검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개보위'통합검색 결과 입니다. (89건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

교원그룹, 랜섬웨어 피해 KISA·개보위 신고

교원그룹이 지난 10일 랜섬웨어 공격으로 데이터가 외부로 유출됐고, 이런 정황을 12일 오후 확인해 당국에 신고했다. 13일 교원그룹은 랜섬웨어로 인한 데이터 유출 정황을 확인하고 한국인터넷진흥원(KISA)에 신고를 완료했다고 밝혔다. 아울러 개인정보보호위원회도 13일 교원그룹의 데이터가 유출된 정황을 확인하고 신고를 접수했다고 밝혔다. 교원그룹은 유출 규모와 유출된 데이터에 고객정보가 포함됐는지 여부는 관계 기관 및 외부 전문 보안기관과 함께 면밀히 조사하고 있다. 현재 교원그룹은 이상징후를 발견한 뒤 내부망 접근 차단 조치 등 보안 조치를 완료했다는 입장이다. 또 2차 사고를 예방하기 위해 전사 시스템을 전수조사 중이다. 모니터링도 강화했다. 다만 아직 공격 규모나 공격자 특정 등 별다른 단서가 나오지는 않은 상황이다. 교원그룹 측은 "12일 다수의 외부 전문 보안기관과 함께 진행한 정밀조사 결과, 랜섬웨어 공격으로 인해 일부 데이터가 외부로 유출된 정황을 확인했다"며 "해당 데이터에 고객 정보가 포함됐는지 여부는 현재 확인 중"이라고 밝혔다. 아울러 "KISA 등 당국의 조사에 적극 협조하고 있으며, 추가 조사를 통해 고객 정보 유출이 확인되면 신속하고 투명하게 안내할 것"이라며 "이번 사고를 계기로 보안 체계를 전면 강화하고, 재발 방지와 고객 신뢰 회복을 위해 최선을 다하겠다"고 부연했다.

2026.01.13 14:12김기찬 기자

보안 인증 8년만에 대폭 손질...컨설팅기업들 "특수 온다" 함박웃음

정부 차원의 정보보호 관리체계 인증(ISMS) 및 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 개편 움직임이 본격화하면서 보안 컨설팅 수요도 늘어날 전망이다. 다양한 IT 자산들이 생겨나고 공격자가 노릴 만한 공격 표면이 확장되면서 지난해 수많은 침해사고가 발생해 적지 않은 한국 기업들이 골머리를 앓았다. 심지어 국내 최고 수준의 보안 인증인 ISMS, ISMS-P를 획득했음에도 해커의 공격에 무방비하게 뚫리는 기업들이 생겨났다. 이에 ISMS 인증 제도의 실효성에 대한 지적이 쏟아졌고, 정부가 이에 대응해 ISMS 인증 제도를 본격적으로 손보기 시작했다. 최초 ISMS는 어떤 모습?…2002년 만들어져 24년여간 명맥 유지 ISMS 인증은 과학기술정보통신부(과기정통부)가 2002년부터 운영해 온 제도다. 현재 운영 기관인 한국인터넷진흥원(KISA)의 전신인 '한국정보보호진흥원'이 ISMS를 운영했다. KISA 등에 따르면 당시 과기정통부는 초고속 인터넷이 보급되면서 보안 관리의 필요성이 높아졌고, 정보통신망의 안정성과 신뢰성 확보를 위한 인증제도를 시행했다. 최초에는 ISMS 고유항목 22개를 포함해 104개의 인증항목을 심사했다. ISMS는 만들어진 초반부터 난항을 겪었다. 시행된 지 1년 만에 2003년 대한민국 인터넷망이 DDoS(디도스) 공격으로 마비되는 일명 '1·25 인터넷대란'이 발생했고, 2008년엔 최대 온라인 쇼핑몰이었던 옥션에서 1천만명이 넘는 유출 사고가 터졌다. 이에 당시 ISMS 인증이 기업에 '권고'하는 수준의 자율 인증 체계였던 만큼, 기업의 보안 관리 체계를 단순히 권고하는 수준을 넘어 '의무'로 강제해야 한다는 목소리가 높아졌다. 이후 정보통신서비스제공자 대상으로 시행되던 정보보호안전진단 제도와 2013년 통합·개편됐다. 일정 규모 이상의 상급병원과 종합대학 및 온라인서비스를 제공하는 정보통신사업자에게 인증이 의무화됐다. 한편 ISMS 인증의 출시부터 일부 기업에 의무화되는 기간 동안 방송통신위원회가 주관하는 '개인정보보호 관리체계(PIMS)', 행정안전부가 주관하는 개인정보 보호 인증(PIPL) 등 다양한 정보보호 관련 인증이 생겨났다. 문제는 기업 입장에서 ISMS 인증도 의무로 받아야 하는 상황인데, 항목이 50% 이상 중복되는 PIMS 인증도 획득해야 하는 등 '중복 운영' 논란이 불거졌다는 점이다. 이에 과기정통부, 방송통신위원회, 행정안전부는 ISMS와 PIMS 인증을 통합해야 한다는 데 의견을 모았고, 이중 인증의 부담을 줄이기 위해 통합을 결정해 지난 2017년 말 지금의 ISMS-P 인증이 탄생했다. ISMS(인증 항목 104개)와 PIMS(인증 항목 86개)의 동일․유사한 인증항목을 통폐합했는데, 정보보안 관련 80개 항목과 개인정보보호 관련 22개 항목이 단일화돼 총 102개의 인증 항목으로 구성됐다. 현행 ISMS 인증은 2023년 개정 기준 64개 보호대책 요구사항, 보안 관리체계 수립 및 운영16개, 개인정보 처리단계별 요구사항 21개 등을 충족해야 획득이 가능하다. 당초 ISMS-P 인증 출시 당시 개인정보 처리 단계별 요구사항 영역에서 1개 중복적인 요소가 정리되면서 22개에서 21개로 줄었고, 현재는 총 101개 항목을 평가하고 있다. 현행 인증의 평가 항목을 구체적으로 살펴보면 보안 관리체계 수립 및 운영 항목에서는 ▲경영진 참여 ▲최고정보보호책임자(CISO), 개인정보보호책임자(CPO) 임명 여부 ▲IT 자산 위험 평가 ▲1년에 한 번 이상 관리체계 점검 여부 등을 확인한다. 64개 보호대책 요구사항에는 ▲사용자 식별 등 인증 영역 ▲네트워크 접근 제어 영역 ▲크리덴셜(비밀번호, ID 등)의 암호화 적용 여부 ▲로그 기록 및 관리 ▲모바일 기기 보안 등 인증부터 엔드포인트까지 보안 대책이 마련돼 있는지를 평가한다. 21개 개인정보 처리 단계별 요구사항에서는 개인정보 수집·파기·제3자 제공 등과 관련해 적법성을 따진다. 대표적으로 ▲개인정보 수집 시 동의 확보 여부 ▲개인정보의 기술적·관리적 보호조치 ▲개인정보 제3자 제공 동의 확보 여부 ▲회원 탈퇴 시 정보 즉시 삭제 여부 등이다. ISMS 인증 획득 의무화 기업 확대…심사 방식도 까다로워져 ISMS 인증 제도는 다시 한 번 변화의 기로에 놓였다. 이번에는 ISMS 인증을 받은 기업들까지도 해킹 공격에 무력화됐던 만큼 손질에 들어간 것이다. 개인정보보호위원회(개보위), 과기정통부는 지난해 말 ISMS, ISMS-P 인증 기업의 해킹·대규모 개인정보 유출사고가 반복 발생함에 따라, 대책회의를 지난해 12월6일 개최하고 인증 실효성 강화를 위한 제도의 전면적 개편 방안을 추진한다고 밝힌 바 있다. 구체적인 내용을 살펴보면 ▲공공·민간 주요 개인정보처리시스템(주요 공공시스템, 통신사, 대규모 플랫폼 등)에 대한 인증 획득 의무화 ▲통신사, 대규모 플랫폼 사업자 등 국민 파급력이 큰 기업에 대해 강화된 인증기준을 마련해 적용 ▲심사방식 전면 강화 ▲분야별 인증위원회 운영 및 심사원 대상 AI 등 신기술 교육을 통한 인증 전문성 향상 ▲사후관리 대폭 강화 등이 골자다. 현장 심사 중심으로 전환하고 중대한 결함이 발생할 경우 인증을 취소하는 등 실효성을 제고하는 한편, 모의해킹 훈련과 화이트해커를 활용한 상시 취약점 점검 체계도 구축할 방침이다. 심사 방식 역시 까다로워진다. 예비 심사 단계에서 핵심 항목을 충족하지 못하면 본심사에 진입할 수 없도록 조치한다. 개편안 발표 이후 지난해 12월17일 개보위는 ISMS-P 인증 의무화 대상 확대 등의 내용을 담은 '개인정보 보호법' 개정안을 국회 정무위원회 전체회의에 제출했고, 현재 통과된 상태다. 향후 과기정통부와 개보위는 합동 제도개선 태스크포스(TF)를 통해 개선 방안을 최종 확정하고, 올해 1분기 중 관련 고시를 개정해 단계적 시행에 나설 방침이다. 정부 ISMS '손질'에 보안 컨설팅 업체 수요 '맑음' ISMS, ISMS-P 인증 획득을 위해 의무 기업이나 자율적으로 인증을 획득하려는 조직에서는 보안 컨설팅 업체와의 계약을 통해 빠르고 효율적으로 인증 획득을 목표로 하고 있다. 한국정보보호산업협회(KISIA)가 발표한 2025년 국내 정보보호산업 실태조사에 따르면 2024년 기준 정보보안 관련 기업(876개) 중 22.7%(약 199개 기업)가 보안 컨설팅 사업을 영위하고 있는 것으로 나타났다. 이 중에서도 보안 컨설팅 등 정보보호 서비스의 전문 역량을 인정받은 일부 기업이 따로 분류된다. 정보보호산업법 등 관련 법에 근거한 주요정보통신기반시설에 대한 취약점 분석∙평가 업무 및 보호대책 수립업무를 지원하는 과기정통부 지정 '정보보호 전문서비스 기업'이다. 한국인터넷진흥원(KISA)이 지난해 10월 발표한 정보보호 전문서비스 기업 지정 현황에 따르면 현재 총 29개 기업이 여기에 해당한다. 구체적으로 ▲시큐아이 ▲싸이버원 ▲안랩 ▲A3시큐리티 ▲SK쉴더스 ▲소만사 ▲CAS ▲윈스테크넷 ▲이글루코퍼레이션 ▲시큐어원 ▲한전KDN ▲파수 ▲파이오링크 ▲신한DS ▲한국통신인터넷기술 ▲F1시큐리티 ▲KCA ▲한국정보기술단 ▲씨드젠 ▲한시큐리티 ▲모비딕 ▲시큐리티허브 ▲L&J테크 ▲핀시큐리티 ▲티앤디소프트 ▲라온시큐어 ▲이노시큐리티 ▲롯데이노베이트 ▲수산아이앤티 등이다. 보안 컨설팅 업체의 시장 규모도 성장세다. KISIA에 따르면 보안 컨설팅 업체의 매출 규모는 2022년 5천726억원에서 2023년 5천953억원으로 늘었고, 2024년 기준 6천426억원으로 6천억원대를 돌파해 매년 성장세를 기록하고 있다. 이런 가운데 정부가 올해를 기점으로 본격적인 'ISMS 인증 손질'에 나선 만큼, 기업의 ISMS 인증 획득을 지원하는 보안 컨설팅 업체들의 새로운 수요에 따른 성장세는 계속될 전망이다. 염흥열 순천향대 정보보호학과 명예교수는 정부의 ISMS 인증 개편 동향과 관련해 "정부가 ISMS 인증 실효성 강화를 위한 법적 기반을 마련하고 있다. 개인정보 보호법 개정안이 정무위원회를 통과했고, 근거 조항을 만드는 작업이 이뤄지는 것으로 보인다"며 "ISMS 인증이라는 중요한 정책 수단을 효과적으로 활용하기 위한 정책적 변화가 이뤄지고 있다"고 설명했다. 염 교수는 이어 "ISMS 인증 의무화 대상 기업의 수는 50~100곳 정도로 많지 않다"면서도 "다만 ISMS 인증 획득 절차나 핵심 통제 항목을 어떻게 유연화할지에 대한 컨설팅은 필요할 것으로 예상되는 만큼 보안 컨설팅 수요는 늘어날 것으로 예상한다"고 밝혔다.

