검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'인정'통합검색 결과 입니다. (112건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

개보위, 내년 세종 이전하는데 '수도권 사무소' 운영 불투명

개인정보보호위원회가 내년 상반기 세종 이전을 추진하고 있지만 지금까지도 수도권 거점 마련 소식이 들리지 않는다. 개인정보보호 업계에서는 수도권을 대상으로 하는 현장조사가 원활히 이뤄지지 못할 수도 있다고 우려하고 있다. 행정안전부는 지난 13일 2차 중앙행정기관 이전 계획을 발표하고 개보위, 방송미디어통신위원회, 국가인권위원회 등을 내년 상반기 이전 대상에 넣었다. 개보위 이전 규모는 정원 기준 224명이며 세종의 민간 임차 공간을 쓰는 것으로 알려졌다. 행안부는 28일 공청회를 열고 관계기관 협의와 대통령 승인을 거쳐 이전 계획을 변경해 관보에 고시할 예정이다. 문제는 개보위의 이전 계획 발표 뒤 수도권 현장조사를 어떻게 맡을지가 아직도 발표되지 않았다는 점이다. 개보위 관계자는 "조사 대상 업체들이 수도권에 몰려있는데 세종으로 모두 내려가야 한다면 앞으로 조사 시 세종과 서울을 오가느라 시간이 낭비될 것"이라면서 "다른 부처처럼 서울에도 조사 인력이 근무할 거점이 필요하다"고 말했다. 같은 장관급 위원회인 공정거래위원회는 사정이 다르다. 공정위 본부는 세종에 있지만 정부과천청사에 서울사무소를 두고 서울과 강원 사건을 맡는다. 올해 3월3일에는 경기 안양에 경인사무소를 열어 경기와 인천 사건을 나눠 맡게 했다. 경인사무소는 4개 과, 50명 규모다. 공정위는 수도권 사건을 현지에서 처리하는 체계를 갖춘 셈이다. 업계는 개보위 조사 인력 문제도 지적하고 있다. 전현희 국회 정무위원회 더불어민주당 의원(서울중성동갑)실이 받은 자료를 보면, 개보위 소속 조사관 정원은 올해 37명으로 늘었지만 8월 말 현원은 31명이다. 올해 상반기 의결을 마친 사건의 평균 처리 기간은 조사 착수부터 의결까지 369일로 1년을 넘는다. 현장조사에 나서는 비율도 낮다. 박성훈 국회 정무위원회 국민의힘 의원(부산북을)실이 개보위 제출 자료를 분석한 결과, 올해 1~8월 접수된 유출 신고는 579건이다. 이 가운데 9월 말까지 현장조사를 한 사건은 33건(5.7%)에 불과하다. 개보위는 신고 사건을 먼저 서면조사한 뒤 시급성, 중대성, 현장 확인 필요성을 따져 현장조사를 실시한다는 입장이다. 개보위는 지난 2일 100만명 이상 개인정보가 유출됐거나 사회적 관심과 우려가 큰 사건, 주요 공공시스템 해킹 등을 중요사건으로 분류해 전담 조사단을 꾸리겠다고 밝혔다. 사고 직후에는 현장 대응반을 가동해 유출 영향을 받은 시스템을 확인하고 증적을 보존한다는 계획이다. 송경희 개보위원장도 지난 13일 국정감사에서 중요사건에 전담 조사단을 구성해 신속히 대응하겠다고 말했다. 수도권 거점이 마련되지 않는다면 화상, 원격 조사로 빈틈을 메우는 방안도 있다. 다만 서버와 로그 등 증거를 현장에서 확인해야 하는 경우 원격 방식만으로 정확성과 신속성을 확보하기 어려울 수 있다. 원격 방식이 늘면 현장 확인 기회가 줄어들 수도 있다. 한편, 행안부는 같은 이전 대상인 국가인권위원회와는 서울사무소 설치 등을 협의하고 있다고 전했다.

2026.10.27 15:33박광하 기자

개보위, 대구 '개인정보 이노베이션 존' 본격 운영

개인정보보호위원회는 23일부터 대구디지털혁신진흥원의 개인정보 이노베이션 존이 본격 운영을 시작한다고 밝혔다. 대구디지털혁신진흥원은 올해 4월 이노베이션 존으로 예비 지정된 뒤 데이터 분석공간 확보와 시스템·네트워크 개선 등 안전한 데이터 처리 환경을 준비하고, 개보위의 현장 검증 및 보완을 거쳐 운영기관으로 최종 지정받았다. 현재 이노베이션 존 운영기관은 대구디지털혁신진흥원을 포함해 국가데이터처, 국립암센터, 한국사회보장정보원, 더존비즈온, 한국도로공사, 한국교육학술정보원, 광주테크노파크 등 10개 기관이다. 이노베이션 존은 다중 인증 방식과 실시간 화면 녹화 등 안전한 데이터 처리 환경을 갖춘 공간으로, 이용자들은 일반적인 연구공간에서는 시도하기 어려웠던 가명처리 수준 완화, 다양한 결합키 활용, 지속·반복적 연구를 위한 가명정보의 장기간 보관, 제3자 재사용 등을 수행할 수 있다. 빅데이터(영상·이미지 등) 표본 검사와 개인정보보호 강화기술(PET) 실증연구도 가능하다. 대구디지털혁신진흥원은 가명정보 활용 지원센터를 운영하고 있어 가명정보 활용 기초 지원부터 이노베이션 존 운영을 통한 데이터 심층 분석까지 가명정보를 안전하고 체계적으로 활용할 수 있는 유기적인 업무 체계를 갖추게 됐다. 가명정보 활용 지원센터는 가명처리 인프라와 전문인력이 부재한 지역 소재 스타트업·중소기업 등을 위해 컨설팅과 교육·실습을 지원하며 전국에 총 7개소가 운영 중이다. 대구디지털혁신진흥원은 현 정부의 5극 3특 지역 균형발전 전략인 인공지능(AI) 로봇 수도 대구를 구현하는 데 필요한 AI 로봇 분야 데이터와 헬스케어 분야 데이터를 중점적으로 활용할 수 있는 환경을 제공할 계획이다. 개보위는 현재 구축 중인 연계 허브를 통해 이노베이션 존 운영기관 간 데이터 연계·활용을 지원하고, 2027년 1분기 중 공모를 통해 이노베이션 존을 지속적으로 확대해 나갈 계획이다. 개보위는 11월 연계 허브를 시범운영할 예정이다. 이를 통해 기관별로 분산된 데이터를 통합적으로 활용할 수 있는 기반을 마련하고, 운영기관 간 협업을 통한 데이터 활용 사례 발굴도 추진한다. 개인정보 이노베이션 존은 인공지능(AI) 등 신기술 발전에 따라 데이터 활용 수요가 커지면서, 안전한 환경에서 가명정보 분석을 활성화하기 위한 정책의 일환으로 2024년 도입됐다. 현재 운영기관은 총 10곳으로, 국가데이터처(구 통계청), 국립암센터, 한국사회보장정보원, 더존비즈온, 한국도로공사, 한국교육학술정보원, 광주테크노파크, 대구디지털혁신진흥원에 더해 국세청과 질병관리청이 2026년 9월 신규 지정됐으며, 내년 초 본격 운영을 앞두고 있다. 개보위는 가명정보 처리의 안전성 강화를 위해 제도 개선을 지속해 왔다. 2026년 9월 11일부터 시행된 개정 개인정보 보호법은 사후 제재에서 사전 예방 중심으로 전환하고, CEO·CPO의 책임을 강화하며, 개인정보 유출 가능성도 72시간 내 통지하도록 하는 내용을 담고 있다. 해외에서도 가명정보 처리를 위한 안전공간을 운영하는 사례가 있다. EU는 통계작성 목적의 데이터 접근을 위한 안전한 원격 접속 환경을 제공하고 있으며, 일본은 익명가공정보 제도를 통해 안전한 데이터 활용을 지원하고 있다.

