 전사 정보보호 교육, 모의 훈련, 정보자산보호 등이 대표적인 예시다. AI 활용에서도 개인정보 최소수집 원칙을 적용하며 알고리즘이 구직자의 민감 정보를 학습하거나 저장하지 않도록 설계했다. 2024년 36.13%, 지난해 45.21%, 올해 43.9%로 지난 3년간 IT 예산 대비 정보보호 예산 비율도 늘렸다. 인크루트는 서비스, 서버·네트워크, 임직원 PC 등 전 영역에 걸쳐 관리 기준을 상향하고 임직원 보안 인식 제고 활동을 강화하고 있다. VPN, 서버, 업무시스템 등 모든 시스템에 다중 인증(MFA) 절차를 적용하고 있다. IT 예산 중 정보보호 관련 예산 30%이며, IT 인력 가운데 정보보호 인력 비중은 9% 내외다. 리멤버는 사고 이후 2024년 10월 개인정보보호지침 및 별도 가명정보 절차 수립·시행, 고유식별정보 등의 암호화, 전산실 등의 접근 통제 조치를 담은 개인정보 처리방침을 개정했다. 메일 발송 전 통제 절차 강화와 및 처벌 규정도 신설했다. 원티드랩은 '제로다크웹' 기술을 도입해 개인정보의 다크웹 유출을 방지하고 있으며, 정보보호투자액은 2024년 약 2억8000만원에서 지난해 약 4억1500만원까지 확대했다. 개선 권고가 최대…“강제성은 없어, 마무리는 10월 말” 다만 이번 위원회가 내릴 수 있는 조치는 과징금 등 강제 수단 없고 개선 권고에 그쳐 실효성는 의문이 제기된다. 개보위 관계자는 “개인정보 처리 방침에 작성된 내용으로 인해 곧바로 침해가 발생한 것은 아니다”라며 “구체적인 조사 등이 병행돼야 해 개선권고의 대상은 될 수 있어도 내용만으로 처분 대상이 된다고 보기는 어렵다”고 말했다. 개보위가 꾸린 평가위원회는 서면으로 전체적인 내용을 먼저 살펴보는 기초 평가, 기초 평가 과정에서 확인이 어려운 내용을 살펴보는 심층 평가(현장 평가), 기업의 이의신청 후 진행되는 종합 평가 순으로 진행된다. 기초 평가는 이달 중으로 마무리될 예정이며, 심층 평가는 8월 중순부터 9월 초까지 이어진 후 20일간의 이의신청 기간을 거쳐 10월 말에 종합평가를 마친다. 위원회는 이 때 최고제품책임자(CPO)와의 면담을 통해 정보 처리에 대한 관심도를 살펴본다. 만약 기관 및 기업의 개인정보 처리방침이 법령을 준수하지 않았다면 개선 권고를 내리고, 미흡한 사항을 안내 후 충분한 개선 시간을 가진 뒤 이행 점검을 진행하게 된다. 개보위 관계자는 “이행 점검 이후에도 권고 사항이 반영되지 않은 경우에 대한 추가적인 고민이 필요하다”고 덧붙였다. 김명주 서울여대 정보보호학부 교수는 "몇 천만원에 해당하는 비싼 과태료라도 매기는 것이 의미가 있다"며 "(위원회 입장에서는) 지금까지 과태료를 책정하지 않다가, 갑자기 매기는 것에 대한 부담감이 있었을 것"이라고 짚었다.