2026.01.11 19:24김기찬 기자

개보위 "쿠팡의 CCTV 영상 목적외 이용 등 철저 조사중"

3370만 개인정보 유출 사고와 노동자 CCTV 무단 분석으로 논란을 빚고 있는 쿠팡에 대해 개인정보보호위원회는 7일 기자들에게 보낸 보도자료에서 "쿠팡의 모든 개인정보보호법 위반 소지를 철저히 조사중"이라고 밝혔다. 개보위는 이날 보도자료에서 "쿠팡의 노동자 CCTV 영상 무단 분석과 관련해 문의가 많아 알려드린다"면서 "개인정보보호위원회는 쿠팡 관련 집중조사 TF(단장 조사조정국장)를 구성해 대규모 개인정보 유출사고 경위와 원인, 규모 및 개인정보 보호법(이하 '보호법') 위반 여부를 면밀히 조사하고 있다. 유출 사고 외에도, CCTV 영상의 목적 외 이용 및 제공 여부, 강제전환 광고(일명 납치 광고) 등 모든 개인정보보호법 위반 소지에 대해 철저히 조사중"이라고 말했다. 앞서 공공운수노조는 지난 2020년 쿠팡 물류센터에서 근무하다 숨진 고(故) 장덕준 씨의 과로사 논란을 반박하기 위해 쿠팡이 유족 동의 없이 CCTV 영상을 분석 및 활용, 사건을 은폐하려 했다고 주장했다.

2026.01.07 22:46방은주 기자

송경희 개보위원장 "신뢰 바탕 'AI 혁신사회' 견인"

송경희 개인정보보호위원회 위원장은 2일 신년사에서 올해를 개인정보보호 체계 대전환 원년으로 삼겠으며, 이를 위한 핵심 정책 다섯 가지를 추진하겠다고 밝혔다. 다섯 가지 핵심 정책을 보면 첫째, '강력한 제재'와 '적극적 투자'가 공존하는 선순환 구조 만들기다. 이를 위해 중대·반복적 유출 사고에는 매출액의 10%에 달하는 엄정한 징벌적 과징금을 적용하고, 보안에 힘쓰는 기업에는 실질적인 인센티브를 제공한다. 둘째, '예방 중심' 보호 체계로 전환이다. 올해 예방을 담당하는 조직을 신설했는데, 유통·플랫폼 등 대규모로 개인정보를 처리하거나 민감한 개인정보를 다루는 분야를 중심으로 사전 실태점검을 본격 추진한다. 또 작년말 개소한 디지털 포렌식 센터와 올해부터 새로 구축할 기술분석센터를 통해 신기술 환경에서의 프라이버시 이슈를 상시적으로 모니터링, 신속한 증거 분석이 가능한 체계를 갖춘다. 아울러 국민 개인정보를 많이 보유한 공공기관에 대해서는 유출사고 발생 시 책임을 강화하고, 주요 공공시스템에 대한 취약점 점검 의무도 확대한다. 중소 영세기업에는 선제적인 모니터링과 안전조치 기술 지원을 병행, 자율적인 보호 역량을 강화할 수 있게 적극 지원한다. 셋째, 신뢰를 바탕으로 한 'AI 혁신사회' 견인이다. 일정한 요건을 충족하는 경우 AI 학습에 원본 데이터를 활용할 수 있게 하는 특례를 도입하고, 개인정보를 처리할 수 있는 근거를 확대한다. 또 공공에서 축적한 양질의 데이터를 잘 활용할 수 있게 '가명처리 원스톱 서비스'를 새로 운영하는 한편 공공 AX 혁신 과정에서 개인정보 이슈가 발생할 경우 위원회가 전담 상담 창구로서 적극적인 역할을 한다. 더불어 마이데이터 서비스도 에너지, 교육으로 분야를 넓혀 확산한다. 넷째, 국민 일상 속 '프라이버시 안전망'을 보다 촘촘히 한다. 로봇청소기 등 국민이 많이 이용하는 스마트기기를 중심으로 PbD(Privacy by Design) 인증제를 도입 및 확산하고, 아동·청소년이나 사망자 등 특수하게 고려해야 하는 요소가 있는 영역도 보호 방안을 강구한다. 또 단체소송 대상에 손해배상을 추가하고, 기금 도입도 추진하는 등 피해 국민이 실질적으로 보상받을 수 있는 길을 연다. 다섯째, 국제사회와의 협력 속에 개인정보 보호를 선도한다. 안전한 국외이전 수단을 확대하고, 개인정보 불법유통 근절을 위한 글로벌 협의체 구축을 주도한다. 또 각국이 한국의 정책과 제도를 벤치마킹할 수 있게 교류와 지원을 강화, K-프라이버시(K-privacy) 위상을 높인다. 송 위원장은 작년 일년에 대해 "개인정보보호위원회가 그 어느 때보다 무거운 책임감을 실감한 한 해였다. 국민 일상생활과 밀접한 여러 분야에서 개인정보 유출사고가 연이어 발생, 개인정보 보호에 대한 사회적 경각심이 크게 높아졌다"고 진단했다. 이어 플랫폼 경제 확산과 데이터 집적 가속화는 한 번 사고가 곧바로 대규모 유출로 이어질 수 있는 환경을 만들고 있다면서 "그동안 개인정보보호위원회는 신속한 조사와 처분, 제도 개선에 총력을 다해왔다. 그러나 반복되는 사고 앞에서 기존 방식만으로는 국민 불안을 해소하기에 많이 부족하다. 이제는 일하는 방식부터 제도 전반까지, 근본적으로 체질을 개선해 나가겠다"고 강조했다. 또 올해는 신기술이 더욱 고도화하고, AI가 개인을 지원하는 수준을 넘어 능동적으로 데이터를 수집, 분석하며 직접 행동하는 'AI 에이전트' 시대가 본격화할 것으로 예상한다면서 "동시에 이런 신기술이 주는 편익만큼이나, 이를 악용한 고도화된 해킹과 개인정보 불법 유통의 위협 또한 커질 것"이라며 내다봤다. 이어 "개인정보보호위원회는 개인정보 보호가 모든 분야에서 '기본'으로 작동하고, 국민 여러분께서 안심하고 일상 속 디지털 서비스를 이용할 수 있는 사회를 만들기 위해 최선을 다하겠다"고 덧붙였다.

2026.01.03 14:17방은주 기자

[인사] 개인정보보호위원회 사무처장

◆실장급 ▲ 사무처장 양청삼

2025.12.31 09:09방은주 기자

개보위 "신한카드 개인정보유출 정황 확인...16일 조사 착수"

신한카드에서 19만2천건의 가맹점 대표자 휴대전화번호가 유출되는 사고가 발생한 것과 관련, 개인정보보호위원회(위원장 송경희)는 공익신고 접수에 따라 사실관계를 확인하는 과정에서 개인정보 유출 정황이 확인돼 16일부터 조사를 진행 중이라고 밝혔다. 앞서 신한카드 영업점에서 2022년 3월부터 2025년 5월까지 카드모집인 등에게 카드단말기를 신규로 설치한 가맹점의 상호, 가맹점주 이름, 휴대전화번호 등을 불법으로 제공, 카드발급 영업에 활용한 문제가 드러났다. 신한카드는 내부 데이터가 유출된 '침해사고'가 아니라, 내부자가 고의 혹은 과실로 정보를 유출한 '내부자 위협'에 해당하는 공격 유형이라고 설명했다. 내부자 위협은 데이터 유출 방지(DLP) 솔루션을 통해 예방이 가능하다. 개인정보위는 조사를 통해 정확한 유출 경위·규모·항목 및 개인정보 보호법 위반 여부 등을 면밀히 확인하고, 법 위반사항 발견 시 관련 법에 따라 처분할 예정이다. 아울러, 필요시 금융당국과도 긴밀히 협조할 계획이다. 개인정보위 외에도 금융위원회, 금융감독원 등 금융당국도 조사중이다.