2026.10.24 13:50박광하 기자

국내서 받은 환경성적표지, 이탈리아에서도 '통'한다

한국환경산업기술원(원장 남광우)은 22일 서울 삼성동 코엑스에서 이탈리아 환경성적표지(EPD Italy) 운영기관인 아이씨엠큐(대표 로렌초 오르세니고)와 양국 환경성적표지 제도 상호인정을 위한 업무협약을 체결했다. 환경성적표지는 제품 원료 채취부터 생산·사용·폐기까지 전 과정에서 발생하는 환경영향을 정량적으로 평가해 공개하는 제도다. 환경산업기술원 관계자는 “최근 국제적으로 제품 환경정보 요구가 높아지면서 국내 환경성적표지를 해외에서도 활용할 수 있도록 제도 간 협력을 확대할 필요성이 커지고 있다”며 협력 배경을 설명했다. 이탈리아는 건축자재와 전기·전자제품 등을 중심으로 환경성적표지 제도를 활발하게 운영하고 있다.제도는 건축분야 공공조달에도 활용되고 있다. 건축분야는 국내 환경성적표지 주요 인증 제품군과도 유사해 양국 제도 간 상호인정을 위한 협력이 추진됐다. 환경산업기술원과 아이씨엠큐는 협약에 따라 환경성적표지 제도 운영 정보를 공유하고, 상호인정 범위와 세부 조건 등을 협의하기로 했다. 정기적인 실무회의를 개최하고, 향후 상호인정협정(MRA) 체결을 목표로 협력을 이어갈 계획이다. 두 기관은 앞으로 상호인정이 이루어지면 국내 기업은 환경성적표지를 통해 인증받은 제품 환경정보를 이탈리아 시장에서 더욱 쉽게 활용할 수 있을 것으로 기대했다. 한편, 이날 오후에는 협약식에 이어 이탈리아 아이씨엠큐를 비롯해 노르웨이 이피디-글로벌, 일본 숨포 이피디 등 해외 환경성적표지 운영기관 관계자가 참여하는 국제 세미나도 개최했다. 세미나에서는 최근 국제 제품 환경규제 변화와 환경성적표지 활용, 제품 환경정보 디지털화, 일본 기업 공급망 탈탄소화 사례 등을 공유했다. 환경산업기술원은 국내 환경성적표지 제도개선 방향을 발표하고, 참석 기관들과 환경성적표지 국제적 활용 확대 방안을 논의했다. 남광우 환경산업기술원장은 “이번 업무협약은 국내 환경성적표지의 국제적 신뢰도와 활용도를 확대하기 위한 중요한 계기”라며 “앞으로도 해외 운영기관과의 협력을 강화해 국내 기업의 국제 환경규제 대응과 해외시장 진출을 지원하겠다”고 밝혔다.

2026.10.23 00:17주문정 기자

김종철 "해킹 사고 피해보상·구제는 방미통위 소관"

사이버 침해사고가 발생하면 과학기술정보통신부는 침해사고 전반을 살피고, 개인정보보호위원회는 개인정보 유출 문제를 맡는다. 방송미디어통신위원회는 사고 이후 이용자 피해보상과 구제를 책임진다. 구체적으로 방미통위는 사업자의 보상 조치가 이뤄지지 않거나 충분하지 않을 경우 사후적으로 관여할 수 있다는 입장이다. 조경태 국민의힘 의원은 22일 국회 과학기술정보방송통신위원회 국정감사에서 “통신사 쿠팡 티빙 해킹 사고 반복되고 있다”며 “과기정통부, 개인정보위 대응과 달리 방미통위는 이런 조치가 없다고 보인다”고 말했다. 김종철 방미통위원장은 “사후적인 이용자 보호 부분은 방미통위 소관이고 그 부분 충실하도록 노력하겠다”고 답했다. 조 의원은 “방미통위 설치법에 통신 규제와 이용자 보호 기능이 명시돼 있다”며 “해킹은 과기정통부 소관이고 개인정보 유출은 개보위 소관이라지만 피해는 이용자가 입는데 이용자보호 방미통위 적극적으로 나서야 한다”고 주문했다. 김 위원장은 “상황이 발생했을 때 이용자 편익을 사후적으로 관리하다 보니 대응이 없는 것처럼 보이지만, 그 부분에 대해 우리가 현재 대응책을 가지고 있고 약관을 보고 충실히 이행할 수 있도록 노력하겠다”고 답했다. 조 의원의 질의가 끝난 뒤 송기헌 과방위원장도 방미통위 역할에 대한 설명을 요구했다. 김 위원장은 “침해사고 자체는 과기정통부가 하고, 개인정보 유출은 개보위가 주관한다”면서 “침해사고가 있었고 사업자가 제대로 보상을 못하고 있다고 판단되면 관여할 수 있다”고 설명했다. 이어, “피해보상이 이뤄졌더라도 충분한 수준인지 살펴보는 것 역시 방미통위의 역할”이라고 덧붙였다.

2026.10.22 15:30박수형 기자

내 명함이 타인 앱에?…리멤버, 일부 개인정보 유출

최근 일부 리멤버 회원 명함 정보가 다른 회원의 명함첩에 잘못 표시되는 사고가 발생했다. 리멤버는 회사 시스템상의 문제라고 설명하며, 계속해서 모니터링을 진행하고 피해가 확인될 경우 성실히 대응할 것이라는 입장을 밝혔다. 20일 HR업계에 따르면 리멤버는 지난 12일 명함 자동 입력 프로세스상의 장애로 명함 처리가 지연된 상황을 해소하는 과정에서 발생한 시스템 오류로 특정 시간 대 등록된 명함 중 일부 회원의 명함이 다른 회원의 명함첩에 잘못 표시되는 일이 벌어졌다. 다른 회원의 명함첩에 나타난 항목은 성명, 회사명, 직급, 회사 주소, 회사 전화번호, 휴대전화번호, 이메일 등 명함 내에 포함된 정보다. 회사는 이번 사고로 유출된 전체 명함 수에 대해 '내부 보안 사유'로 공개하지 않았다. 사건 발생 후 리멤버는 명함 정보가 유출된 일부 이용자에게 사과문을 발송해 “유출된 정보는 명함에 기재된 정보에 국한되며 해당 정보가 위 회원 명함첩에 표시된 것은 일시적이고 불특정 다수가 이를 열람할 수 있었던 상태에 있었던 것은 아니다”라고 해명했다. 그러면서 “해당 사안을 인지한 즉시 잘못 표시된 모든 정보를 삭제해 더 이상 열람할 수 없도록 조치했다”며 “본 건은 외부 침입이나 해킹에 의한 것은 아니며 명함 정보가 외부로 2차 유출되지 않았다”고 부연했다. 리멤버는 개인정보보호위원회에 회원의 개인정보가 유출됐다는 사실을 신고했다. 개보위 관계자는 “신고 접수는 15일 이뤄졌다”며 “지금 사실관계 확인 중”이라고 답변했다. 이와 관련해 리멤버 관계자는 “12일 당일 중 특정 시간 대에 등록된 명함 중 일부가 유출 대상”이라면서 “2차 피해 사례는 확인되지 않았다. 계속해서 모니터링하고 있으며, 피해가 확인되면 보상에 성실히 대응할 것”이라고 말했다.

2026.10.20 18:56박서린 기자

개인정보보호위원회 이름 변경을?...박민규 의원 "보호 떼라"고 제안

개인정보보호위원회 명칭을 '보호'를 떼어내고 개인정보위원회로 바꾸자는 제안이 13일 이뤄진 국감에서 나왔다. 박민규 민주당 의원은 이날 국회에서 열린 개인정보보호위원회 국감에서 "기술 개발을 위한 개인정보 이용 등 정보 취재 권리를 보장하며 안전한 정보 처리를 위한 기반 조성 확대 차원에서 개인정보보호위원회 명칭을 개인정보위원회로 바꾸자"고 송경희 개인정보보호위원회 위원장에게 제안했다. 박 의원은 이미 2007년에 소비자보호원이 소비자보호원으로 개명한 사례가 있다면서 "소비자보호원의 업무가 단순한 소비자 보호가 아닌 소비자 권익을 대변하는 적극적 업무로 전환, 소비자보호원에서 소비자원으로 바뀌었다"고 설명했다. 이에 송경희 위원장은 "여러 측면에서 검토해보겠다"고 답했다. 오전 질의에서는 조정훈 국민의 힘 의원이 정부24와 권익위 자료 유출과 우리 국민 개인정보 유출을 거론하며 "왜 이렇게 한국은 개인정보 유출이 취약한가?"라고 물었다. 이에 송 위원장은 "무거운 책임감을 느낀다"면서 "전반적인 환경 자체가, 우리나라의 개인정보 가치가 높아지고 또 IT가 고도화하면서 표적이 된 면이 있다"고 답했다. 또 오후 질의에서 서일준 국민의 힘 의원은 최근 5년간 공공에서 개인정보 유출이 128건 일어났지만 과징금 등이 민간에 비해 미약했다고 물었고, 송 위원장은 "징계부터 과징금 등을 강화하고 있다. 다만 공공 부문은 매출액이 없다보니 정액 과징금을 부과하고 있다"고 말했다. 밈병덕 민주당 의원은 이번 금융권 공격에 IP가 800~1000개가 동원됐고, AI해킹이 증가하는데 개보위 대책이 안보인다며, AI공격에 대한 대응책이 있는지, 모의훈련 등을 제대로 하고 있는지 물었다. 답변에 나선 송 위원장은 AI해킹으로 속도가 빨라지고 있다면서 "접근 권한 통제와 데이터 암호화를 안하는 등 기본을 지키지 않아서 사고가 주로 일어난다"면서 "AI해킹에 따른 개인정보 유출은 초동 대응이 중요하며, 예방 활동에 중점을 두고 있다"고 답했다.