2026.07.07 17:57박서린 기자

개보위, 3기 개인정보처리 평가위원 30명 위촉...위원장 이희정 고대 교수

개인정보보호위원회(개인정보위)가 외부 전문가 30명으로 구성한 '제 3기 개인정보 처리방침 평가위원회'를 구성했다. 평가위원장은 이희정 고려대학교 법학전문대학원 교수를 위촉했다. 6일 위원 위촉식 및 간담회를 개최했다. 평가위원회는 기업·기관이 공개한 개인정보 처리방침을 대상으로 ▲법령 준수 여부 ▲실제 개인정보 처리 현황과의 일치성 ▲정보주체 권리 보장 수준 등을 종합적으로 평가하고, 우수 사례와 개선권고 사항을 발굴하는 역할을 한다. 이번 제3기 평가위원회는 개인정보 보호 법·제도, 정보보호·보안, 소비자 보호, 산업 현장 경험 등 다양한 분야의 외부 전문가 30명으로 구성했다. 학계, 법조계, 시민·소비자단체, 산업계 전문가가 참여해 평가 전문성과 균형성을 높였다. 개인정보위는 평가대상 분야의 특성을 반영해 평가위원회를 5개 전문분과로 구성했다. 올해 평가는 국민 생활과 밀접한 7개 분야(공공앱, 대학교, 채용플랫폼, 만남중개서비스, 해외명품브랜드, 팬덤플랫폼, 프랜차이즈(식음료)의 52개 서비스를 대상으로 추진한다. '개인정보 처리방침 평가제'는 기업·기관이 공개한 개인정보 처리방침이 법령에 맞게 작성되었는지, 실제 개인정보 처리 현황을 정확히 반영하고 있는지, 국민이 자신의 개인정보 처리 내용을 알기 쉽게 이해하고 권리를 행사할 수 있도록 안내하고 있는지를 종합적으로 평가하는 제도다. 이날 평가위원 위촉장 수여와 보안·청렴 선서에 이어 2026년 개인정보 처리방침 평가방향과 제도 개선방안에 대한 논의도 진행했다. 참석자들은 처리방침이 실제 개인정보 처리 현황을 충실히 반영하는지, 정보주체의 권리행사 절차가 실제로 작동하는지, 평가 결과가 자율적 개선으로 이어지기 위한 방안은 무엇인지 등을 중심으로 의견을 나눴다. '2026년 평가'는 공개된 개인정보 처리방침을 기준으로 서면평가를 실시하고, 실제 서비스 운영 현황과의 일치 여부를 확인하는 방식으로 진행한다. 이후 분과별 검토와 조정회의를 통해 평가의 일관성을 확보하고, 평가 결과에 따라 우수사례와 개선 필요사항을 도출한다. 개인정보위는 평가 결과를 대상 기관·기업에 안내해 자율적 개선을 유도하고, 필요한 경우 개선권고 등 후속 조치를 추진할 계획이다. 송경희 개인정보위 위원장은 “개인정보 처리방침은 국민이 자신의 개인정보가 어떻게 처리되고 있는지를 확인할 수 있는 가장 기본적인 창구”라며 “평가의 공정성과 실효성을 높여 국민이 신뢰할 수 있는 개인정보 처리 환경을 조성해 나가겠다”고 밝혔다.

2026.07.06 12:00방은주 기자

우리은행, 개인정보유출 어떻게…2차 피해는?

지난 3일 우리은행이 고객 개인정보 1만7551건이 유출됐다고 밝히면서, 은행에서 개인정보가 빠져나간 지에 대한 금융소비자들 우려와 관심이 커지고 있다. 6일 우리은행에 따르면 유출된 개인정보는 대체 불가 토큰(NFT) 월렛을 이용하는 금융소비자의 닉네임과 연계정보(CI, 주민등록번호를 해시화한 것)이다. 티빙 개인정보유출 사태과 마찬가지로 CI가 포함됐지만, 이름과 성별·전화번호 등 개인을 식별할 수 있는 정보가 없기 때문에 2차 피해는 없을 것으로 우리은행 측은 단정하고 있다. 유출된 닉네임 역시도 암호화된 상태이라고도 덧붙였다. 다만, 개인정보유출 사건의 경위는 밝혀내야 할 지점들이 많다. 개인정보유출 시점은 알 수가 없다. 우리은행은 2025년 2월 NFT 지갑 서비스를 오픈했다. 그리고 해당 개인정보가 유출됐다는 것을 우리은행이 인지한 것은 지난 6월 30일이다. 우리은행 관계자는 "2025년 9월 깃허브에 CI와 같은 개인정보가 올라와있다고 익명의 누군가 한국인터넷진흥원(KISA)에 신고를 했다"며 "이후 우리은행이 인지하게 된 케이스"라고 설명했다. 심지어 프로젝트를 마친 이후 외부업체와 우리은행은 개인정보 파기 등의 절차를 모두 마무리했다고 우리은행 측은 부연했다. 우리은행은 외부업체와 프로젝트 시작 시 '보안서약서'를 쓰고 사업 수행 중에도 은행 정보보호부에서 외부 수탁업체 프로젝트 참여 직원을 대상으로 매월 1회 보안교육을 실시한다. 프로젝트 종료 후 철수하는 수탁업체 직원들 대상으로 '철수확인서' 를 받으며, 수탁업체 전산장비 포맷 여부 등을 확인하는 절차를 거친다. 개인정보가 깃허브에 올라온 시점은 프로젝트 종료 후로 추정돼, 프로젝트 추진 중 유출이 있었을 것으로 추정된다. 현재는 개인정보보호위원회에서 해당 사안을 조사 중이다. 한편, 정진완 우리은행장은 3일 고객에게 문자메시지를 통해 "개인정보 관리 현황을 전수 조사해 미습한 점을 즉시 시정하겠다"며 "이번 유출로 피해 발생 시 최대한 신속하게 확인하고 보상하겠다"고 말했다.