2025.12.25 16:32방은주 기자

개보위, 국장급 예방조정심의관 신설..."예방 점검 강화"

개인정보보호위원회(위원장 송경희)가 선제적 위험 식별과 예방 점검 기능을 전담하는 예방조정심의관(고위공무원 나급, 국장급)을 신설하고 사전실태점검과(7명)도 새로 만든다. 또 조사, 분쟁 대응을 강화하기 위해 조사관 6명과 분쟁조정 수요 대응 인력 1명 등 총 7명의 인력을 추가로 확보, 새로 선임한다. 디지털홍보 전담 인력 2명도 새로 충원한다. 개보위는 이재명 정부 국정과제인 '국민이 안심할 수 있는 개인정보 보호체계 확립'을 본격 추진하기 위해 23일 국무회의 심의·의결을 통해 1관 1과 신설과 총 17명의 정원을 확충했다고 밝혔다. 개정된 직제 시행령과 시행규칙은 공포 후 즉시 시행된다. 이번 조정으로 개보위는 위원장(장관급)과 부위원장(차관급)외에 1처 5국(관) 18과(팀)가 됐다. 기존보다 1국 2팀이 늘었다. 1. 개인정보사고 예방 전담 예방조정심의관(1관)·사전실태점검과(1과) 신설 최근 대규모 개인정보 유출사고가 잇따르고, AI·신기술 확산으로 프라이버시 위험이 급증하면서 사후제재 중심 체계만으로는 국민 피해를 예방에 한계가 있다는 지적이 커지고 있다. 개인정보 유출은 대규모 국민피해와 사회·경제적 비용 증가로 직결되는 만큼 예방 중심으로의 체계 전환 필요성을 반영해 예방기능 전담 조직을 신설한 것이다. 예방조정심의관은 예방 중심 보호체계 전환을 총괄·조정하며, 사전적 위험 관리 기능이 안정적으로 작동하도록 지원하는 중추적 역할을 수행한다. 사전실태점검과는 국민생활과 밀접하고 개인정보 침해 위험이 높은 분야를 대상으로 사고 발생 이전에 개인정보 처리 실태를 점검한다. AI 등 기술 발전으로 나타나는 새로운 침해 유형에 대한 취약점을 사전에 발견·개선하도록 유도함으로써 안전한 개인정보 처리 환경 조성을 추진할 계획이다. 2. 대형화·복잡화되는 유출사고 대응력 강화를 위한 조사·분쟁조정 인력 확충 개인정보위는 조사관 6명과 분쟁조정 수요 대응 인력 1명 등 총 7명의 인력을 추가로 확보해 조사·분쟁 대응 기능을 보강한다. 공공·산업 전 분야에서 AI 활용이 급속히 확산되면서 개인정보 유출사고는 건수와 규모가 확대되고, 사건의 대형화·복잡화 경향이 뚜렷해지고 있다. 침해발생 이후 피해구제를 요구하는 분쟁조정 신청도 지속적으로 증가하고 있다. 그러나 조사인력은 4년째 31명 수준에 머물러 급증하는 사건에 신속·정밀하게 대응하기 어려운 상황이 지속되어 왔다. 이러한 조사 수요 증가와 현장 대응 한계를 반영해 인력 확충을 추진한 것이다. 이번 증원을 통해 조사는 보다 신속·정밀하게 수행되고 분쟁조정은 피해구제 기능 강화에 집중할 수 있을 것으로 기대된다. 앞으로도 유출사고 증가 추세에 대응해 조사역량을 단계적으로 확충해 나갈 계획이다. 3. 국민 접점의 디지털 홍보 강화를 위한 전담팀 신설 개인정보위는 온라인 기반 대국민 소통강화와 국내외 개인정보 이슈에 신속 대응하기 위해 디지털홍보 전담 인력 2명을 확보하고 디지털소통팀을 신설한다. 대규모 유출사고의 사회적 파급력을 고려하여, 정확하고 신속한 정보 제공 기능을 강화하려는 취지이다. 송경희 개인정보위 위원장은 “이번 조직·정원 보강은 개인정보 보호체계를 사후 대응에서 사전예방으로 전환하는 중요한 기반이 될 것”이라며 “AI 시대에 걸맞는 예방·조사·조정 기능과 디지털 기반 소통 역량을 강화하여 국민이 안심할 수 있는 보호체계를 구축해 나가겠다”고 밝혔다.

2025.12.23 16:10방은주 기자

이정렬 개보위 부위원장 "보호 뿐 아니라 안전한 활용도 컨트롤타워 역할"

"개인정보보호위원회가 개인정보 보호 뿐 아니라 국민이 신뢰할 수 있는 안전한 활용에도 컨트롤타워 역할과 책임을 다하겠습니다." 이정렬 개인정보보호위원회 부위원장은 22일 오후 서울 용산구 로얄파크컨벤션에서 열린 '제3기 개인정보 기술포럼 총회 및 성과보고회'에서 이 같이 밝혔다. 개보위가 운영하고 있는 '기술포럼'은 2022년 9월 1기가 발족, 시작했다. 작년이 2기, 올해 3기다. 올해 기술포럼은 데이터 경제 시대의 개인정보 보호와 안전한 데이터 활용을 위한 여러 활동을 펼쳤는데, 공개세미나 1회와 미니세미나 2회, 3개 분과별(정책·기술·표준화) 연구모임 18회를 개최했다. 이런 활동을 통해 'AI 프라이버시 분야 국내외 법제·정책 동향 및 비교 연구', 'AI 발전주기와 프라이버시 이슈 분석 연구' 등의 성과를 책자로 발간했다. 이날 축사를 한 이 부위원장은 1968년 충북 괴산 출신으로 경희대학교 행정학과 졸업 후 영국 엑시터(EXETER) 대학교에서 행정학 석사 학위를 받았다. 행정고시 36회로 공직에 입문한 후 △행정안전부 정보화총괄과장 △인사혁신처 인사관리국장 △행정안전부 정부혁신기획관을 역임했다. 개인정보보호위원회가 출범한 2020년 12월 정책국장으로 부임, 지난 5년간 일해온 원년 멤버이기도 하다. 지난달 17일 차관급인 부위원장에 선임됐다. 올해 잇달아 터진 대형 해킹 사건을 의식, 이 부위원장은 "개인정보보호 환경이 올해만큼 급변한 적이 많지 않았다. 그만큼 큰 변화가 필요한 시기"라면서 "내가 위원회에 왔을 때인 2020년도만해도 (개인정보 유출이) 약 400~500만 건 정도였다. 그런데 지금은 이보다 몇 배인 1억 건이 넘는다. 상상할 수 없던 개인정보 유출이 올해 거의 전방위로 일어났다. 개인정보보호와 안전 및 활용을 책임지고 있는 일원으로서 무거운 책임감을 느끼고 있다"고 짚었다. 이어 이런 상황에서 위원회는 어떻게 해야 하는 지, 또 기술포럼과 멤버들은 무엇을 준비해야 하는 지를 심도있게 고민하고 있다면서 "개인정보 보호 체계를 이전 방식하고 다르게 가야 한다. 3가지 측면에서 바꾸려 한다"고 들려줬다. 개보위의 역할 중 하나가 조사 및 처분이다. 이 부위원장은 이를 유지하면서 "예방 중심으로 패러다임을 바꿔야 한다. 특히 국민 생활과 밀접한 분야부터 사전적으로 예방해서, 원천적으로 (개인정보 유출을) 줄이는 분야에 앞으로 지속적인 투자를 해야한다"고 밝혔다. 개보위가 2026년 업무보고 때 밝힌 징벌적 과징금에 대해서도 다시 언급했다. "나쁜 개인정보 처리자에게는 엄정한 제재를 하겠다. 법이 허용한 최대한의, 또 우리 위원회의 위원 심의 의결을 거쳐 엄정한 제재를 가하겠다. 지금 정무위의 법 개정안이 법사위에 가 있다"고 말했다. '채찍'과 함께 '당근'도 언급했다. 인력과 예산, 시스템 등을 잘 갖춘 곳은 인센티브를 주겠다는 것이다. 기존엔 고시로 규정했는데 이를 법에 명시했다면서 "고시는 믿지를 않더라. 그래서 법률로 상향했다. 우리나라는 개인정보보호와 정보보호 예산이 IT 대비 5% 정도인데 미국은 10% 정도, EU도 그 정도 하는 것 같더라. 우리도 미국과 EU 정도 투자를 해야 한다고 본다. 이런 곳은 인센티브를 주겠다. 내년초에 구체안을 공개하겠다"고 밝혔다. 이어 개인정보 보호에 대한 투자는 비용이 아니라 생존과 성공의 핵심적인 전제조건이고 경쟁력이라는 것을 CEO들이 인식하도록 전환해 나가겠다면서 "이것이 가장 큰 변화의 시작이라고 생각한다"고 덧붙였다. 개보위의 기술분석센터 개설도 언급했다. 개보위가 기술적으로 좀 더 완벽한 조사 및 처분과 예방을 위해 기술분석센터를 내년도 예산에 어렵게 확보했다는 것이다. 또 AI 분야의 혁신성장을 선도할 수 있게 보호만 해서 되는 게 아니라, 이걸 안전하게 믿고 쓸 수 있는, 그런 체계를 위해 제도개선을 하려 한다면서 "역시 정무위원회 법안 소위에 들어가 있고, AI 특례 입법을 하려고 한다"고 말했다. AI 산업계가 원하는 원본 데이터 사용도 짚었다. "위원회가 엄격한 심리와 조건을 붙여 제한적으로 쓸 수 있게 하는 제도를 곧 도입할 것"이라면서 "많이 응원해달라. 개인정보위원회가 개인정보 보호 뿐 아니라 국민이 신뢰할 수 있는 안전한 활용에도 컨트롤타워로서의 역할과 책임을 다하겠다"고 약속했다. 개보위의 연구개발(R&D)도 설명했다. 이번 행사 개막 전에 이 부위원장은 올해 기업이 수행한 R&D 성과물 시연을 참관하기도 했다. "개인정보보호위원회 R&D가 2022년 30억으로 시작했고, 4개 사업을 했으며, 오늘 이중 2개를 시연했다. 내년 예산은 132억으로 4배 늘었다"고 설명했다. 기술포럼에 바라는 것도 전했다. "앞으로 위원회가 아주 든든한 기술 분야, PET와 표준 분야 등에서 싱크탱크로서 명확한 자리매김을 해달라"면서 "(내년 출범할) 제4기 포럼 기술 포럼은 지금보다 더 큰 역할, 더 큰 공헌을 할 수 있기를 바라며, 위원회를 대표해 적극 지원하겠다"고 밝혔다. 이상중 KISA 원장 "포럼 1년 성과 안전한 개인정보 활용 체계 만드는데 밑거름" 이 부위원장에 이어 축사를 이상중 한국인터넷진흥원(KISA) 원장은 "대규모 데이터 학습이 AI경쟁력을 좌우하는 핵심요소가 되면서 개인정보를 어떻게 안전하게 활용하고 관리할 것인가가 산업경쟁력과 사회적 가치, 국민신뢰가 모두 얽힌 복합적인 현안이 됐다"면서 "이런 상황 속에서 포럼이 지난 1년간 이뤄낸 연구 성과는 우리 사회의 안전한 개인정보 활용 체계를 만드는데 큰 밑거름이 됐다"고 격려했다. 이어 이번 3기 포럼에서 개최한 보건의료 데이터 활용 세미나를 비롯해 AI환경에서의 PET 활용 방안 연구와 개인정보기술 표준화 연구 등 다양한 분야 연구 보고서는 앞으로 우리나라가 국제사회에서 개인정보 분야를 선도하는데 핵심적인 토대가 될 것이라면서 "앞으로도 개인정보기술포럼이 현장의 목소리를 정책과 기술로 연결하는 산학연 협력의 중심 축으로 역할해 주길 기대한다. KISA도 포럼과 함께 기술 기반의 개인정보보호 생태계를 더욱 강화하고 국민이 안심하할 수 있는 디지털 환경을 조성하기 위해 최선을 다하겠다"고 말했다.