2026.10.13 15:32방은주 기자

개보위 "개인정보 보호 체계 전반 재정립 패러다임 전환 필요"

"개인정보보호 체계 전반을 재정립하는 패러다임 시프트가 필요합니다." 임종철 개인정보보호위원회 공공실태점검단장은 7일 서울 코엑스에서 열린 '대한민국 사이버보안 컨퍼런스 2026'에 참석해 "사이버범죄 산업화와 공격기술 고도화로 개인정보 침해 위협이 지속적으로 증대하고 있다"며 이 같이 밝혔다. 임 단장은 이날 '개인정보 관련 실태와 주요 정책 방향'을 주제로 발표했다. 개인정보보호위원회(개보위)는 정책의 무게중심을 사고 발생 후 수습과 처벌에 머물던 과거 방식에서 벗어나, 사전에 취약점을 차단하고 투자를 유도하는 '사전 예방 중심' 체계로 전환하고 있다. 단순 적발식 점검을 넘어 기업과 기관이 자발적으로 보안 체계를 다지도록 제도적인 유인책과 제재 수단을 함께 재정비하는 모양새다. 임 단장은 개인정보 정책 분위기 변화에 앞서 빈번히 발생하는 유출 사고 원인을 짚었다. 그는 "개인정보 보호를 다룰 때 해킹이 전부가 아니다"라며 "지난해에는 해킹 이슈가 많았지만, 올해 금융권 사고 이전까지만 해도 내부 직원의 일탈이나 부주의, 과실에 따른 개인정보 유출이 큰 화두였다"고 지적했다. 이어 "취약점이라는 것은 외부 해킹 공격 외에도 내부 일탈이나 부주의로도 발생된다"며 "해킹 방어뿐 아니라 내부 관리 작업이 반드시 병행돼야 한다"고 덧붙였다. 현장에서 드러난 기본 보안 조치의 미흡함도 언급했다. 임 단장은 "현장에 나가보면 AI를 활용한 신종 공격이나 정교한 해킹 기법을 논하기에 앞서, 이미 널리 알려진 보안 취약점 점검이나 기본 패치 관리조차 제대로 이행하지 않은 곳이 적지 않다"며 "새로운 기술 도입 이전에 가장 기본적인 조치를 충실히 갖추는 것이 급선무"라고 강조했다. 보안 실무 현장의 고충에 대해서도 현실적인 진단을 내놓았다. 임 단장은 "민간이든 공공이든 현장에 나가면 공통으로 인력과 예산에 대한 한계를 토로한다"고 전했다. 실제로 지난해 기준 민간 기업의 IT 예산 대비 정보보호 투자 비중은 6.3%, 전담 인력은 평균 0.8명에 불과했다. 공공 부문 역시 정보보호 투자 비중이 7.3%, 전담 인력은 0.3명에 그쳐 열악한 보안 여건을 드러냈다. 다만 자원 한계만을 이유로 사고 예방을 늦춰선 안 된다고 선을 그었다. 임 단장은 "정부 차원에서도 범부처 협력을 통해 공공 부문 인력을 늘리는 노력을 기울이고 있지만, 0.5명이나 1명 늘어난다고 해서 극적인 변화를 기대하기는 어렵다"며 "보안 담당자의 가장 큰 고민은 먼 미래에 확보될 예산과 인력이 아니라, 당장 지금 발생하지 말아야 할 사고를 막는 데 있어야 한다"고 말했다. 이어 "현재 주어진 환경 안에서 기존 취약점을 계속해서 확인하고 보완하는 현실적인 조치를 우선 실행해야 한다"고 당부했다. 이에 발맞춰 정부는 개인정보 보호 정책의 초점을 사후 처벌에서 사전 예방으로 전환하고 있다. 개인정보보호위원회(이하 위원회)는 '유출 대응 1차 개인정보 보호법 개정'에 따라 지난달 11일부터 반복적이거나 고의적인 중대 위반 행위에 전체 매출액의 최대 10%까지 부과하는 징벌적 과징금 제도를 시행하고 있다. 이와 동시에 예산과 인력, 설비 등 사전 예방 투자를 성실히 이행한 기업에는 사고 발생 시 과징금을 의무적으로 깎아주는 필수 감경 제도를 함께 도입했다. 단순 사후 처벌보다 사전 투자와 성실한 관리가 기업에 실질적인 이익이 되도록 하겠다는 취지다. 사전 예방 차원에서 조직 내부의 책임 구조도 손질했다. 대표(CEO)에게 관리·감독의 최종 법적 의무를 부여하고, 개인정보보호책임자(CPO)가 실질적으로 업무를 책임질 수 있도록 권한을 강화했다. 특히 매출 1800억원 및 100만명 이상 개인정보를 처리하는 기업을 비롯해 상급종합병원, 재학생 2만명 이상 대학, 공공시스템 운영기관에서는 CPO 지정신고제와 임명 및 면직 시 이사회 의결 절차를 도입하도록 했다. 정부 차원의 예방 점검 체계도 구체화됐다. 위원회는 사고 발생 후 조사에 착수하던 기존 관행에서 벗어나, 고위험 분야를 중심으로 취약점을 미리 살피는 '사전 실태점검'을 본격화하고 있다. 점검 과정에서 문제점을 발견하더라도 즉각적인 처벌보다는 시정 권고를 우선 내려 기업 스스로 보안 취약점을 개선하도록 유도하는 방식이다. 제도적인 안전망도 함께 보강한다. 제품과 서비스 기획·설계 단계부터 보안 요소를 반영하는 '개인정보보호 중심 설계(PbD)' 원칙과 인증제를 법제화하고, 주요 공공기관과 기업 시스템을 대상으로 정보보호 관리체계(ISMS-P) 인증 취득을 단계적으로 의무화해 예방 체계를 완성해 나갈 방침이다. 임 단장은 "유출 사고가 발생했을 때 정보주체의 피해를 구제하고 원인을 제공한 자에게 확실히 책임을 묻는 것도 중요하지만, 사고가 발생하지 않도록 사전 예방 정책을 추진하는 것이 위원회의 핵심 방향"이라며 "위원회가 끌고 나가는 사전 예방 정책에 대해 현장에서도 지속적인 관심을 두고 지켜봐 달라"고 말했다.

2026.10.08 10:37진성우 기자

개보위, 영국과 개인정보 보호 동등성 인정 검토 착수

개인정보보호위원회(개인정보위)가 이달부터 영국을 대상으로 '개인정보 보호법(이하 '법')'상 개인정보 보호수준 동등성 인정 여부에 대한 검토를 본격 착수했다. 동등성 인정(법 제28조의8 제1항 제5호)은 상대국의 개인정보 보호체계, 정보주체 권리 보장 수준 등을 종합적으로 검토, 우리나라와 실질적으로 동등한 수준의 개인정보 보호가 이뤄지고 있다고 인정하는 제도다. 해당 국가에 대해 동등성 인정이 결정되면 국내 기업과 공공기관 등은 추가적인 국외이전 요건 없이 개인정보를 해당 국가로 이전할 수 있다. 기업의 글로벌 활동과 국제 공동 연구가 보다 활발해지는 것이다. 단, 개인정보 수집‧이용‧제공 요건과 안전조치 등 다른 법적 의무는 준수해야 한다. 앞서 개인정보위는 2025년 9월 유럽연합 소속 독일, 프랑스, 이탈리아 등 27개국과 유럽경제지역(EEA, 노르웨이와 아이슬란드, 리히텐슈타인 등 3개국)에 대한 최초의 '동등성 인정' 결정을 통해 높은 수준의 개인정보 보호를 전제로 한 안전하고 원활한 개인정보 이전 기반을 마련한 바 있다. 유럽연합(EU)도 2021년 우리나라에 대한 최초 적정성 결정을 내린 이후 2026년 7월 재검토를 통해 우리나라의 개인정보 보호 체계가 지속적으로 높은 수준을 유지하고 있다고 평가하며 적정성 결정을 계속 유지하기로 결정했다. 이로써 한-유럽연합(EU) 간 상호 신뢰에 기반한 양방향의 개인정보 이전 체계가 구축‧유지됨에 따라 안정적인 국제 데이터 활용 환경이 지속되고 있다. 개인정보위는 지난 유럽연합(EU)과의 경험과 국내 산업계, 연구계 등 현장 의견 수렴 결과 등을 바탕으로 차기 동등성 인정국을 검토해 왔다. 올해 8월과 9월 2차례에 걸친 국외이전 전문위원회 검토를 거쳐 경제‧디지털 분야 협력 관계, 개인정보 보호 법제의 유사성, 상대국의 협력 의지 및 상호주의 취지 등을 종합적으로 고려해 영국으로 결정했다. 개인정보위는 앞으로 영국의 개인정보 보호 법제, 감독‧집행 체계, 정보 주체의 권리보장 및 피해구제 절차 등을 종합적으로 검토, 우리나라와 실질적으로 동등한 수준의 보호가 이뤄지는지를 면밀히 평가할 계획이다. 한-유럽연합(EU) 상호 동등성 인정 결정으로 중장기적인 무역 규모가 최대 329억 달러(약 47조 원) 확대되는 등 경제적 효과가 예측된 바 있다. 향후 영국과의 상호 동등성 인정 결정이 완료되면, 양국 간 교역 및 국제 공동 연구 확대 등 데이터 경제 활성화를 위한 '안전한 지지대' 역할을 할 것으로 기대된다. 송경희 개인정보위 위원장은 “유럽연합(EU)과의 상호 개인정보 이전체계를 안정적으로 구축·유지한 데 이어 영국에 대해서도 개인정보 보호 수준을 면밀히 검토해 원활한 데이터 이전 체계를 마련할 계획”이라며 “이를 통해 국민의 개인정보를 안전하게 보호하면서도 기업, 공공‧연구기관 등이 안심하고 데이터를 활용할 수 있는 신뢰 기반의 글로벌 데이터 협력이 확대될 것으로 기대한다”고 밝혔다.