2026.07.06 10:45손희연 기자

개보위, 광주TP서 헬스케어 현장 간담...'이노베이션 존' 현판식

개인정보보호위원회가 2일 광주테크노파크(광주TP)와 인공지능산업융합사업단(AICA)을 방문, 전남·광주 지역 현장의 인공지능(AI) 의료·헬스케어 분야 기업·기관 및 연구자들과 간담회를 열었다. 간담회에서 참석자들은 ▲가명정보 결합 및 처리 절차 간소화 ▲가명정보 활용지원센터 신규 설치 요청 ▲지역 연구기관·기업을 위한 가명정보 활용 컨설팅 확대 등 지역 현장의 데이터 활용 활성화를 위한 다양한 의견을 제안했다. 또 이날 개인정보 이노베이션 존 현판식도 함께 개최했다. 이번 현장 방문은 인공지능 시대에 지역 연구기관과 기업이 데이터를 안전하게 활용할 수 있게 지원하고, 현장이 느끼는 애로사항을 직접 청취하기 위해 마련했다. 송경희 개인정보위 위원장은 광주테크노파크에서 인공지능 의료·헬스케어 분야 기업·기관 및 연구자들과 데이터 혁신 활용 현장 간담회를 개최했는데, 지역 연구기관과 기업이 인공지능 연구 및 서비스 개발 과정에서 겪는 데이터 활용 애로사항과 제도개선 사항을 논의했다. 이어 광주테크노파크 개인정보 이노베이션 존을 방문해 시설과 운영 상황을 점검했다. 개인정보 이노베이션 존은 안전성이 강화된 환경에서 개인정보가 포함된 데이터를 보다 유연하게 활용할 수 있게 지원하는 공간으로, 광주테크노파크는 올해 2월부터 운영하고 있다. 광주테크노파크는 개인정보 이노베이션 존을 통해 호남권 의료·헬스케어 산업에 필요한 데이터의 심층 분석 및 종단 연구를 중점적으로 지원하기 위해 지역 거점 병원인 전남대 병원과 조선대 병원을 비롯한 전남·광주 지역 병·의원, 연구기관, 기업 등과 협력체계를 구축했다. 이날 현장에서는 개인정보 이노베이션 존 현판식과 함께 향후 운영계획과 개인정보 이노베이션 존에서 진행할 가명처리한 K-헬스(K-Health) 의료데이터를 인공지능 개발에 활용하는 연구과제 소개도 진행됐다. 광주TP 방문 이후 송경희 위원장은 인공지능산업융합사업단이 운영하는 국가AI데이터센터도 찾아 인공지능 데이터 인프라 구축·운영 현황을 살펴보고, 대형 드라이빙 시뮬레이터 등 인공지능 실증 장비를 확인했다. 개인정보위는 인공지능 기술 발전에 따라 고품질 데이터와 안전한 분석환경 수요가 빠르게 증가하고 있는 만큼, 관계기관과 협력해 신뢰 기반의 데이터 활용 환경을 조성해 나갈 방침이다. 송경희 개인정보위 위원장은 “인공지능 시대에는 양질의 데이터를 많이 확보하는 것만큼이나, 데이터를 안전하고 책임 있게 활용할 수 있는 역량이 중요하다”면서 “전남·광주 지역의 인공지능 의료·헬스케어 연구와 산업 혁신이 개인정보 보호에 대한 국민 신뢰를 확보하며 추진될 수 있도록 적극 지원하겠다”라고 밝혔다. 이어서 “개인정보 이노베이션 존이 지역 현장의 법적·기술적 불확실성을 줄이고, 연구자와 기업이 실제 활용 가능한 해법을 찾는 거점으로 자리 잡도록 지원하겠다”면서 “앞으로도 개인정보위는 지역의 데이터 활용 현장을 직접 찾아가 현장의 목소리를 정책에 반영해 나가겠다”고 말했다.