2025.12.22 20:57방은주 기자

개보위, 3기 기술포럼 성과보고회...정책·기술·표준화 연구모임 18회 운영

개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 22일 서울 용산구에서 개인정보 기술개발 활성화 및 산업 생태계 기반 구축을 위한 제3기 '개인정보 기술포럼(의장 정수환 숭실대 교수, 이하 '기술포럼')' 총회 및 성과보고회를 개최했다. 개보위 기술포럼은 2022년 9월 1기가 발족, 시작했다. 작년이 2기, 올해 3기가 운영됐다. 올해 기술포럼은 데이터 경제 시대에 개인정보 보호와 안전한 데이터 활용을 위해 공개세미나(1회), 미니세미나(2회) 및 3개 분과별(정책·기술·표준화) 연구모임(18회) 등을 통해 'AI 프라이버시 분야 국내외 법제·정책 동향 및 비교 연구', 'AI 발전주기와 프라이버시 이슈 분석 연구' 등 성과를 창출했다. 이날 총회 1부에서는 정수환 의장의 개회사를 시작으로, 이정렬 개인정보위 부위원장 환영사와 이상중 한국인터넷진흥원 원장 축사가 이어졌다. 이후 '25년 제3기 기술포럼의 주요 성과 및 '26년 기술포럼 운영 방향에 대한 보고회가 진행됐다. 이어 2부에서는 정책, 기술, 표준화 3개 분과별로 주요 성과를 발표·공유하는 시간을 가졌다. 현장에는 그간 개인정보위가 추진해온 개인정보 기술 연구개발(R&D) 사업 중 올해 기술개발이 완료된 기술 일부 시연 부스를 설치, 총회를 찾은 참석자에게 혁신 기술을 체험해 볼 수 있는 기회도 제공했다. 시연한 R&D 기술은 케이사인이 주관해 개발한 '정보주체의 잊힐 권리 보장을 위한 제한된 범위의 온라인서비스제공자(OSP) 대상 영상 콘텐츠 내 특정 개인정보 타깃형 탐지 및 대응 기술'과 포소드가 주관해 개발한 '안면인식 CCTV에서 동일 주체 연결분석이 가능한 실시간 얼굴 비식별화 기술' 등 2종이다. 정수환 기술포럼 의장은 “제3기 개인정보 기술포럼 활동은 인공지능(AI), 보건의료 등 주요 분야에 개인정보 안전활용 생태계 구축의 기틀이 됐다는 점에서 의미가 있다”며 “개인정보 보호·활용 기술의 발전을 위해 기술포럼의 유의미한 활동이 지속되길 바란다"고 말했다. 이정렬 개인정보위 부위원장은 “인공지능(AI) 시대에 부합하는 개인정보 보호 체계로 나아가기 위해서는 산·학·연 전문가들이 모인 개인정보 기술포럼의 역할이 매우 중요하다”면서 “개인정보위는 앞으로도 국민이 안심할 수 있는 사전예방 중심 체계로 개인정보 보호 패러다임을 전환하는데 선도적 역할을 지속할 것”이라고 밝혔다.

2025.12.22 17:00방은주 기자

'생성AI 개발' 등 개보위 정책 현장 설명회 17일 개최

개인정보보호위원회(위원장 송경희)는 오는 17일 서울 양재 엘타워에서 기업 및 공공기관, 협회·단체 등 현장 실무자들을 대상으로 현장 설명회를 개최한다고 밝혔다. 이번 설명회는 개인정보 담당자들이 업무 과정에서 겪게 되는 궁금증과 어려움을 해소할 수 있게 올해 추진한 주요 정책과 제도, 새롭게 발간된 안내서 등을 설명하기 위해 마련됐다. 특히 지난 10월 인터넷망 차단조치 개선, 오픈마켓 판매자 등에 대한 플랫폼 사업자의 책임 강화, 개인정보처리자 자율보호 체계 강화, 내부관리계획 수립 항목 확대 등을 포함한 '개인정보의 안전성 확보조치 기준' 고시가 일부 개정됨에 따라 이러한 내용이 현장에서 이행, 정착될 수 있게 관련 설명을 할 예정이다. 또 개인정보의 안전한 활용을 지원하기 위한 ▲사전적정성 검토제 ▲국외이전 제도 ▲가명정보 제도 현황·추진방향과 함께, 최근 활용도가 높아지고 있는 ▲생성형 AI 개발·활용 과정에서의 개인정보 처리에 대한 세부적인 안내와 참석자들과의 질의·응답도 진행한다. 이번 현장 설명회는 별도의 사전신청 없이 진행한다. 개인정보에 대해 관심있는 실무자 누구나 참석할 수 있다. 설명회 발표자료는 개인정보보호위원회 누리집(www.pipc.go.kr)에 게재한다.