2026.10.04 14:18방은주 기자

정부, AI 협력체계 재가동…이해민 AI수석 "부처 간 쟁점 챙길 것"

정부가 약 9개월 만에 범정부 인공지능(AI) 정책 협의체를 재가동하고 국가 AI 전략 실행을 위한 부처 간 조율에 나섰다. 이날 이해민 AI미래기획수석비서관이 취임 후 첫 협의회를 주재해 참여 기관을 확대 계획을 발표했다. 국가AI전략위원회는 2일 오후 4시 서울스퀘어에서 제5차 인공지능책임관(CAIO) 협의회를 주재했다고 밝혔다. 이해민 AI수석을 비롯한 42개 중앙행정기관 CAIO, 분과위원회·특별위원회·전담조직 위원장 13명 등이 대리 참석자를 포함해 참여했다. CAIO 협의회가 열린 것은 올해 1월 이후 약 9개월 만이다. 이 수석은 협의회가 부처별 보고를 듣는 데 그치지 않고 부처 간 쟁점을 조정하고 결정하는 역할을 하도록 직접 챙기겠다는 방침을 밝혔다. 참석 범위는 기존 28개 장관급 기관에서 42개 중앙행정기관으로 확대됐다. 인사혁신처·법제처·국가데이터처 등 14개 차관급 기관이 새로 참여했다. 앞으로 협의회를 정례적으로 열고 각 부처가 제안하는 협업 과제도 다룰 계획이다. 이날 회의에는 AI 입법 방향과 '모두의 AI' 서비스 출시 준비 상황을 비롯해 범정부 데이터 공유와 공공부문 개인정보 보호 등 네 가지 안건이 상정됐다. 올해 1~2분기 대한민국 인공지능행동계획 이행점검 결과는 서면으로 보고됐다. AI전략위는 AI기본법 시행 이후 늘어난 입법 수요에 대응하기 위해 '대한민국 AI 입법 프레임워크(안)'을 보고했다. AI기본법 중심 입법과 국방·안보 분야 입법 공백 해소를 비롯해 사업자 예측 가능성 제고와 역기능 발생 시 즉시 대응을 네 가지 기본 방향으로 제시했다. 이를 토대로 AI 발전과 산업 융합 촉진·안전 및 신뢰 확보·오남용 방지 등 분야별 입법 원칙을 담았다. 이날 과학기술정보통신부는 오는 12월 전 국민 대상 정식 출시를 앞둔 '모두의 AI' 서비스 준비 상황을 공유했다. 공공 AI 에이전트 탑재를 위해 기존에 개방한 공공 응용프로그램 인터페이스(API) 연계와 미개방 API·데이터의 추가 개방을 요청했다. AI 에이전트의 개인정보 처리·활용 기준 마련과 서비스 보안·안전성 검증에도 관계기관의 협조를 구했다. 행정안전부는 지난달 18일 개통한 범정부 데이터 파이프라인과 관련해 부처별로 활용 가치 높은 데이터를 등록하고 공유해 달라고 요청했다. 여러 데이터를 결합해 활용할 수 있는 수요 발굴도 협조 과제로 제시했다. 개인정보보호위원회는 최근 잇따른 공공·민간의 대형 해킹과 정보 유출 사고에 대응하기 위한 관리체계 강화 방안을 논의했다. 부처별 개인정보 보호·보안 종합 관리체계 구축과 개인정보보호책임자(CPO) 역할 강화가 주요 내용이다. 위험 수준을 고려한 정보자산 식별과 취급자 관리 강화 등 대책 마련과 이행도 요청했다. 이 수석은 "CAIO협의회는 부처와 부처 간 이음매를 잇는 자리"라며 "협의회가 보고를 듣는 데 그치지 않고 부처 간 쟁점을 조정하고 결정하는 협의체가 될 수 있도록 의장으로서 직접 챙기겠다"고 밝혔다.

2026.10.02 16:00김미정 기자

위장취업 조직원 배민 고객정보 악용…개보위 "법 위반 보기 어려워"

배달의민족 운영사 우아한형제들이 고객센터 외주 협력사 상담사의 개인정보 무단 조회·유출 사건과 관련해 개인정보보호위원회로부터 개인정보보호법 위반으로 보기 어렵다는 판단을 받았다. 1일 관련업계에 따르면 개인정보위는 개인정보 무단 조회와 유출 정황은 인정하면서도 우아한형제들이 개인정보보호법상 안전조치 의무 등을 위반했다고 보기는 어렵다고 판단했다. 이에 지난 9월 9일 전체회의에서 우아한형제들에 '개선 권고'를 의결했다. 해당 사건은 사적 보복 대행 조직이 조직원을 배민 고객센터 외주 협력사에 상담사로 위장 취업시킨 뒤 이름과 주소 등 고객정보를 무단 조회·유출한 사건이다. 조직은 확보한 정보를 이용해 피해자 주거지 현관에 오물을 묻히고 래커로 욕설을 쓰는 등의 범행을 저질렀다. 개인정보위는 다만 우아한형제들이 안전조치 의무 등 개인정보보호법을 위반했다고 보기는 어렵다고 판단했다. 이에 지난 9월 9일 전체회의에서 우아한형제들에 대해 '개선 권고'를 의결했다. 개선 권고는 시정권고·시정명령이나 과징금 부과보다 낮은 수준의 조치다. 우아한형제들은 사건을 인지한 직후 개인정보 악용 사실을 개인정보위에 신고하고 경찰 수사에도 협조했다고 설명했다. 문제가 발생한 외주업체에 대해서는 전수 감사를 진행한 뒤 계약을 해지했다. 이후 전체 수탁사를 대상으로 보안 점검도 강화했다. 기존 31개였던 점검 체크리스트를 53개 항목으로 늘리고 사고 모의훈련과 재발방지 대책, 데이터손실방지(DLP)·네트워크접근제어(NAC) 적용 현황, 디스크 폐기 이력 등을 점검 항목에 추가했다. 상담사의 개인정보 조회 방식도 변경했다. 개인정보 조회가 가능한 기간을 줄이고 상담 중 주문내역을 확인할 때는 전화번호가 아닌 주문번호로만 조회할 수 있도록 했다. 기존 다운로드·외부 전송 차단에 더해 상담 화면에는 워터마크를 적용했다. 고객센터 업무 계약 시 작성하는 정보보호 합의서 내용을 보완하고 신규 상담센터 개설 시 개인정보 보호 사항을 사전에 점검하는 절차도 강화했다. 수탁사별 월간 보안점검 보고 체계도 마련했다. 이와 함께 모의 침투 테스트와 개인정보 모니터링, 보안관제를 추가로 도입했다. 우아한형제들 관계자는 “이용자의 소중한 개인정보를 보호하기 위한 조치를 꾸준히 강화해 나가겠다”고 말했다.

2026.10.01 16:41류승현 기자

통신 3사 CEO, 보안사고 예방 직접 챙긴다…"국민 신뢰 쌓을것 "