2026.07.04 13:48방은주 기자

개보위, 나주 KISA 방문 현장간담회 개최

개인정보보호위원회가 2일 전남 나주 소재 한국인터넷진흥원(KISA)을 방문, '개인정보침해신고센터 현장 간담회'를 개최했다. 이번 방문은 송경희 위원장이 연초부터 추진하고 있는 '현장 중심의 문제해결' 노력 일환으로, 개인정보 침해 대응 최일선 현장을 직접 점검하기 위해 마련했다. 행사에는 송경희 위원장과 이재형 양청삼 사무처장, 이재형 국장(조사조정국) 등이 참석했다. '개인정보침해신고센터'는 개인정보침해를 받은 사람이 누구나 이용할 수 있다. 개인정보침해신고 접수·상담, 사실 조사·확인 및 관계자의 의견 청취, 고충처리 등의 업무를 수행하고 있다. (개인정보 보호법 제62조) 최근, 대규모 개인정보 유출과 딥페이크(deepfake) 등의 인공지능(AI)을 악용한 개인정보 침해사고로 국민 관심과 우려가 커졌다. 실제, 침해신고센터에 2024년 4만797건, 2025년 5만963건, 올 1분기 1만2283건 침해신고가 접수되는 등 침해신고와 상담이 지속 증가하는 추세다. 개인정보위는 이날 간담회를 통해 대민 현장 일선에서 겪는 다양한 업무 고충을 청취하는 한편, 개인정보 침해 대응을 지원하고 상담 서비스의 품질 향상을 위한 실질적인 개선 사항에 대해 의견을 나누었다. 송경희 위원장은 “이번 간담회에서 나온 의견들을 토대로 개인정보 침해신고센터를 한 단계 더 발전시킴으로써 국민들에게 보다 향상된 서비스를 제공하고, 현장 인력들의 고충도 해소해 나가겠다”고 밝혔다.

2026.07.04 13:33방은주 기자

개보위, 대전서 '찾아가는 현장교육&컨설팅' 개최

개인정보보호위원회(개인정보위)는 3일 오후 대전 가명정보 활용 지원센터(대전정보문화산업진흥원)에서 대전지역 공공기관 및 민간기업 등을 대상으로 '찾아가는 개인정보 현장 교육 및 컨설팅'을 개최했다. 이번 행사는 대전지역 공공·민간 분야 실무자들의 개인정보 보호 역량을 높이고 안전한 데이터 활용 문화를 확산하기 위해 마련했다. 1부에서 개인정보위는 일선 현장에서 빈번하게 발생하는 개인정보 유·노출 사고 및 대응 사례와 실무상 혼동하기 쉬운 법령 해석 사례를 안내했다. 특히 실무 경험 및 전문성을 겸비한 퇴직 공무원과 법령 해석 담당 공무원들이 직접 현장 눈높이에 맞춘 컨설팅을 제공, 실무자들이 겪는 실질적인 애로사항을 즉시 해소했다. 이어진 2부에서는 인공지능(AI) 시대의 데이터 혁신을 뒷받침하는 주요 정책 및 제도 소개가 이어졌다. 대전 가명정보 활용 지원센터('23년 개소) 주요 기능 및 인프라 소개, 그간의 가명정보 결합·활용 성과 발표를 진행했다. 이어 인공지능 대전환 시대에 발맞춘 가명정보 활용 정책 추진 방향을 설명하고, 국민 체감형 마이데이터 서비스 사례를 제시, 참석 기관들이 안전한 데이터 활용을 바탕으로 혁신적 연구와 신서비스 개발에 나설 수 있게 지원했다. 개인정보위는 앞으로도 전국 주요 권역을 대상으로 찾아가는 현장 컨설팅 및 교육을 연말까지 지속적으로 추진할 계획이다. 현장컨설팅 일정안을 보면, 7월(전북), 8월(부산), 9월(서울), 10월(강원), 11월(대구), 12월(서울)로 잡혔다. 이정렬 개인정보위 부위원장은 “이번 행사는 구체적인 사례 중심의 현장 컨설팅을 통해 실무와 정책 사이의 간극을 줄이고, 가명정보와 마이데이터 등 핵심 정책 교육을 통해 지역 기업들의 성장 기반을 다지기 위한 자리”라며 “앞으로도 찾아가는 서비스를 확대해 개인정보를 안전하게 보호하면서도 인공지능 기술 혁신에 제대로 활용할 수 있도록 적극 지원하겠다”고 밝혔다.