2025.12.16 12:00방은주 기자

"CPO에 인력·예산 권한"...개보위, 2026년 업무보고

플랫폼 경제, 클라우드 확산 등으로 대형화하는 개인정보 유출사고에 대응하기 위해 개인정보보호위원회(개보위)가 중복·중대 위반에 대한 징벌적 과징금 특례(10%)를 신설한다. 또 개인정보 보호 분야 투자의 구체적 기준을 마련, IT 투자재원의 10%로 명문화한다. 실효성 시비를 낳은 정보보호 및 개인정보 보호 관리체계(ISMS-P) 인증도 대폭 손질, 예비 심사 도입과 현장 기술심사를 강화하는 한편 예비 심사시 사고와 직결된 핵심 항목(예: 패치 관리, 취약점 점검) 기준 미달 시 심사를 중단한다. 개인정보보호 관련 거버넌스도 개선한다. 회사 대표(CEO)에게 안전한 개인정보의 처리·보호에 관한 최종책임자로서의 관리 의무를 내년 6월까지 법제화, 전사적 관심 및 인식을 제고하는 한편 CPO 지정신고제 도입(대규모민감정보를 처리하는 주요 기관에서 CPO 지정 현황을 개인정보위에 신고)과 CPO 임면 시 이사회 의결 절차 마련 및 CPO에게 인력과 예산 확보 권한 부여 등의 신분보장과 권한을 강화한다. 솔루션(ERP 시스템, EMR 시스템, 암호화 등 보안솔루션, 웹호스팅 도구, 셀러툴 등) 분야 PbD(프라이버시 바이 디자인) 인증도 추진한다. 12일 개보위는 정부세종컨벤션센터에서 열린 대통령 업무보고에서 이 같은 내용을 포함한 5대 추진방향 및 10대 핵심과제를 담은 '2026년 업무계획'을 보고했다. 이날 업무보고는 개인정보보호위원회·과학기술정보통신부·우주항공청, 방송미디어통신위원회 4개 부처 합동으로 열렸다. 최근 유통, 통신 등 국민 생활밀접 분야 대규모 개인정보 유출사고가 잇따르고, AI와 클라우드 등 신기술의 급속한 확산으로 개인정보 정책 환경이 급변하는 상황에서, 개인정보위는 그간의 사후제재 중심 개인정보 수집 규제에서 벗어나 개인정보 보호 체계를 근본적으로 전환한다는 방침이다. 이를 위해 ①실효적 제재 및 보호투자 촉진 ②공공·민간의 선제적 예방·점검 ③신뢰 기반의 AI 사회 구축 ④국민 생활 속 프라이버시 보호 ⑤글로벌 데이터 신뢰 네트워크 구축이라는 5대 추진방향을 수립했다. ① 실효적 제재 및 보호투자 촉진 반복·중대한 위반 행위에 대해서는 징벌적 과징금 특례를 신설, 강력한 억지력을 확보하고, 단체소송 요건에 '손해배상'을 추가, 유출 사고로 인한 국민 피해를 실질적으로 보상할 방침이다. 최근 개선 필요성이 제기된 정보보호 및 개인정보 보호 관리체계(ISMS-P) 인증에 예비심사를 도입하고, 현장 기술심사도 강화, 중대·반복적 법 위반 시 원칙적으로 인증을 취소하는 등 사후 관리를 강화한다. 예비심사때 사고와 직결된 핵심항목(예: 패치 관리, 취약점 점검) 기준 미달을 발견하면 심사를 중단할 예정이다. 또 기업 규모 및 리스크에 비례하는 책임을 강화하고, 적극적인 개인정보 분야 투자를 촉진하기 위해 과징금 필수 감경 등 인센티브를 제도화한다. 기업 대표(CEO)에게 최종 개인정보 보호 책임자로서 관리의무를 법제화하고, 개인정보보호책임자(CPO) 지정 신고제도(대규모 민감정보를 처리하는 주요 기관에서 CPO 지정현황을 개인정보위에 신고) 도입할 계획이다. ② 공공·민간의 선제적 예방·점검 고도화한 해킹 기술 등 새로운 위협에 대비하기 위해 유통, 플랫폼 포함 대규모 민감 개인정보 처리 분야의 사전 실태점검을 추진하고, 사전적, 상시적으로 개인정보 침해요인을 분석할 수 있는 '기술분석센터'를 구축한다. 또 공공부문을 대상으로는, 개인정보 보호 수준 평가 시 유출사고 패널티를 확대하고, 주요 공공시스템의 취약점 점검 의무 등을 강화한다. 한편, 개인정보 보호 투자 여력이 부족한 창업·중소·영세기업을 대상으로 선제적인 모니터링과 개선 유도 등 안전조치 지원사업을 추진하고, 유출사고 발생 시 신속한 기술적 지원과 함께 즉시 시정하는 경우 처분 부담도 경감할 계획이다. 더불어, 개인정보 보호 강화 기술(P.E.T) 연구개발(R&D) 및 전문인력 양성을 통해 신산업 육성을 지원한다. 특히, AI 생애주기를 고려한 개인정보 특화 기술 개발과 국제표준 선점을 통해 신뢰 기반의 AI 산업을 육성하고, 산업현장의 개인정보 침해사고에 즉시 대응하면서 리스크 예방도 가능한 개인정보 특화 석박사급 인재를 배출할 계획이다. PET(Privacy Enhancing Technology)는 데이터 가명 및 익명처리, 동형암호, 합성데이터, 분산컴퓨팅 등 개인정보를 보호하면서 데이터 활용을 가능하게 하는 기술을 말한다. ③ 신뢰 기반의 AI 사회 구축 본격적인 AX 시대를 맞아 개인정보의 안전한 활용이 현실화될 수 있도록 AI 특례를 도입하고 개인정보 처리 근거도 확대하며, 안전하고 편리한 가명정보 활용을 적극 지원한다. 양질의 데이터를 보유하고 있으나, 가명처리 역량이 미흡한 공공기관을 대상으로 '가명처리 원스톱 지원체계'를 운영하고, 개인정보 이노베이션존(개인정보위가 직접 안전성을 검증, 지정한 공간에서 연구자 등이 개인정보를 보다 유연하고 탄력적으로 활용할 수 있는 제도) 연계 허브 구축을 통해 데이터의 안전하고 막힘없는 흐름을 지원할 예정이다. 에이전트 AI 등 고도화된 AI 확산에 따라 새로운 데이터 처리 가이드라인을 'AI 프라이버시 민·관 정책협의회' 중심으로 마련하며, '공공 AX 혁신 지원 헬프데스크' 운영을 통해 사회적 난제 해결을 위한 AI 개발에 개인정보 침해 우려가 없게 지원한다. 'AI 프라이버시 민·관 정책협의회'는 학계, 산업계, 시민단체, 법조계 등 AI 분야 전문가 30여 명으로 구성할 예정이다. 안전한 마이데이터 생태계도 조성한다. 국민이 마이데이터 전 과정을 원스톱으로 관리할 수 있는 '마이데이터 지원 플랫폼'을 본인 정보 통제권이 강화되는 방향으로 개선하고, 올해 의료, 통신 분야에 도입된 개인정보 제3자 전송 서비스를 내년에는 에너지, 교육, 고용, 문화여가 분야로 확대한다. ④ 국민 생활 속 프라이버시 보호 국민이 체감할 수 있는 일상의 개인정보 보호 체계도 강화한다. 먼저, 주요 시설 내 보안인증 IP카메라 사용 의무화와 영상관제시설의 안전성 강화 등의 근거 법률을 제정하고('영상정보처리기기의 설치 운영 등에 관한 법'률 제정 추진), 로봇청소기와 키오스크 등 생활밀착형 스마트기기를 중심으로 PbD(Privacy by Design, 개인정보 보호 요소를 고려해 제품을 설계해야 한다는 개념) 인증제를 확산한다. 딥페이크 악용 범죄 등 신기술 합성콘텐츠에 대한 국민(정보주체)의 권리를 신설하고 범정부 협력체계에 적극 참여해 대응을 강화한다. 즉, 국민의 AI 합성콘텐츠에 대한 삭제 요구 및 사업자의 조치 의무, 인격적 가치 훼손 목적으로 개인정보 합성과 훼손, 변조 및 유통 금지 등을 신설할 예정이다. 개인정보처리자 대상 수준별, 분야별 특화교육을 제공하고, 국민 실생활에서 개인정보 유출 피해를 방지할 수 있게 계층별 맞춤형 교육도 확대한다. 특히, 아동·청소년에 대한 보호를 강화하기 위해 '지우개 서비스'(아동과 청소년 시기 작성된 개인정보 삭제 지원 서비스)를 확대 운영하고, 관련 사항의 법제화 등 제반 논의를 구체화한다. 또 현 '침해신고센터' 기능을 침해상담 및 신고 기능으로 강화해 개인정보 보호 취약계층에 대한 보호 사각지대 해소를 위해 노력하고, 해킹 등 사건 발생 초기부터 국민이 적절하게 대응할 수 있도록 개인정보 유출 가능성을 신속하게 통지하는 제도를 도입한다. 개인정보 불법유통에 대한 대응을 강화하고 2차 피해를 방지하기 위해, 불법유통에 대한 처벌 및 정보수집분석의 법적 근거를 마련하며, 관계부처 및 국제사회와 협력하는 대응체계를 구축한다. 마지막으로, '개인정보 보호법' 위반에 따른 과징금 등이 국민 피해회복 지원에 활용될 수 있도록 '(가칭)개인정보 피해회복 지원 기금' 신설을 추진하고, '피해회복형 동의의결 제도'(사고를 낸 기업이 자발적으로 시정 방안을 제시하고 이를 의결로 확정해 신속한 피해회복을 도모하는 제도)도 도입할 계획이다. ⑤ 글로벌 데이터 신뢰 네트워크 구축 국경 간 데이터 이동이 증가함에 따라 개인정보위가 마련한 표준계약서(SCC) 및 개인정보위의 승인을 받은 구속력 있는 기업내부규정(BCR) 등을 통해 안전하고 원활한 국외이전을 지원한다. 또한, 민감도가 높은 대규모 개인정보 국외이전 시 기업 등이 위험성을 자체적으로 평가하도록 하는 '국외이전 영향 평가제'를 도입하고, 기업 인수합병 시에는 국외이전 사전심사제를 도입한다. 이와 더불어 미국, 영국, 일본 등 데이터 상호 교류 필요성이 큰 국가를 중심으로 안전하고 원활한 이전 체계를 마련함과 동시에 국가별 개인정보 보호 역량 강화를 지원하며, 글로벌 규범 형성에도 적극 참여할 계획이다. 송경희 개인정보위 위원장은 “최근 개인정보와 데이터를 둘러싼 환경이 급변함에 따라 그간의 사후 제재 중심 제도가 그 한계를 여실히 드러낸 것으로 보인다”며 “개인정보위는 개인정보 보호 체계를 근본적으로 전환하여 확실한 변화를 이끌고, 국민이 안심하며 신뢰할 수 있는 AI 융합사회를 구축하겠다”고 밝혔다.

2025.12.13 13:44방은주 기자

개인정보보호위원회, 2K게임즈에 과징금-과태료 2억171만원 부과

개인정보보호위원회가 글로벌 게임사 2K게임즈에 대해 대규모 개인정보 유출 사고와 관련한 제재를 확정했다. 헬프데스크 운영 과정에서 기본적인 접근 통제와 인증 절차를 소홀히 한 데다, 유출 인지 이후 신고·통지 의무도 지키지 않았다는 판단이다. 개인정보보호위원회는 지난 10일 전체회의를 열고 개인정보 보호 법규를 위반한 2K게임즈에에 과징금과 과태료를 포함해 총 2억 171만원을 부과하고, 처분 사실을 홈페이지에 공표하기로 의결했다고 11일 밝혔다. 개인정보보호위원회에 따르면 2K게임즈는 지난 2022년 9월 헬프데스크 관리직원 계정이 탈취되면서 관리자 페이지가 해킹됐고, 이 과정에서 국내 이용자 약 1만2천906명을 포함해 전 세계 헬프데스크 이용자 약 400만 명의 개인정보가 유출됐다. 유출된 정보에는 이름, 이메일 주소, IP 주소, 이용 중인 게임명, 문의 내용 등이 포함됐다. 조사 결과 해커는 아이디와 비밀번호만으로 접근이 가능한 헬프데스크 관리자 계정을 이용해 시스템에 침입한 것으로 확인됐다. 개인정보보호위원회는 2K게임즈가 2011년부터 헬프데스크를 운영하면서 개인정보취급자가 정보통신망을 통해 개인정보처리시스템에 접속할 경우 추가적인 안전한 인증수단을 적용해야 함에도 이를 이행하지 않았다고 판단했다. 유출 사고 인지 이후 대응도 문제가 됐다. 당시 적용되던 개인정보 보호법은 개인정보 유출 사실을 인지한 경우 24시간 이내에 이용자에게 통지하고 감독기관에 신고하도록 규정하고 있었지만, 2K게임즈는 2022년 9월 28일 유출 사실을 인지한 뒤 이용자 통지를 10월 6일, 개인정보위 신고는 10월 8일에 진행해 법정 기한을 넘겼다. 개인정보보호위원회는 정당한 사유 없이 신고와 통지가 지연됐다고 봤다. 이에 따라 개인정보보호위원회는 2K게임즈에 과징금 1억 9천451만원과 과태료 720만원을 부과하고, 처분 내용을 공표하도록 했다. 개인정보보호위원회는 글로벌 사업자라 하더라도 국내 이용자의 개인정보를 처리하는 경우 국내 법령에 따른 안전조치와 사고 대응 의무를 동일하게 부담해야 한다는 점을 분명히 했다. 또한 이번 처분을 계기로 관리자 페이지 등 개인정보처리시스템에 대한 접근 통제를 강화하고, 아이디와 비밀번호 외에 일회용 비밀번호 등 추가 인증수단을 반드시 적용해야 한다고 강조했다. 이와 함께 개인정보 유출 사고 발생 시 신속한 신고와 이용자 통지가 중요하다는 점도 다시 한 번 당부했다.