통신 3사가 '개인정보 보호'를 최고경영자(CEO)와 이사회가 직접 챙기는 핵심 경영 과제로 끌어올린다. 개인정보 유출 사고 이후 대응하는 방식에서 벗어나 서비스 기획 단계부터 위험을 차단하는 사전 예방 체계를 강화하고, AI 서비스에도 개인정보 보호 중심 설계(PBD)를 내재화한다. 개인정보보호위원회는 28일 서울 중구 한국프레스센터에서 송경희 개인정보위원장과 정재헌 SK텔레콤 대표·박윤영 KT 대표·홍범식 LG유플러스 대표가 참석한 가운데 간담회를 열고 '국민이 신뢰하는 AI·디지털 사회를 위한 공동선언문'을 발표했다. 간담회는 송 위원장 취임 이후 기업 CEO들과 가진 첫 공식 소통 자리다. 최근 통신 분야에서 개인정보 유출 사고가 잇따른 가운데 개인정보 보호 책임을 담당 부서에 국한하지 않고 CEO와 이사회 중심으로 높이고, AI 시대 데이터 활용과 보호를 위한 민관 협력 방안을 논의하는 데 초점이 맞춰졌다. 송 위원장은 “통신 분야 개인정보 보호는 데이터를 지키는 것을 넘어 국민의 일상과 디지털 사회의 신뢰를 지키는 일”이라며 “사고 이후 신속한 대응도 중요하지만 사고가 나기 전에 미리 위험을 들여다보고 선제적으로 대응하는 예방 중심의 개인정보 보호 체계로 전환해야 한다”고 말했다. 이어 “이제 개인정보 보호는 담당 부서만의 문제가 아니라 CEO가 직접 챙기고 전사가 함께 책임지는 경영의 핵심 과제가 돼야 한다”면서 “공동선언이 선언으로 그치지 않고 현장의 투자와 실천으로 이어질 때 국민 신뢰가 쌓일 것”이라고 강조했다. 통신 3사는 공동선언을 통해 개인정보 보호를 기업의 최우선 경영 가치로 삼고 CEO와 이사회가 개인정보 보호 현황을 상시 관리·점검하는 책임 거버넌스를 확립하기로 했다. 개인정보 보호 투자와 전문인력을 확대하고 서비스 기획·개발·운영 전 과정에 PBD를 적용하는 한편 개인정보 보호 강화 기술(PET) 연구개발에도 힘을 싣는다. SKT, 5년간 7000억원 투자…“개인정보 보호는 AI 신뢰 인프라” 정재헌 SK텔레콤 대표는 사고 발생 이후 대응보다 위험을 사전에 차단하는 데 개인정보 보호의 중심을 둬야 한다고 강조했다. 정 대표는 “개인정보 사고는 발생한 이후 아무리 잘 대응하더라도 잃어버린 신뢰를 완전히 회복하기 어렵다”며 “가장 좋은 개인정보 보호는 위험을 미리 확인하고 선제적으로 차단하는 것”이라고 말했다. 이를 위해 SK텔레콤은 향후 5년간 7000억원 규모의 정보보호 투자를 추진한다. 정 대표는 “'프라이버시 퍼스트'를 전 임직원의 업무 원칙으로 삼고 서비스 기획부터 개발, 운영에 이르기까지 개인정보 보호가 업무의 출발점이 되도록 문화를 바꾸고 있다”고 설명했다. AI 서비스에도 별도의 사전 관리 체계를 적용하고 있다. AI 기획부터 개발·출시·운영까지 전 과정에서 개인정보와 AI 위험을 사전에 확인하고 관리하는 AI 거버넌스를 운영하는 방식이다. 정 대표는 “AI가 발전할수록 활용되는 데이터는 많아지고 이에 따른 기업의 책임도 함께 높아질 것”이라며 “개인정보 보호는 AI 혁신을 가로막는 장벽이 아니라 AI 산업이 더욱 크게 성장할 수 있도록 뒷받침하는 신뢰의 인프라”라고 강조했다. 이어 “정부는 기술 발전에 맞는 명확하고 예측 가능한 원칙을 만들어 주고 기업은 이를 기술과 서비스 안에서 실질적으로 구현하면서 함께 새로운 기준을 마련해야 한다”고 말했다. KT, 5년간 2조 2000억원…“IT 인프라 현대화” KT는 개인정보 보호와 보안 체계를 근본적으로 손보기 위해 향후 5년간 2조 2000억원을 투입한다. 보안 투자뿐 아니라 보안의 기반이 되는 IT 인프라 현대화까지 투자 범위에 포함했다. 박윤영 KT 대표는 “개인정보 보호를 경영의 최우선 원칙으로 삼고 5년간 2조 2000억원을 투자해 보안은 물론 보안의 근간이 되는 IT 현대화까지 근본적인 체계를 바로잡고 있다”고 말했다. KT는 전문성과 독립성을 갖춘 개인정보보호책임자(CPO) 체계를 확립하고 대표이사와 이사회가 주요 위험과 투자 계획을 직접 점검하는 책임 거버넌스를 운영한다. 향후 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 범위도 네트워크와 미디어 인프라까지 확대한다. 박 대표는 “서비스 기획부터 개발·운영까지 전주기에 개인정보 보호를 반영해 사후 대응이 아닌 사전 예방 중심 체제로의 전환을 가속화할 것”이라며 “외부 전문가로 구성된 개인정보보호자문위원회와 함께 이행 수준을 지속적으로 살피고 고도화하겠다”고 밝혔다. 지난해 발생한 개인정보 유출 사고에 대해서는 직접 사과했다. 박 대표는 “지난해 발생한 유출 사고로 국민과 정부에 심려를 끼쳐 KT 대표이사로서 다시 한번 사과드린다”며 “같은 사고가 되풀이되지 않도록 재발 방지에 모든 역량을 다하겠다”고 약속했다. LGU+, 5년 최소 7000억원…“AI 혁신과 보호 함께 가야” LG유플러스는 서비스 전 과정에 개인정보 보호 중심 설계(PBD)를 적용하고 CEO와 경영진, CPO가 개인정보 보호 체계를 지속적으로 점검하기로 했다. 최소 5년간 7000억원 투자 기조를 이어간다는 방침이다. 홍범식 LG유플러스 대표는 “AI와 디지털 전환이 가속화될수록 개인정보 보호는 기술적 과제를 넘어 기업의 책임 경영 영역이 된다”며 “CEO와 모든 경영진, CPO가 지속적으로 점검하고 사전 보호 체계를 강화해 나가겠다”고 말했다. 이어 “사고 발생 이후 대응에 머무르지 않고 사전 예방 중심의 보호 체계를 구축하기 위해 적극적인 투자와 전문 역량을 확보하겠다”며 “서비스 전 과정에 개인정보 보호 중심 설계, 이른바 '프라이버시 바이 디자인'을 내재화하겠다”고 밝혔다. AI 분야에서는 이용자에 대한 투명성과 책임성을 높이는 데 방점을 찍었다. 홍 대표는 “AI 시대에는 혁신과 보호가 함께 가야 한다”며 “책임과 신뢰를 바탕으로 투명성과 책임성을 높이고 이용자 권리 보장에 힘쓸 것”이라고 말했다. 이어 “안전한 AI 생태계를 위해 민관 협력을 확대하고 산업 현장의 경험과 우수 사례를 공유해 기준과 제도 발전에도 지속적으로 협력하겠다”고 덧붙였다. 개인정보위와 통신 3사는 이날 통신 유통망의 개인정보 관리 강화와 개인정보 보호 전문인력 양성, PET 개발, AI 관련 제도 개선 방안도 논의했다. 개인정보위는 통신사-대리점-판매점으로 이어지는 유통 구조에서 개인정보 관리가 취약해질 수 있다며 통신사가 유통망 전반에 대한 관리·감독을 강화해달라고 요청했다. 통신 3사는 PET 기술 개발과 계약학과 등을 통한 개인정보 보호·사이버보안 전문인력 양성에도 정부와 협력하기로 했다. 통신업계에서는 2027년 3월 시행되는 개인정보 보호법상 AI 특례의 효과적인 운영을 위한 사전 협의 체계와 공개정보·가명정보·정당한 이익 등 기존 개인정보 처리 근거의 명확화도 요청했다. 개인정보위는 관련 제도 개선과 함께 가칭 '에이전틱 AI 개인정보 처리 안내서'를 연내 마련할 예정이다. 송 위원장은 “오늘 통신 3사 대표의 공동선언이 현장에서 실질적인 변화와 개선으로 이어지길 바란다”며 “통신 분야의 보호 수준을 한 단계 더 높이고 국민 신뢰를 회복하는 계기가 될 수 있도록 책임감 있게 이행해 달라”고 말했다.

2026.09.28 16:17박수형 기자

KARI·KIAST "항공 기술-안전 분야 협력 체계화"

한국항공우주연구원(KARI)은 항공안전기술원(KIAST)과 전남 고흥 국가종합비행성능시험장의 공동운영에 관한 양해각서(MOU)를 체결했다고 23일 밝혔다. 국가종합비행성능시험장은 민간 분야 국내 최장인 1,200m 활주로를 보유했다. 국내 유일 민간항공기 비행시험장이다. 항우연은 그동안 활주로와 시험동 등 주요 인프라를 구축, 운영하며 유·무인 항공기 비행시험과 항공부품 성능검증을 수행해 왔다. 또 항공안전기술원은 비행 인정시험 등을 중심으로 양기관 협력을 해왔다. 양 기관은 MOU에 따라 ▲비행시험장 시설의 공동 운영 및 유지관리 ▲안전·보안 및 비상상황 대응체계 구축 ▲관계기관 점검 공동 대응 ▲공동운영위원회를 통한 업무 협의·조정 등에 관한 기관별 역할과 협력 절차 등을 운영위원회 등을 통해 조율, 명확히 해나갈 계획이다. 항우연 국가종합비행성능시험센터 관계자는 "지난 2023년 비행장이 새로 개장하며, 각자 업무영역에서 협력을 해왔으나 최근들어 드론과 대드론 등 업무 영역이 확대되면서 협력 부문을 명확히하고, 체계화할 필요성이 대두돼 MOU를 체결하게 됐다"고 설명했다.