2026.07.04 11:26방은주 기자

[인사] 개인정보보호위원회

◆ 국장급 승진 △범정부마이데이터추진단장 신민필

2026.07.04 10:40방은주 기자

개보위 "AI 유연 적용 규율로 전환"...'3차 개인정보 기본계획' 발표

개인정보보호위원회가 3일 '제3차 개인정보 보호 기본계획(2027-2029)'을 발표했다. 4대 전략과 12대 추진과제를 마련, 추진한다. AI위험에 대응하는 상시적 예방 체계 등을 구축한다. 개보위는 이날 열린 경제관계장관회의에서 이 안을 관계부처 합동 안건으로 보고했다. 이번 '기본계획'은 개인정보위가 법에 따라 3년마다 중앙행정기관의 장과 함께 수립한 것이다. 인공지능 대전환에 따른 데이터 활용 수요 증대와 반복하는 대규모 개인정보 유출이라는 당면환경에 대응, 향후 3년간 추진할 개인정보 정책 청사진을 마련했다. '기본계획'은 '신뢰받는 개인정보 환경, 안심하고 누리는 인공지능(AI) 사회'를 비전으로 삼았다. ▲인공지능 대전환 시대 개인정보 보호체계 혁신 ▲사전예방 중심 보호체계 확립 ▲전략적 개인정보 정책 고도화 ▲국민 권익 증진 및 신뢰문화 정착이라는 4대 전략과 12대 추진과제를 중심으로 마련했다. 첫째, 신뢰기반 데이터 활용 촉진 개인정보 보호체계 혁신 인공지능 환경을 유연하게 반영하는 규율체계로의 전환을 추진한다. 인공지능 환경 이전에 설계된 일률적 규제로 법령 준수가 어렵고 데이터 활용에 제약이 있다는 현장의 목소리를 반영, 위험에 비례한 보호를 규율하는 원칙 중심 보호체계로 전환한다. 이와 함께, 인공지능 전환(AX) 과정에 수반되는 개인정보 처리의 불확실성을 신속하게 해소하기 위해 맞춤형 혁신지원 종합 창구로서 '인공지능 전환(AX) 안심지원센터'도 운영할 계획이다. 나아가, 5극3특 균형성장 전략에 발맞춰 전국 어디서나 접근 가능한 데이터 혁신 환경을 조성하기 위해 지역 거점별 데이터(가명·익명) 연계·활용 허브를 구축·확대한다. 그간 기업·기관 중심으로 이뤄진 데이터 활용에 대한 국민주권도 강화한다. 국민이 내 정보에 대한 결정권을 갖도록 마이데이터 지원(온마이데이터) 플랫폼을 강화하고, 데이터로부터 산출된 가치에 대한 정보주체 환원 체계를 수립하고 확산한다. 10대 분야 확대 등 마이데이터 1단계를 완수하고, 마이데이터 2단계 추진을 통해 복지·돌봄·의료 등 데이터 기반 사회적 난제 해결에 앞장선다. 또 인공지능 데이터 신뢰 확보를 위한 프라이버시 리스크 대응을 강화한다. 자율형 인공지능(에이전틱 AI)에 의한 처리 등 의사결정의 책임구조 검토, 실물 인공지능(피지컬 AI)의 상시적 정보 수집 확대에 대응하는 권리보장, 위험평가 등 최신 기술에 대한 규율체계와 보호 기준도 수립한다. 급변하는 인공지능 사이버 위협에 선제적으로 대응해 리스크 관리 모델 및 환경변화를 반영한 안전조치 기준도 제시한다. 디지털 환경에서 개인 권리 보호를 위한 개인정보 정확성 및 투명성 확보가 강조되면서, 딥페이크(deepfake) 등 데이터 변조 방지 방안 마련, 인공지능 투명성 확보 제도화도 추진한다. 둘째, 개인정보 보호체계 사전예방 중심 정착 유출사고가 발생한 후에는 온전한 피해 회복이 어렵다는 점을 고려해 사전예방 중심의 보호체계를 확립하고 현장 정착 및 내재화를 지원한다. 