2025.12.12 14:45김한준 기자

개보위 시정명령 받은 108곳 이행률 95%...메타 등 포함

개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 10일 제26회 전체회의에서 '2025년 상반기 중 이행 기간('24.10월~'25.6월 중 의결)이 도래한 108건의 시정명령(권고), 개선권고, 공표명령 등 내용에 대한 이행실태를 점검한 결과, 103건(약 95.3%)이 이행되거나 이행계획이 제출됐다고 밝혔다. 108건을 구체적으로 보면, 보호법 상 안전조치 의무가 62건(58.3%), 개인정보 파기가 22건(20.3%), 합법처리 근거가 13건(14.8%) 이다. ■ 합법처리근거(동의 등) 관련 이번 이행점검에는 '메타(Meta)처분 건'도 포함됐다. 메타는 이용자의 적법한 동의 없이 종교·정치관, 동성애 등 민감정보를 수집·생성하고 이를 맞춤형(타겟팅) 서비스·광고 등에 활용했다.이에, 개인정보위는 시정명령 처분을 내렸고, 메타는 민감정보 기반 맞춤형 광고 타겟팅 옵션을 삭제했다. 또 정보주체의 개인정보 수집·이용 동의 위반으로 처분('24.12월)을 받은 12개 손해보험사의 경우, 보험료 계산 시 상품소개·혜택안내 미동의자에 대한 동의 재유도 팝업 화면 삭제 등 동의 절차를 개선하고, 보험료 계산을 중단하거나 미계약한 경우는 개인정보 자동 파기 조치도 병행했다. 올 6월 안전조치 의무 소홀로 개인정보가 유출돼 과징금, 시정명령 등 처분을 받은 대학 2곳에 대한 시정조치는 이행된 것으로 확인됐다. 전북대의 경우, 주요 정보시스템 대상 모의해킹 훈련 및 취약점 점검·조치, 사이버 위협 탐지·대응 시스템 적용, 보안관제 플랫폼 구축 등의 안전조치를 강화했다. 이화여대는 학사행정 시스템 인증 강화, 24시간 원격 보안관제 시스템 도입, 모의해킹 실시 및 취약점 조치 등 보안을 강화했다. 아울러, 아마존(AWS), 마이크로소프트(Azure), 네이버클라우드(Naver Cloud Platform) 등 클라우드 사업자에 대한 사전 실태점검 결과 이루어진 개선 권고도 모두 이행된 것으로 밝혀졌다. 해당 사업자는 이용사업자가 보호법 상 안전조치 의무 준수할 수 있도록 클라우드 서비스 내 추가 설정 및 별도 솔루션 구독 내용 등이 담긴 '이용사업자용 가이드라인'을 마련했다. ■ 개인정보 파기 관련 보유기간이 경과된 비회원의 개인정보를 파기하지 않아 대규모 개인정보 유출에 영향을 끼쳐 올해 3월 처분받은 모두투어도 개인정보위의 시정조치에 대해 ERP(전사적 자원관리) 시스템의 정기점검 시 파기 사항을 추가해 개인정보가 자동 파기될 수 있도록 조치했다. 또 모두투어는 파기현황 점검과 함께 개인정보 보호책임자(CPO) 내부 결재 체계 마련 등 개인정보 파기 프로세스를 개선한 것으로 확인됐다. 작년 11월까지 실시된 소셜로그인 서비스에 대한 사전 실태점검과 관련하여, 올해 2월에 개선권고 받은 소셜로그인 5개 사업자도 적극적인 개선 노력이 확인됐다. 주요 내용으로는 이용자가 소셜로그인 계정을 탈퇴(연동 해지)하거나 소셜로그인 이용사업자의 웹·앱 탈퇴 시 해당 정보주체의 개인정보가 적시에 파기될 수 있도록 소셜로그인 이용사업자는 소셜탈퇴 및 연동 해지 방법·기능(Callback URL, 토큰만료 API 등)을 개발자 문서 등에 안내하는 등의 조치를 했다. 향후, 개인정보위는 시정조치 점검 중인 피심인(3개, 5건)에 대한 이행 여부를 추가 확인 및 이행 독려를 철저히 하는 한편, 시정명령 유형화·구체화, 이행점검 체계 강화 등 시정명령 실효성 제고를 위한 제도개선도 병행할 예정이다.

2025.12.11 11:00방은주 기자

개보위도 디지털 포렌식 센터 만들었다

개인정보보호위원회(위원장 송경희, 이하 개인정보위)가 정부서울청사 내에 '디지털 포렌식 센터'를 구축, 10일 오후 현판식을 개최했다. 경제 검찰로 불리는 공정위는 오래전부터 디지털 포렌식 센터를 운영하고 있다. 개인정보위는 올해 1~11월 동안 396건의 개인정보 유출 신고를 접수했다. 이는 작년 한 해 동안 접수된 307건보다 약 30% 증가한 수치다. 특히, 올해 접수된 396건의 유출신고 중 약 64%에 해당하는 253건이 해킹 유출로 확인됐다. 통신사·유통사 등 대규모 유출 사고가 연쇄적으로 발생하는 등 디지털 환경 전반에서 개인정보 침해 위협이 급격히 확대되고 있다. 개인정보 유출 신고는 ('22년) 167건 → ('23년) 318건 → ('24년) 307건 → ('25.11월말) 396건으로 증가세다. 이에 개인정보위는 복잡하고 고도화하는 해킹 수법과 증가하는 유출 사고에 대한 조사 역량을 강화하기 위해 총 사업비 약 16억원을 투입해 올 1월부터 11개월에 걸쳐 정부서울청사에 '개인정보위 디지털 포렌식 센터'를 구축했다. 이 '디지털 포렌식 센터'는 해킹 등에 의해 발생한 개인정보 유출 사고와 관련된 디지털 증거를 전문적으로 수집·분석·관리하기 위한 목적으로 구축된 전문 시설이다. 개인정보위는 이번 디지털 포렌식 센터 구축으로 대규모 유출사고 발생 시 개인정보처리시스템 등의 디지털 증거자료를 직접 확보하고, 전용 장비를 활용함으로써 사고 경위·유출규모 및 범위 등에 대한 실질적인 조사·분석 역량이 한층 강화될 것으로 기대했다. 또 수집한 디지털 증거의 수집·분석·보관·파기 등 전 과정을 표준화된 절차에 따라 관리함으로써 디지털 증거의 무결성과 조사 결과의 신뢰성을 확보해 나갈 방침이다. 송경희 개인정보위 위원장은 “사회 전반의 디지털 전환이 가속화하면서 개인정보 유출사고는 급격한 증가 추세로, 포렌식을 통한 디지털 증거의 확보와 분석 역량이 매우 중요한 요소”임을 강조하며 “최근 SKT·쿠팡 등 반복되는 대형 유출 사고로 인해 국민 우려가 커지고 있는 만큼, 이번에 신설된 포렌식 센터를 통해 사고 원인·피해 규모 등을 철저히 규명해 보호법을 위반한 사업자에게는 책임을 엄정히 묻고 근본적인 재발방지 대책을 요구하겠다"고 밝혔다.

2025.12.10 15:00방은주 기자

개보위 "과징금·손해배상제 개선"

개인정보보호위원회(개보위, 위원장 송경희)는 4일 기자들에게 배포한 자료에서 "개인정보 보호법상 과징금과 손해배상은 별개의 제도로, 상호 결합할 수 없다"고 밝혔다. 일각에서 제기된 두 제도간 결합에 대한 설명이다. 개보위에 따르면, 개인정보보호법상 과징금(제64조의2)은 행정기관인 개인정보보호위원회가 개인정보를 유출하거나 침해한 개인정보처리자(사업자 등)에 대해 전체 매출액의 3% 이내에서 부과하는 행정처분이다. 전체 매출액은 위반행위가 있었던 사업연도 직전 3개 사업연도의 해당 개인정보처리자의 연평균 매출액으로 한다. 반면 법상 손해배상(제39조)은 민사소송 일종으로, 법원이 개인정보 유출 등으로 피해를 입은 정보주체(개인)에게 손해액의 5배를 넘지 않는 범위에서 배상을 결정하는 판결을 말한다. 개보위는 "현행 보호법상 과징금 제도와 손해배상 제도의 보완이 필요하다"면서 "중대·반복적 사고를 일으킨 개인정보처리자에 대한 징벌적 과징금과 정보주체에 대한 실질적 피해구제가 가능한 실효적 손해배상에 대해 각각의 제도 개선책을 신속히 마련할 계획"이라고 밝혔다.

2025.12.04 13:22방은주 기자

개보위 2026년 예산 729억...개인정보 침해방지 77억

개인정보보호위원회(위원장 송경희, 이하 '개인정보위')의 2026년도 예산이 729억 원으로 2일 국회 본회의에서 확정됐다. 정부안 대비 24억 원, 2025년 예산 대비 70억 원 늘었다. 개보위는 개인정보 침해․유출 예방 및 보안 분야에 집중 투자, 개인정보 보호 정책의 패러다임을 사후 제재에서 사전 예방 중심으로 전환할 예정이다. 이에, 편성한 개인정보 침해·유출 예방 및 보안 강화 예산 규모는 109억 원으로 2025년 104억 원 대비 4.8% 증가했다. 구체적으로 ▲개인정보 침해방지 77억 원 ▲개인정보 사고조사 지원 24억 원 ▲위원회 송무지원 8억 원을 편성했다. 특히 개인정보 침해방지 예산 중 ▲기술 분석 센터 구축·운영에 20억 원 ▲다크웹 대응체계 구축에 4억 원을 각각 신규 편성, 예방 중심 보호체계로 전환한다는 계획이다. 또 인공지능(AI) 시대 혁신 기술개발을 위한 개인정보 보호, 활용 연구개발(R&D) 사업 예산 규모는 133억 원으로 2025년 89억 원 대비 49.4% 증가했다. 구체적으로 ▲개인정보 안전활용 선도기술 개발(R&D)에 61억 원 ▲글로벌 개인정보보호 표준개발(R&D)에 15억 원 ▲개인정보 보호·활용 전문인력 양성(R&D) 30억 원 ▲신뢰기반의 AI기반의 개인정보 보호·활용 기술개발(R&D)에 27억 원을 각각 편성, AI 시대에 대비한 안전한 개인정보 기술 개발 및 인력 양성에 힘쓸 계획이다. 개인정보보호 협력 구축과 관련 예산은 14억 원으로 확정됐다. ▲개인정보보호 국제협력 네트워크 구축 6억 원, ▲개인정보보호 글로벌 규제 대응 5억 원, ▲개인정보보호 국제협력 지원 3억 원을 각각 편성, 인공지능 시대의 프라이버시 거버넌스를 선도하고 해외에 진출하는 우리 기업 지원 및 주요국과 전략적인 데이터 이전 협력체계를 구축할 계획이다. 디지털 환경 변화에 대응, 국민의 개인정보 자기결정권 강화에도 중점을 뒀다. 정보주체가 본인의 데이터를 본인 또는 제3자에게 전송할 수 있는 마이데이터 생태계 조성을 위한 ▲개인정보 전송요구권 보장 사업 54억 원, ▲마이데이터 지원 플랫폼 구축 및 지원 사업 62억 원 등 총 116억 원의 예산을 편성했다. 아울러 개인정보의 안전한 활용을 위해 가명처리 원스톱 지원체계 구축 및 가명정보 활용센터를 지원하는 안전한 데이터 활용 지원 사업에 65억 원을 투입하고, 이 중 클라우드 및 연계 허브 도입을 통한 데이터 활용 활성화 제고를 위해 개인정보 이노베이션존 클라우드 구축 사업에 29억 원을 신규 투입한다. 개인정보를 처리하는 공공기관과 민간사업자 등이 개인정보를 보호하는 환경을 조성하기 위한 개인정보 자율환경 조성 사업에는 37억 원이 편성됐다. 특히, 개인정보 처리방침 평가, 개인정보 보호수준 평가, 개인정보 영향평가 등을 통해 개인정보 처리 수준을 향상시켜 나갈 계획이다. 이정렬 개인정보위 부위원장은 “개인정보위는 인공지능 시대 안전한 개인정보 기술 개발을 위한 투자와 균형적 개인정보 보호·활용으로 국민이 안심할 수 있는 개인정보 보호체계를 확립하겠다”고 밝혔다.