2026.09.23 17:58박희범 기자

아일랜드 DPC, GDPR 위반한 구글에 6000억원 과징금 부과

아일랜드 데이터보호위원회(DPC)가 자체 조사한 결과 구글 아일랜드 법인이 이용자 위치정보를 처리하는 과정에서 일반개인정보보호법(GDPR)을 위반한 사실을 발견했다. DPC는 구글의 유럽연합 GDPR 위반을 확인하고 4억 300만 유로(약 6000억원)의 과징금을 부과했다고 21일(현지시간) 밝혔다. DPC는 2018년 5월 25일부터 2020년 2월 4일까지 구글의 '웹 및 앱 활동', '위치 기록', '위치 정확도' 기능을 조사했다. 이번 조사는 유럽 소비자단체들의 민원으로 2020년 2월 시작됐다. 조사 결과 구글은 위치정보를 수집·활용하는 방식과 목적을 이용자에게 충분히 알리지 않은 것으로 나타났다. 일부 위치정보를 필요한 기간보다 오래 보관했으며 관련 처리가 GDPR에 부합한다는 점도 충분히 입증하지 못했다. DPC는 구글에 6개월 안에 위치정보 처리 방식을 개선하라고 명령했다. 전체 결정문은 추후 공개될 예정이다. 이번 조사 대상인 웹 및 앱 활동은 검색·방문 기록과 위치정보를 저장하는 기능이다. 위치 기록은 이용자의 이동 경로와 방문 장소를 기록하며 위치 정확도는 GPS 등을 활용해 기기의 위치를 더 정확하게 파악하는 기능이다. DPC는 위치정보가 단순한 현재 위치를 넘어 개인의 이동 경로, 자주 방문하는 장소, 관심사와 생활 패턴까지 드러낼 수 있는 민감한 정보라고 지적했다. 이런 개인 정보가 이용자에게 충분히 안내되지 않은 상태에서 광고 제공이나 관심사 분석 등에 활용되거나 필요한 기간보다 오래 보관되면 개인정보가 어떻게 쓰이는지 통제하기 어려워질 수 있다는 설명이다. DPC는 구글이 위치정보의 수집·활용 목적과 보관 방식 등을 이용자에게 충분히 알리지 않아 개인정보 보호와 통제권을 약화시켰다고 판단했다. 그레이엄 도일 DPC 부위원장은 "구글의 관리 미흡으로 이용자들은 자신의 위치정보가 광고 제공이나 관심사 추정 등에 활용되고 있다는 사실을 충분히 인지하지 못했을 수 있으며, 개인정보에 대한 통제권을 잃을 수 있었다"며 "필요한 기간보다 오래 위치정보를 보관한 것은 이러한 통제권 상실을 더욱 악화시켰다"고 지적했다.

2026.09.22 09:52남혁우 기자

[인사] 개인정보보호위원회

◆위촉 ▲개인정보보호위원회 위원 권건보, 김광수, 윤영미

2026.09.21 20:38방은주 기자

개인정보위, GS리테일에 과징금 128억원... "166만명 개인정보 유출"

사전에 수집한 계정 정보를 무차별 대입해 접속을 시도하는 '크리덴셜 스터핑' 공격으로 총 166만명의 개인정보가 유출된 GS리테일에 128억원 규모의 과징금이 부과됐다. 개인정보보호위원회는 GS리테일 및 3개 사업자에 대해 총 129억 5444만원의 과징금 및 1020만원의 과태료를 부과한다고 31일 밝혔다. 이와 함께 재발 방지 대책 마련 등 시정명령 및 해당 사업자 홈페이지에 결과를 공표할 것을 의결했다. 조사 결과 신원 미상 해커는 GS리테일이 운영하는 GS샵 홈페이지에 대해 지난 2024년 6월 21일부터 2025년 2월 13일까지, GS25 홈페이지에 대해 2024년 12월 26일부터 2025년 1월 4일까지 각각 크리덴셜 스터핑 공격을 시도해 로그인에 성공했다. 이후 회원정보 수정 페이지에서 GS샵 158만 1025명, GS25에서 7만 9128명의 이름, 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보를 유출했다. 크리덴셜 스터핑은 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 로그인을 시도하는 공격 방식으로 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보인다. 개인정보위는 GS리테일이 짧은 시간 동안 동일 IP주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고 로그인 시도 및 로그인 실패가 급격하게 증가하는 이상징후가 발생했음에도 이를 인지하지 못해 장기간 유출이 지속됐다고 판단했다. 또 GS리테일이 GS25 홈페이지에서의 유출을 지난해 1월 4일 최초로 인지했지만, 유출사고 대응에 소홀해 GS샵 홈페이지에서도 같은 공격이 발생하고 있던 사실을 지난해 2월이 돼서야 추가 인지한 것으로 조사됐다. 최초 유출 인지 이후에도 개인정보가 유출된 것이다. 아울러 사고 당시 개인정보 전담조직의 부재 및 이원화된 보안 운영 등 개인정보 보호 조직의 구성·운영이 미흡했고, 최초 유출통지 이후 조사 과정에서 유출 대상자 1599명이 추가 확인됐지만 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다. 이에 개인정보위는 GS리테일에 과징금 128억 3600만원과 과태료 300만원을 부과하고 사업자 홈페이지에 처분받은 사실을 공표하도록 명령했다. 개인정보위는 유사 사고 재발을 막기 위해 서비스 접속량·패턴을 분석해 비정상 접속을 식별할 수 있는 보안정책을 적용하는 등 재발방지 대책을 수립·시행하고 개인정보 보호 전담 인력 배치 및 CPO 권한과 책임 명확화 등 거버넌스 체계 전반을 점검·개선해야 한다고 제언했다. 이날 회의에서는 엔라이즈와 SK텔레콤, 에이토즈 등에 대한 과징금·과태료 부과도 의결됐다. 신원 미상의 해커는 엔라이즈가 운영하는 데이팅 앱 서비스의 본인인증 취약점을 이용해 지난 2023년 3월 23일부터 27일까지 1만 6803개의 휴대전화번호로 로그인을 시도해 736개 계정의 개인정보를 유출했다. 유출된 개인정보는 ▲닉네임 ▲성별 ▲프로필 사진 ▲생년월일 ▲성격 ▲학력 ▲직업 ▲키 ▲혈액형 등이다. 엔라이즈는 앱 내 존재하는 본인인증 취약점에 대한 점검·조치를 소홀히 하고 동일 IP에서의 과다 접속에 대한 차단 정책을 설정하지 않는 등 안정성 확보 조치 의무를 위반했다. 이에 개인정보위는 엔라이즈에 과징금 1억 1844만원, 과태료 360만원을 부과했다. SK텔레콤은 과태료 360만원과 시정명령을, 에이토즈는 경고 조치가 내려졌다. 에이토즈는 SK텔레콤으로부터 '이프랜드' 서비스의 이벤트 진행을 위탁받아 이벤트용 웹사이트를 제작·운영하는 과정에서 2022년 11월 21일부터 2023년 1월 3일까지 관리자 페이지가 검색엔진에 노출돼 1140명의 개인정보(이름, 휴대전화번호)가 유출됐다. 조사 결과 에이토즈는 관리자 페이지에 대한 IP주소 제한 등 접근통제 조치를 하지 않았다. SK텔레콤은 24시간을 경과해 개인정보 유출통지·신고한 사실이 확인됐다.

2026.08.31 11:00김민아 기자

환경보전원, 초등 환경보건 인정교과서 1만 부 무상 보급

한국환경보전원(원장 신진수)은 초등학교 3~4학년을 대상으로 환경보건교육을 활성화하기 위해 24일부터 9월 4일까지 환경보건 인정교과서 '환경과 건강' 1만 부의 무상 보급 신청을 받는다고 밝혔다. '환경과 건강'은 어린이가 일상에서 접하는 환경유해인자 노출 경로와 대응 방법을 배울 수 있도록 개발된 초등학교 3~4학년용 인정교과서다. 총 5개 대단원, 14차시의 탐구·토의·가정 연계 활동으로 구성돼 창의적 체험활동과 학교 자율시간 등에 활용할 수 있으며, 교사용 지도서와 수업용 교육자료(PPT)도 함께 제공한다. 전국 초등학교 3~4학년을 대상으로 학교 또는 학급 단위로 신청 받는다. 환경보건교육 온라인 학습터 '케미스토리' 누리집에 게시된 공고를 확인한 뒤 9월 4일 오후 6시까지 네이버폼으로 접수하면 된다. 보급 대상은 도서·벽지 지역 학교와 신규 참여 학교 등을 우선 고려해 선정한다. 결과는 9월 9일 오전 11시 케미스토리 누리집에 공지하고 선정자에게 개별 안내한다. 환경보전원은 기후에너지환경부와 함께 지난해부터 환경보건 인정교과서 보급사업을 운영하고 있다. 지난해 1만 5000부를 보급했다. 올해는 1학기 전국 200여 개 학교·기관에 지원한 약 1만부를 포함해 총 2만부를 보급할 계획이다. 연말에는 교과서 활용 우수사례 공모를 실시한다. 환경보건 전문가 심사를 거쳐 우수 운영 학교·학급 6개 팀을 선정해 시상하고, 우수사례는 학교 현장에 공유해 교과서 활용을 확산할 예정이다. 신진수 환경보전원장은 “이번 교과서 보급이 학생에게는 생활 속 환경유해인자에 대응하는 힘을 기르고, 교사에게는 환경보건교육을 효과적으로 운영하는 계기가 되길 바란다”며 “앞으로도 어린이가 건강한 생활습관을 형성할 수 있도록 학교 현장에 필요한 교육자료와 지원을 지속해서 확대하겠다”고 밝혔다.