고위험군 집중점검, 부처 합동점검 등 상시적 점검 체계를 고도화해 사고 발생 전 취약점이나 보호 조치를 미리 점검해 개선하는 데 집중한다. 이와 함께, 취약점 점검 등 범정부적 상시적 방어체계를 확립하고 인공지능 보안점검 등 보안점검 제도화를 추진한다. 정보보호 및 개인정보보호 관리 체계(ISMS-P) 인증 및 각종 평가체계에 인공지능 기술을 접목해 기준과 절차를 개선해 실효성을 높인다. 특히, 국민 개인정보를 다량 보유·처리하는 공공분야는 안전조치 기준 강화, 상시적 점검체계 확대, 평가제도 실효성 제고를 우선 추진해여 보호 수준을 획기적으로 개선한다. 또 사고 전 선제적 보호조치에 대한 강력한 유인체계를 강화하고 기업의 책임성을 강화한다. 의무기준을 넘어서는 선제적인 보호 투자 시에는 유출 과징금을 감면하는 등 인센티브 사례를 확산, 기업의 자발적 보호조치를 적극 유도한다. 나아가, 조직 의사결정 과정에 개인정보 보호가 적극 고려될 수 있도록 대표자(CEO) 책임을 정착하고 개인정보보호책임자(CPO)의 위상도 한층 강화한다. 반면, 관리의무 소홀 등 법 위반에 대해서는 엄정 조사 및 제재로 억지력을 대폭 강화한다. 이를 뒷받침하기 위해 조사 실효성 확보를 위한 이행강제금 도입 등 제도개선을 추진하고, 기술분석 환경 구축·확대 등 과학적 조사를 위한 역량도 지속 강화한다. 개인정보 불법유통에 대해서는 형사처벌 근거를 신설하고, 탐지·삭제 및 관련 정보 수집·분석 등 정부 역할을 강화한다. 기존 유출 시 조사·제재 중심으로 대응했으나, 상시적 유출 위협 환경을 고려해 '회복력(resilience) 지원' 중심으로 대응 인프라를 재정비한다. 중소기업 유출 발생 시 복구 기술지원 중심으로 대응하고, 사고 이전에도 중소·영세기업에 맞춤형 컨설팅, 보호·보안 지원 사업을 제공한다. 이를 통해 보호·보안 산업 육성을 지원하고, 산업계 전반의 보호수준을 상향평준화 할 수 있는 기반을 수립해나간다. 사고 대응이 가능한 개인정보 보호 특화 전문인력을 양성해 회복력 강화를 지원하고, 인력풀의 효과적인 활용을 위해 인공지능 보안인력 관리 플랫폼을 구축한다. 아울러, 암호기술 등 개인정보보호 강화기술(PET) 연구개발(R&D) 지속 확대를 통해 전 분야 보호 인프라를 강화한다. 또 실물 인공지능(피지컬 AI) 환경 확산에 대응해 디지털 보안과 물리 안전 규제에 대한 사이버-물리 통합보안 체계도 검토하고, 자율형 인공지능(에이전틱 AI) 기반 공격을 반영한 안전조치 기준 개선을 추진한다. 상시적 방어체계 강화를 위해 취약점 발굴·대응 등 관련 산학연·범부처 협력도 강화한다. 셋째, 범정부 보호 협력체계 및 안전한 국경간 데이터 이전 체계 고도화 전 산업 분야에서 개인정보 활용 확대를 고려, 개인정보 보호가 범정부 차원의 과제로 이행되도록 범부처 협력체계를 확립한다. 통신, 교육, 고용 등 상대적으로 위험성이 높은 분야는 개인정보위와 소관부처가 공동 점검·관리하는 체계를 수립하고, 개인정보 위협 요소에 대한 조기경보체계를 구축해 위기대응 역량 강화를 추진한다. 또 디지털 환경의 규제 체계 간 정합성도 확보한다. 