2025.12.03 16:03방은주 기자

개보위 "7일내 2차 피해 방지 조치 보고를"...쿠팡 사태 긴급 전체회의

개인정보보호위원회는 3천만건이 넘는 대규모 개인정보 유출 사태를 일으킨 쿠팡에 개인정보 '노출' 통지를 '유출' 통지로 수정하고, 유출 항목을 빠짐없이 반영해 재통지하라고 요구했다. 구체적으로, 개보위는 ①유출로 수정·보완해 재통지 ②이용자 대상 피해 최소화 방법 적극 안내 ③2차 피해 방지 자체 대응 강화의 세 가지 조치 사항을 주문, 쿠팡이 7일 이내에 이들 조치 결과를 제출하라고 요청했다. 개보위는 3일 오전 제25회 전체회의를 긴급 개최, 쿠팡의 그간 대응상황을 점검, 이 같은 3가지 사항을 즉각 실시할 것을 의결했다. 개보위에 따르면 쿠팡은 미확인자의 비정상적 접속으로 고객 개인정보가 유출된 사실을 파악하고도 정보 주체에게는 '노출' 통지라는 제목으로 안내했을 뿐 '유출' 사실을 통지하지 않았다. 또 관련 내용을 홈페이지에 1∼2일만 단기간 공지하고 유출 항목 중 공동현관 비밀번호 등 일부를 누락해 국민 혼선을 초래했다. 이에, 개보위는 쿠팡이 배송지 명단에 포함돼 정보가 유출된 사람에게도 식별 가능한 범위 내에서 개인정보 유출 사실을 통지하고, 추가 유출 확인 시 즉각 신고·통지할 것을 요구했다. 또 홈페이지 초기 화면이나 팝업창을 통해 일정 기간 이상 유출 내용을 공지하고, 공동현관 비밀번호 및 쿠팡 계정 비밀번호 변경 권고 등 추가 피해 예방 요령을 적극 안내하라고 주문했다. 아울러 피해 방지 대책의 실효성을 재점검하고 자체 모니터링을 강화하는 한편, 전담 대응팀을 확대 운영해 민원 제기나 언론 보도에 즉각 대응할 것도 요구했다. 개보위는 "국민 다수의 연락처, 주소 등이 유출된 사안의 중대성을 무겁게 인식하고 있다"며 "쿠팡의 개인정보 유출 경위, 규모·항목, 안전조치 의무 위반 등을 신속·철저히 조사하고 위반사항 확인 시 엄정 제재할 것"이라고 밝혔다. 한편 개보위는 지난달 30일부터 3개월간 '인터넷상(다크웹 포함) 개인정보 유·노출 및 불법유통 모니터링 강화 기간'을 운영하며 유관 협회·단체와 공동으로 피해 예방 교육·캠페인을 집중 전개하고 있다.

2025.12.03 14:49방은주 기자

보안 인증 받은 쿠팡, 과징금 얼마나 나올까

대한민국 국민 65%에 달하는 개인정보 유출 사고가 발생한 쿠팡의 제재 수위에 대한 관심이 모아지고 있다. 보안의 기본이라고 할 수 있는 퇴사자 권한 관리가 유출사고의 원인으로 지목되고 있는 데다, 정부에서도 엄정 제재, 징벌적 손해 배상에 대한 목소리가 높아지고 있기 때문이다. 현행 기준에 따르면 매출액 기준 최대 3%에 달하는 과징금이 부과될 수 있어 쿠팡은 최대 1조원대 과징금 철퇴를 맞을 가능성도 있다. 2일 업계에 따르면 쿠팡은 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사에 임하고 있다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당) 분석에 따르면 이번 유출사고는 퇴사자 인증키를 퇴사 즉시 수거하지 않고 방치한 데 원인이 있는 것으로 알려졌다. 직원이 퇴사를 하면 회사 내부 데이터나 서버, 네트워크에 접근하지 못하도록 권한을 수거해야 하는데 그렇지 못한 것이 화근이 된 것이다. 다만 현재 회사는 무단 접근 경로를 차단하고 내부 모니터링을 강화하는 조치를 취했다. 개인정보보호위원회(개보위) 등 조사 당국에 따르면 정부는 쿠팡의 대규모 개인정보 유출로 민·관 합동 조사단을 꾸리고 본격적인 조사에 착수한 것으로 알려졌다. 개보위는 보안 조치 의무를 위반한 사실이 확인된 경우에는 엄정한 제재를 적용하겠다고 밝혔다. 이재명 대통령도 이날 쿠팡 개인정보 유출사고와 관련해 "쿠팡 때문에 우리 국민의 걱정이 많다"며 "처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다. 관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서달라"고 지시했다. 쿠팡, 최대 1조원 이상 과징금…최대 부과 가능성 낮아 조사 당국과 정부는 쿠팡에 대한 고강도의 제재 수위를 논하는 것으로 알려졌다. 현행법상 개인정보 유출 시 관련 법을 위반한 기업에는 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. 지난해 쿠팡의 매출액이 41조원이 넘는 만큼 1조원 이상의 과징금이 부과될 수 있다는 계산이 나온다. 다만 과징금 선정 절차는 사고와 관련 없는 매출은 제외하기 때문에 최대 과징금이 부과될 가능성은 낮다. 개보위에 따르면 과징금 선정은 우선 전체 매출액에서 사고와 관련 없는 매출액을 제외한 후, 과징금 선정 기준에 따라 기준금액을 정한다. 특히 기준금액 선정 이후에는 2차례에 걸쳐 조정에 들어간다. 여러 감경 사유를 따져보고 해당 사항이 있는 경우 과징금을 깎아준다. 대표적으로 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 보유하고 있는 기업의 경우 현행법상 과징금의 최대 50%까지 감경받을 수 있다. 이에 쿠팡은 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 취득한 기업이기 때문에 과징금을 최대 50% 감경받을 수 있다. 앞서 쿠팡은 지난 2021년 ISMS-P 인증을 획득한 이후 지난해 갱신까지 마친 상태로, 유효한 ISMS-P 인증을 보유하고 있다. 이에 현행법에 따라 과징금 감경 혜택을 받을 수 있는 것이다. 단, 감경 비율은 특정 위반 행위의 내용, 기업의 협조 정도, 시정 노력 등 여러 요소를 종합적으로 고려해 최종 결정된다. 해당 감경 제도로 우리카드는 과거 인천영업센터 가맹점주 개인정보 유용사건으로 부과된 과징금을 50% 감경받아 130억원만 부과된 바 있다. 1차, 2차 조정(감경) 절차 이후에는 중대성 판단을 하게 되는데, 중대성은 매우 중대함, 중대함, 보통, 약함 등 4단계로 구성된다. 가장 높은 '매우 중대함'으로 중대성이 판단된다고 하더라도 기준금액 내에서 과징금이 결정된다. 실제 역대 최대 과징금이 부과된 SK텔레콤 해킹 사태 당시 개보위는 이런 과정을 거쳐 1천348억원의 과징금을 부과했다. SK텔레콤의 무선통신사업 매출 약 13조원을 기준으로 하면 최대 3천831억원의 과징금이 부과될 수 있지만, 기준금액 설정에 따라 제재 수준이 낮아졌다. 그러나 쿠팡의 ▲지난해 매출이 SK텔레콤보다 높은 점 ▲유출 규모가 방대한 점 ▲5개월간 피해 사실을 인지하지 못한 점 등을 고려하면 SK텔레콤보다 높은 역대 최대 규모를 경신할 금액의 과징금이 선정될 가능성이 크다. 개보위 관계자는 "과징금 산정 과정에서 기준금액을 정한 이후 들어가는 감경 절차에 ISMS-P 인증 등이 감경 조항에 포함돼 있다"면서도 "과징금 산정 규모와 관련해서는 예단할 수 없고, 미리 언급할 수 없다"고 일축했다. 염흥열 순천향대 정보보호학과 명예교수는 "현행 과징금 부과 체계는 관련 분야 매출의 3%를 기준으로 산정하지만, 가감하는 조정절차가 있다. 조사 과정에 성실하게 임했는지, 피해자 구제에 적극적으로 했는지 등의 사항을 따져보고 가중하거나 감경해 과징금을 산정한다"며 "다만 정부나 대통령이 얘기하는 징벌적 과징금의 경우는 현재 법 개정 등 논의할 사항이 남아있다. 이번 쿠팡의 경우는 현 절차에 따라 산정되겠지만, 향후에는 개보위 TF에서 논의됐던 과징금 선정 관련 인센티브 제공, 징벌적 과징금 등 가감 조정절차의 방향성에 대해서 인식할 필요는 있다"고 밝혔다.