2026.08.24 16:45주문정 기자

국내 대리인 신고 '앤트로픽'뿐…정부, 해외 AI 기업과 연내 회동

정부가 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(AI 기본법)'상 국내 대리인 지정 의무를 이행하지 않은 해외 AI 사업자들을 대상으로 신고 독려에 나선다. 실무 협의 채널은 이미 운영되고 있지만 국내 대리인 지정∙신고 등 제도의 공식 이행은 더 이상 미룰 수 없다는 판단에서다. 7일 업계에 따르면 과학기술정보통신부는 연내 주요 해외 AI 사업자들과 회합 자리를 마련할 예정이다. AI 기본법에 따른 국내 대리인 지정·신고 절차가 지연되는 이유를 듣고 제도 취지를 설명하는 한편, 대상 사업자들의 조속한 신고를 독려하기 위해서다. 올해 1월부터 시행된 AI 기본법 제36조는 일정 규모 이상의 해외 AI 사업자에게 국내 대리인 지정 의무를 부과한다. 전년도 총매출 1조원 이상이거나 AI 서비스 부문 매출 100억원 이상, 또는 국내 일평균 이용자 100만명 이상인 경우가 대상이다. 이들은 국내 대리인을 지정해 과기정통부에 신고해야 한다. 하지만 국내 대리인 지정과 신고를 모두 마친 사업자는 현재까지 앤트로픽이 유일하다. 구글은 과기정통부에 신청서를 제출한 뒤 보완 절차를 진행 중이며 오픈AI 등은 아직 신고를 완료하지 않은 상태다. 과기정통부 관계자는 "국내 법인 보유 여부보다 실제 서비스 운영 주체가 중요하다"며 "국내 법인이 있더라도 해외 본사가 서비스를 운영하는 경우에는 국내 대리인 지정 필요성이 있다"고 말했다. 이어 "국내 대리인 제도는 해외 본사와 정부를 연결하기 위한 취지"라고 부연했다. 업계에서는 해외 사업자들이 정부와 이미 AI 기본법 관련 협의 채널을 운영해 온 점이 신고 지연에 영향을 미친 것으로 보고 있다. 주요 기업들이 법 시행 이전부터 정부와 AI 기본법 관련 논의를 이어왔고 법제도 개선 논의에도 참여한 만큼 국내 대리인 지정을 시급한 과제로 인식하지 않았다는 분석이다. 다만 과기정통부는 실무 협의와 별개로 공식 지정 절차는 조속히 마무리돼야 한다는 입장이다. 국내 대리인 지정은 규제 당국과 이용자가 국내 연락망을 공식적으로 확인할 수 있는 최소한의 장치라는 점에서 의미가 있어서다. 제도 운영기준도 구체화한다. 한국지능정보사회진흥원(NIA)은 최근 '인공지능 분야 국내 대리인 제도 운영 방안 마련' 연구용역을 발주했다. 국내외 입법례를 비교·분석해 국내 대리인 지정 기준과 업무 범위, 처리 절차 등을 구체화하고 시행령·고시 정비 방향을 마련하는 것이 핵심이다. 개인정보보호법·정보통신망법·전자상거래법 등 국내 유사 제도와 유럽연합(EU)·미국·중국 등 주요국 입법례를 비교해 시사점도 도출할 계획이다. 국회에서도 제도 보완 논의가 이어지고 있다. 조인철 더불어민주당 의원 등이 지난 5월 발의한 개정안에는 국내 대리인 변경 신고 의무화, 국내 법인 우선 지정, 담당자 지정 및 상시 연락체계 확보 등의 내용이 담겼다. 이에 따라 업계에서는 일부 해외 사업자들이 향후 제도 변경 가능성을 고려해 신고 시점을 조율하고 있다는 의견도 나온다. 2025년 10월 시행된 개정 개인정보보호법도 해외 사업자의 국내 대리인 제도를 강화했다. 보호법상 국내 대리인 제도는 AI 기본법과는 별개의 제도지만 해외 사업자의 국내 연락 창구를 확보한다는 점에서 유사한 구조를 갖고 있다. 개정 보호법 경우 국내 대리인 지정 대상인 해외 사업자는 6개월 이내에 해당 사업자가 설립한 국내 법인 등이 있으면 그 법인을 국내 대리인으로 지정해야 한다. 개인정보위가 보호법 개정 시행에 앞서 국내 법인이 있는 해외 사업자를 점검한 결과, 알리익스프레스와 테무, 에어비엔비, 비와이디(BYD), 오라클 등은 국내 법인을 국내 대리인으로 지정하고 있었다. 반면 구글, 메타, 마이크로소프트, 오픈AI, 로보락, 쉬인 등 16개 해외 사업자는 국내 법인을 두고도 법무법인 또는 별도 법인을 국내 대리인으로 지정해 해당 국내 법인으로 변경을 권고받았다. 과기정통부 관계자는 "이미 해외 사업자들과 실무적인 소통은 지속적으로 이뤄지고 있다"며 "국내 대리인 지정과 신고 절차도 가능한 한 조속히 마무리될 수 있도록 사업자들과 계속 협의해 나갈 예정"이라고 말했다.

2026.08.07 14:41이나연 기자

에이엘로봇, KOLAS 토크 분야 공인교정기관 인정 획득

로봇용 힘·토크센서 기업 에이엘로봇이 산업통상부 국가기술표준원 산하 한국인정기구(KOLAS)로부터 토크 분야 공인교정기관 인정(인정번호: KC26-458)을 획득했다고 7일 밝혔다. 유효기간은 올해 7월 29일부터 2030년 7월 28일까지다. KOLAS는 국제표준(KS Q ISO/IEC 17025:2017)에 맞춰 시험·교정기관의 품질경영시스템과 기술 역량을 평가하는 국가 공인 인정기구다. 에이엘로봇 관계자는 "이번 인정으로 토크측정기 분야에서 고정밀 토크 교정 서비스를 제공하는 기술력과 품질 체계를 입증했다"고 설명했다. KOLAS가 발급하는 공인교정성적서는 국제시험기관인정협력체(ILAC) 상호인정협정(MRA)에 따라 해외에서도 통용된다. 에이엘로봇 고객사는 국내외 시장에서 공신력 있는 교정성적서를 활용해 글로벌 인증에 대응할 수 있다. 강대희 에이엘로봇 대표는 "이번 인정으로 아이엘로봇의 정밀 토크 측정 기술과 품질관리 역량이 검증됐다"며 "국제 공신력을 갖춘 교정 서비스를 바탕으로 국내외 시장 경쟁력을 강화하겠다"고 말했다.