개인정보 중복규제 등을 합리적으로 조정해 체계를 정비하고, 금융·공정거래 등 관련 규제기관 간 협력을 강화한다. 인공지능 및 데이터 정책 소관 기관과도 긴밀하게 협력해 디지털 분야의 법령 간 적용 관계를 명확화한다. 생성형 인공지능, 클라우드 환경 등 국외이전 수요가 증가함에 따라 데이터 이전 네트워크도 확대한다. 이미 수립된 한-EU 상호 동등성 인정 체계에 이어, 영국, 일본, 미국 등 법체계 유사성, 교역규모 등을 고려한 맞춤형 대응으로 데이터 상호 이전 네트워크를 확대한다. 이와 함께, 보호수준이 상대적으로 미흡한 국가로의 데이터 관리 대응력 강화로 안보위협을 최소화한다. 국외이전 확대에 대응해 제도적 기반도 지속 개선한다. 안전한 국외이전 수단(SCC*, BCR**)을 확대해 글로벌 공동 연구 등 국경간 데이터 이전에 대한 유연성을 확보한다. 이와 동시에, 국외이전 현황조사를 실시하고, 국외이전 영향평가를 신설하는 등 리스크 관리체계 수립을 병행한다. SCC(Standard Contract Clauses, 표준계약조항) 개인정보를 이전하고 받는 경우 준수해야 할 계약상 의무를 통해 국외로 이전된 후에도 보호 수준 유지 ** BCR(Binding Corporate Rules, 구속력있는 기업규칙) 다국적 기업 내에서 발생하는 개인정보의 국경 간 이전을 위해 기업에서 정하여 감독기관의 승인을 받아 이행하는 법적 구속력이 있는 기업내 개인정보 보호 규정 넷째, 국민 권익 증진하고 일상 속 프라이버시 보호 강화 신뢰 확립 최근 유출 피해를 경험한 국민이 늘어나면서 간편한 권리구제 방안에 대한 요구가 증대함에 따라, 유출·침해 시 신고부터 조사, 분쟁조정, 손해배상까지 모든 절차를 연계하는 원스톱 권리구제 체계를 마련한다. 또한, 인공지능 기반으로 개인정보 관리 플랫폼을 구축, 국민이 쉽게 자신의 개인정보 처리현황을 확인하고 권리를 행사할 수 있게 지원한다. 정보주체 권리보장을 강화하기 위한 제도 기반도 수립한다. 정보주체 권익 증진 전문기관 수립 및 피해회복 동의의결제 추진, 적극적 분쟁조정 등을 통해 신속한 피해보상 및 분쟁해결 제도 실질화를 추진한다. 일상 접점에서 발생하는 프라이버시 침해 우려도 적극 해소한다. 특히, 디지털 환경에서 영상·생체정보 등 상대적으로 민감도가 높은 정보의 수집·이용이 보편화됨에 따라 특화된 보호가 가능하도록 규율체계를 개선하고, 아동·청소년 등 권리행사 취약계층에 대해서도 보호 체계도 강화한다. 이번 기본계획은 인공지능 사회 도래에 대응하는 개인정보 보호체계를 확립하고, 국민 신뢰를 바탕으로 데이터가 안전하게 활용되는 인공지능 혁신 환경을 조성하는 데 중점을 뒀다.이를 바탕으로 부처별 시행계획을 수립하고 이행함으로써 국민이 안심하고 향유할 수 있는 인공지능 사회 도래를 지원해 나갈 예정이다. 송경희 개인정보보호위원장은 "이번 3개년 기본계획은 개인정보 규율체계를 인공지능 환경에 맞게 재설계하고 사전 예방 중심의 보호체계를 확립, 국민은 안심하고 인공지능 편익을 누리고 기업은 신뢰를 바탕으로 혁신하는 환경을 만들어 나가는 데 정책 역량을 집중하겠다"고 밝혔다.

2026.07.03 10:00방은주 기자

Prev 1 2 3 4 5 6 7 8 9 10 Next