2025.12.02 18:19김기찬 기자

개보위 "소비자단체협의회 주장 마이데이터 기우"

개인정보보호위원회(위원장 송경희)는 한국소비자단체협의회가 발표한 마이데이터 추진 반대 성명에 대해 27일 아래와 같은 설명을 밝혔다. 개보위에 따르면, 앞서 한국소비자단체협의회는 반대 이유로 네가지, 즉 첫째, 전송 정보 범위 확대에도 불구하고 기준과 절차가 불명확 둘째, 개인정보관리 전문기관에 데이터가 집중되는 구조로, 대규모 유출 위험 셋째, 일상생활 데이터는 민감성이 높음에도 활용 필요성·공익성이 불명확 넷째, 소비자 동의 기반 방식은 형식적·강제적 동의 구조로 이어질 가능성이 있다고 발표했다. 이에 대해 개보위는 이날 해명같은 설명서를 발표 "우리가 추진하는 개정안은 정보전송자로 하여금 본인에게 정보를 전송해줄 것을 요구하는 것에 관한 내용으로서, 제3자에게 전송해줄 것을 요구하는 것에 관한 것이 아니다. 즉, 정보주체의 요구로 정보주체에 대한 정보를 정보주체가 받는 것"이라고 해명했다. 이어 "개인정보위는 전 분야 마이데이터를 통해 정보주체의 자기정보 통제권을 강화하고자 하며, 이 권리를 통해 플랫폼·사업자에 대한 락인 효과를 줄이고 정보 비대칭을 완화해 정보주체 선택 및 사업자 간 공정경쟁과 혁신을 촉진할 것"이라고 더붙였다. '락인(lock-in)'은 소비자가 일단 어떤 상품 또는 서비스를 구입·이용하기 시작하면, 유사한 상품 또는 서비스로의 수요 이전이 어려운 현상을 말한다. 이어 개보위는 한국소비자단체협의회가 주장하는 네 가지 사항에 대해서도 일일이 해명했다. ■ ➀ 정보전송범위 확대에도 불구하고 기준과 절차가 불명확하다는 의견에 대해.... 이번 시행령 개정안에서는 전송 정보 범위를 개인정보처리자가 운영하는 인터넷 홈페이지에서 정보주체가 이미 열람‧조회 가능한 정보로 한정, 대상 정보를 예측 가능한 범위로 제한했다. 해당 정보는 본인이 암호화된 파일 형태로 내려받을 수 있고, 대리인을 통해 내려받을 수도 있으나 본인(본인정보저장소)에게 전달돼야 한다. 또한 자동화된 방식을 통한 대리인의 개인정보 수집이 많은 분야에서 행해지고 있고, 이로 인해 과도한 정보수집, 정보유출, 오남용의 위험성이 높아지고 있다. 이러한 위험성을 최소화하기 위해 정보전송자가 최소한의 정보, 암호화, 정당한 대리인 여부 및 안전조치 등을 사전에 협의‧확인된 경우에 정보전송을 허용할 것을 명시했다. ■ ② 자동화된 방식을 통해 개인정보관리 전문기관에 데이터가 집중되는 구조로 개인정보의 대규모 유출 위험하다는 의견에 대해... 본인전송은 정보가 본인에게 전송되며, 전문기관 등에 전달되는 구조가 아니다. 또 본인에게 전송된 이후에는 본인이 직접 활용하거나 개인정보 보호법(이하 '보호법') 제35조의3에 따라 정부에서 지정한 전문기관과 위임계약을 체결해 관리 및 분석을 할 수 있게 지원받을 수 있다. 또 전문기관은 보호법 제35조의3에 따라 자본금 외에도 사업계획서, 보호체계 등을 엄격하게 심사하여 중앙행정기관의 장이 지정하며, 지정 이후에도 보호체계를 유지하는지 개인정보위가 관리·감독하고 이를 위반하는 경우 지정을 취소할 수 있다. 해킹 등 유출 위험에 대응하기 위해서는 암호화, 취약점 점검, 취약한 소프트웨어 업그레이드, 접근 탐지‧차단 등 끊임없는 정보보호 활동이 필요하다. 개인정보위는 유출사고가 발생했을 때에 조사하는 것이 아니라, 전문기관에 대해 사전예방적 정보보호 활동을 정기적으로 점검하고 관리‧감독할 예정이다. ■ ③ 일상생활 데이터는 민감성이 높음에도 활용 필요성·공공성 등이 불명확하다는 의견에 대해.... 이번 시행령상 전송정보는 본인이 인터넷 홈페이지에서 직접 조회할 수 있는 정보다. 예를 들면, 온라인 쇼핑 홈페이지에 보이는 정보는 주문‧결제‧배송 이력 등이며, 해당 이력에 민감정보가 포함될 가능성은 낮다. 소비자가 홈페이지에서 보던 주문·결제·배송 이력 등의 데이터를 본인이 내려받거나 대리를 통해 본인에게 내려받게 하고, 만약 영업비밀 등이 포함되어있다면 홈페이지 운영자는 해당 정보를 제외할 수 있다. 이후 소비자는 본인의 의사에 따라 이 데이터를 직접 활용할 수도 있고 소비자가가 원하는 경우 전문기관을 통해 관리‧분석 받을 수도 있으며, 만약 본인 의사에 따라 전문기관에 민감할 수 있는 정보를 전송할 때에도 별도의 알림창을 통해 명확히 인지하고 활용할 수 있다. 한편, 활용 필요성‧공공성 관련, 소비자가 본인정보를 활용할 때 정보주체의 의사에 따라 A사에서 B사로 일정 데이터가 흘러 들어가게 된다 해도 이것은 락인 완화, 소비자 후생 및 정보 비대칭 해소, 공정경쟁을 위한 사례로 볼 수 있다. 소비자 후생 및 정보 비대칭성 해소 활용 예시를 들면 첫째, 내 모든 쇼핑·구독 내역을 한 번에 모아 가계부·지출 분석·구독 관리(유령 구독 정리) 둘째, 통신·전기·구독 서비스 자동 비교·갈아타기로 가계 비용 절감 셋째, 리콜·위해상품·허위·과대광고에 대한 피해 입증·집단구제에 활용 등이다. ■ ④ 소비자 동의 기반 방식은 형식적·강제적 동의 구조로 이어질 가능성이 있다는 의견에 대해.... 본인에게 전송된 본인정보는 본인이 직접 활용하거나 전문기관과 별도의 위임계약을 체결하여 관리‧분석 받을 수 있다. 이 경우 포괄적 동의는 허용되지 않고 활용 시마다 세분화된 개별적‧구체적인 동의를 필요로 한다. 소비자는 보호법 제35조의4에 따라 내 정보를 언제, 어디로 전송했는지에 대한 전송이력 확인과 삭제‧철회 요청을 개인정보전송지원플랫폼(onmydata. go.kr)을 통해서 할 수 있어, 정보주체의 개인정보 자기결정권이 강화된다. ■ 그 외의 우려 및 주장 관련해.... ▲① 개인정보가 C커머스 등에 공유될 우려에 관한 의견에 대해... 이번 시행령 개정은 본인(에게)전송요구에 대한 것이며, 전송정보 대상에서 영업비밀은 제외할 수 있음을 명확히 했다. 또 개인정보 관리전문기관 등이 엄격한 보호체계 등을 갖췄는지 현장실사 해야 하므로 해외기업이 전문기관으로 지정받는 일은 사실상 없을 것이라고 개보위는 설명했다. 또 지정 이후에도 감독‧통제를 받아 중국기업에 개인정보가 전송되거나 유출될 가능성은 현실적으로 없거나 희박하다고 진단했다. 이어 본인(에게)전송의 경우 본인이 직접 또는 대리를 통해 본인에게 전송하는 것이고, 이후에는 정보주체 의사에 따라 활용이 가능하며, 이는 정보주체의 통제권을 보장하고자 보호법의 취지에 따른 것이라고 설명했다. ▲ ② 규제개혁위원회 권고에 정면으로 반한다는 의견에 대해... 작년 8월 규제개혁위원회의 개선 권고는 제3자전송에 관한 것으로, 개인정보위는 이를 받아들여 3년에 걸쳐 점진적, 단계적으로 추진하고 있다고 설명했다. 또 이번 시행령은 본인전송요구권을 더욱 폭넓게 인정한 법의 취지에 맞게 본인전송을 확대하기 위한 것이라고 덧붙였다. 개보위는 마이데이터를 확대할 방침으로, 올 3월 의료와 통신 분야를 추진한데 이어 내년에는 에너지, 교육, 고용, 문화‧여가 분야를 대상으로 시행하고 2027년에는 복지, 교통, 부동산, 유통 분야에도 적용할 계획이다. 개보위는 " 앞으로 국민의 권리 강화를 위한 전송요구권 시행과 관련해 사회 각계에서 우려하는 정보유출, 오남용 등의 부작용이 발생하지 않도록 만전을 기하겠다"고 밝혔다.

2025.11.27 23:09방은주 기자

개보위, 블록체인 응용서비스 사전 실태점검 한다

개인정보보호위원회가 블록 체인 응용서비스 분야 전반에 대한 사전 실태점검을 실시, 개인정보보호 관점에서 지침(가이드)을 제공한다. 이와함께 개보위는 20일 블록체인 기반 신규 서비스에 대한 사전적정성 검토 결과도 의결했다. 이번 검토 결과는 추후 해당 서비스가 정식으로 이루어지는 시점에 공개할 예정이다. 대상 분야는, 최근 이용이 활발한 분야(가상자산, 신원인증, 공공, 게임·콘텐츠 등)의 대표적 서비스 4~5개 내외다. 이번 사전적정성 검토 및 국감 지적사항 등을 반영해 중점 점검한다. 또 공통 점검 사항으로, 온체인(블록 기록정보)·오프체인(블록 외 기록정보) 분리 설계, 블록 기록정보로 인한 개인 식별 위험성 평가, 블록체인 참여기관(노드) 간 역할·책임, 블록 기록정보의 불변성 등에 따른 정보주체의 열람·정정·삭제요구권 구현, 국외이전 적법처리 현황(10.28. 국감 지적) 등며, 각 분야별 특화 쟁점도 파악해 분석할 계획이다. 개보위는 "이번 사전 실태점검을 통해 내년 상반기까지 가이드를 마련해 제공할 예정"이라면서 "이를 통해 프라이버시 친화적 블록체인 서비스 설계와 영 지침을 제시하고 표준화한 정보주체 권리 보장 방안을 마련할 수 있을 것으로 기대한다"고 밝혔다.

2025.11.21 17:27방은주 기자

Prev 1 2 3 4 5 Next