2026.08.07 09:31진운용 기자

KT 개인정보 유출 과징금 540억원…LGU+ 증거인멸 수사의뢰

개인정보보호위원회가 펨토셀 관리 부실로 개인정보 유출 사고를 일으킨 KT에 539억 7900만원의 과징금을 부과했다. 악성코드 감염 사고를 은폐하고 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 혐의로 KT를 고발하기로 했다. 아울러 LG유플러스는 개인정보 유출 의혹과 관련해 조사 착수 전 서버를 재설치 및 폐기 행위가 확인돼 경찰에 수사를 의뢰했다. 개인정보위는 29일 제15회 전체회의를 열어 개인정보보호법을 위반한 KT에 과징금 539억 7900만원과 시정명령, 처분사실 공표 명령을 의결했다. KT 조사 과정에서 거짓 자료를 제출하고 자료를 뒤늦게 제출하는 등 위원회 조사를 실질적으로 방해한 행위에 대해서는 고발하기로 결정했다. 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 추출한 뒤 자체 제작한 펨토셀에 이를 삽입해 KT 이동통신망에 접속했다. 이후 이용자의 스마트폰이 해커가 만든 펨토셀을 경유하도록 유도해 단말과 KT 내부망 간 송수신 정보를 가로챘다. 해커는 이를 통해 확보한 개인정보와 추가 정보를 결합해 휴대전화 소액결제를 시도했고, 결제 인증번호가 포함된 문자메시지와 자동응답시스템 인증을 탈취하는 방식으로 부정 결제를 진행했다. 이 과정에서 KT 이용자와 알뜰폰 가입자를 포함한 1만 6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출됐다. 실제로 368명이 약 2억 4000만원 규모의 무단 소액결제 피해를 입은 것으로 조사됐다. 개인정보위는 사고 원인을 KT의 부실한 펨토셀 관리 체계에서 찾았다. 펨토셀은 이동통신 음영지역의 통화 품질을 개선하기 위해 설치하는 소형 기지국으로, KT 설치기사가 직접 설치하는 KT 자산이다. 이용자는 설치 장소를 제공할 뿐이며, 망 접속 승인과 인증, 내부망 접속 허용, 보안 통제 등은 모두 KT가 관리한다. 하지만 KT는 펨토셀 인증서 유효기간을 10년으로 장기간 설정했고, 내부망에 접속하는 펨토셀의 접속 IP를 제한하지 않아 해외나 타사 인터넷망에서도 접속이 가능하도록 운영했다. 또 펨토셀 관리 서버를 우회할 수 있는 경로가 존재했고, 코어망 접속 시 부여되는 셀 아이디에 대한 관리와 이상 접속 탐지 체계도 갖추지 않았다. 그 결과 해커는 별도의 추가 인증 없이 약 11개월 동안 KT 내부망에 접속해 개인정보를 탈취했지만 KT는 이를 인지하지 못했다. 개인정보위는 다수의 이용자가 소액결제 피해를 신고한 이후에야 KT가 비정상 접속을 식별한 것으로 확인됐다고 설명했다. 개인정보위는 KT가 대규모 개인정보를 처리하는 이동통신사업자임에도 정보통신망에 대한 기본적인 접근 통제와 침해 방지 의무를 소홀히 해 개인정보 보호법상 안전조치 의무를 위반했다고 판단했다. 별도의 악성코드 감염 사건도 드러났다. 개인정보위는 펨토셀 사고를 조사하는 과정에서 2024년 3월 KT IT서비스 네트워크 내 서버 38대가 리눅스 백도어 악성코드인 'BPFDoor' 등에 감염된 사실을 확인하고 조사를 확대했다. 조사 결과 해커는 KT 로밍렌탈서비스 홈페이지 취약점을 이용해 내부망에 침투한 뒤 악성코드를 설치했고, 관리자 페이지에 대한 SQL 삽입 공격을 통해 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보 등을 조회·유출한 정황도 확인됐다. 다만 사고 발생 당시의 로그가 상당수 남아 있지 않아 이용자 개인정보의 추가 유출 여부는 확인하지 못했다. 개인정보위는 KT가 2024년 악성코드 감염 사실을 인지했음에도 정부에 침해 사실을 신고하지 않았고, 자체 조치만 진행했다고 밝혔다. 또 2025년 다른 통신사의 개인정보 유출 사고 이후 자체 점검 과정에서 일부 감염 서버의 로그를 삭제하는 등 침해 사실을 은폐한 정황도 확인됐다고 설명했다. 조사 착수 전 로그 삭제 정황이 드러나자 별도로 보관 중이던 로그를 뒤늦게 제출한 것으로 조사됐다. 개인정보위는 이를 조사 방해 행위로 판단해 고발하기로 했다. 개인정보위는 LG유플러스에 대해서도 강경 대응에 나섰다. 지난해 8월 미국 보안 전문지 '프랙'을 통해 LG유플러스 개인정보 유출 의혹을 인지하고 조사에 착수했다. 조사 결과 유출된 임직원과 협력사 직원의 이름과 계정 정보는 LG유플러스의 통합 비밀번호 관리 시스템(APPM)에 저장된 실제 정보로 확인됐다. 그러나 LG유플러스는 개인정보위 조사 착수 전에 APPM 서버 등의 운영체제를 재설치하거나 관련 서버를 폐기한 것으로 나타났다. 개인정보위는 이로 인해 정확한 침해 경위와 추가 유출 여부를 확인하기 어려워졌다고 보고, 공무집행방해 혐의가 있다고 판단해 수사기관에 수사를 의뢰하기로 했다. 개인정보위는 이번 사건을 계기로 증거 은닉이나 서버 폐기를 통한 조사 회피를 막기 위한 제도 개선도 추진한다. 조사 착수 전 증거 은닉·폐기 행위에 대한 형사처벌 규정을 신설하고, 증거를 은닉하거나 폐기한 사업자에게는 전체 매출액의 3%까지 과징금을 부과하는 방안을 추진할 계획이다. 조사 비협조나 시정명령 불이행 시 이행강제금을 부과하고, 침해사고 발생 시 자료보전명령을 내릴 수 있도록 법 개정도 추진한다. 송경희 개인정보위 위원장은 “이번 처분이 통신업계 전반의 보안 역량을 강화하는 계기가 돼야 한다”며 “사고 발생 시 자료를 은폐하거나 축소하는 것이 아니라 투명하게 공개하는 것이 기업에 가장 합리적인 선택이라는 인식이 업계 전반에 자리 잡도록 제도를 지속적으로 개선하겠다”고 말했다.

2026.07.30 10:37김기찬 기자

[법과 상식 사이] 왜 요즘 보안사고가 끊이지 않을까

요즘은 한 기업의 보안사고가 채 잊히기도 전에 또 다른 사고가 이어진다. 개인정보가 유출되고, 서비스가 멈추며, 내부 자료가 외부로 빠져나간다. 기업들도 보안 조직을 만들고 시스템을 점검하며 적지 않은 비용을 쓴다. 그런데도 사고는 좀처럼 줄지 않는다. 왜일까. 공격은 더 빠르고 정교해졌다 먼저 공격자의 의도와 방법이 달라졌다. 과거의 해킹이 일부 개인의 호기심이나 실력 과시에서 시작됐다면 지금은 금전을 목적으로 움직이는 범죄조직과 국가의 지원을 받는 공격집단까지 기업을 노린다. 해킹이 수익성 높은 범죄가 되면서 공격은 개인의 일회적 행위에서 벗어나 역할과 기술을 나눈 조직적 산업으로 변했다. 생성형 AI는 공격의 속도와 정교함을 더욱 높이고 있다. 자연스러운 피싱 메일을 만들거나 특정인의 말투를 흉내 내는 데 그치지 않고, 소프트웨어의 취약점을 찾아 공격 가능성을 검증하는 데까지 활용될 수 있다. 앤트로픽이 발표한 '클로드 미토스 프리뷰'는 과거 숙련된 전문가가 많은 시간과 노력을 들여야 했던 취약점 발견과 검증 작업을 AI가 빠르게 수행할 수 있음을 보여주었다. 공격에 필요한 시간과 전문성의 문턱이 낮아지고 있는 것이다. 공격할 곳이 더 많아졌다 기업의 업무 구조도 달라졌다. 과거에는 회사 내부의 전산망과 업무용 컴퓨터를 주로 보호하면 됐지만, 지금은 클라우드와 외부 프로그램을 이용하고 여러 협력업체와 업무를 나눈다. 임직원이 회사 밖에서 시스템에 접속하고, 판매자와 물류업체, 결제업체가 하나의 서비스 안에서 정보를 주고받는 일도 일상화됐다. 2021년 국내 한 연구기관에서는 외부 접속에 사용하던 가상사설망(VPN)의 취약점을 통해 신원불명의 외부인이 내부 서버에 접속한 사실이 확인됐다. 업무 편의를 위해 만든 외부 접속 통로가 공격자의 침입 경로가 된 것이다. 이처럼 기업 밖으로 연결되는 시스템과 계정이 늘어나면서 공격자가 노릴 수 있는 지점도 많아졌다. 기업 내부의 보안이 비교적 철저하더라도 협력업체의 계정이 탈취되거나 외부 프로그램에 취약점이 생기면 사고로 이어질 수 있다. 공격자는 기업의 모든 보안을 뚫을 필요가 없다. 수많은 연결 지점 가운데 가장 약한 한 곳만 찾으면 된다. 보안 관리는 변화의 속도를 따라가지 못했다 공격은 빠르게 발전하고 공격할 지점은 늘어났지만 기업의 보안 관리는 그 변화를 충분히 따라가지 못했다. 사용하지 않는 계정이나 퇴직자의 접근 권한이 남아 있고 오래된 시스템의 교체나 협력업체 점검이 미뤄지기도 한다. 새로운 공격 기술이 주목받지만, 실제 사고는 오래 방치된 기본적인 빈틈에서 시작되는 경우가 많다. 지난해 국내 한 통신사에서는 수년 전 내부망에 침투한 악성 프로그램이 뒤늦게 발견되면서 대규모 개인정보 유출로 이어졌다. 침투 사실이 장기간 발견되지 않은 관리 공백이 피해를 키운 것이다. 이러한 문제를 보안 담당자의 역량 부족으로만 돌릴 수는 없다. 시스템을 교체하고 보안 인력을 늘리려면 비용과 시간이 필요한데 이를 결정하는 것은 결국 경영진이기 때문이다. 사업 확장의 성과는 곧바로 나타나지만, 보안 투자의 성과는 '아무 일도 일어나지 않은 것'이니 눈에 잘 띄지 않는다. 당장 문제가 없다는 이유로 보안이 뒤로 밀리기 쉬운 이유다. 법은 처벌뿐 아니라 예방도 묻기 시작했다 이러한 현실을 반영해 법도 보안을 기술 부서만의 업무가 아니라 경영진이 책임져야 할 기업 관리의 문제로 보기 시작했다. 오는 9월 시행을 앞둔 개정 개인정보보호법은 일정한 반복적·대규모 개인정보 침해에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 동시에 개인정보 보호를 위한 예산과 인력, 설비 등에 미리 투자한 경우에는 이를 과징금 감경 사유로 인정하도록 했다. 처벌을 강화하는 데 그치지 않고 기업이 사고 전에 투자하도록 유도하려는 것이다. 개정법은 사업주나 대표자를 개인정보 처리와 보호에 관한 최종 책임자로 명확히 하고 개인정보 보호책임자의 역할과 권한도 강화했다. 법이 묻는 것은 사고가 발생한 직접적인 원인만이 아니다. 필요한 인력과 예산을 배정했는지, 낡은 시스템을 방치하지 않았는지, 외부 업체의 위험을 평소에 제대로 관리했는지도 기업의 책임을 판단하는 기준이 된다. 왜 보안사고는 줄지 않을까. 공격은 더 정교해졌고 공격할 곳은 더 많아졌지만 보안 관리는 그 속도를 따라가지 못했기 때문이다. 보안사고는 IT 시스템에서 발생하지만, 그 위험을 사전에 줄일 것인지는 경영이 선택하고 책임져야 할 때다.

2026.07.29 16:20안정민 컬럼니스트

Prev 1 2 3 4 5 6 Next