2026.09.01 화요일
검색
'정보주체' 검색결과
기간검색
-
~
검색영역
검색어
-
스크래핑 차단에 비대면 금융 차질 우려…금융권 대응 논의 [경제일보] 금융당국과 금융권이 스크래핑 차단에 따른 비대면 금융거래 차질 가능성 점검에 나섰다. 12일 금융위원회에 따르면 이날 오전 서울 중구 은행회관에서 '스크래핑 차단 관련 금융권 점검회의'가 열렸다. 이번 회의는 개인정보보호법 시행령 개정과 대법원의 스크래핑 관련 계획 등이 금융권과 국민에게 미칠 영향을 점검하고 대응 방향을 논의하기 위해 마련됐다. 스크래핑은 인터넷 화면의 증명서 정보를 자동으로 추출해 활용하는 기술을 의미한다. 금융권은 현재 비대면 금융거래 과정에서 소비자의 행정서류 제출을 줄이기 위해 행정기관 정보 확인에 스크래핑을 활용하고 있다. 특히 △주택담보대출 △전세자금대출 △미성년 자녀 통장 개설 △상속인 조회 등에서는 가족관계 확인 등을 위한 증빙서류 제출을 정보주체 동의를 거쳐 대법원 시스템 스크래핑으로 대체하고 있다. 금융권에서는 행정기관과 대법원 정보 확인을 위한 스크래핑이 제한될 경우 비대면 업무 전반에 상당한 차질이 생길 수 있다고 보고 있다. 소비자가 관련 증명서를 직접 발급해 금융회사에 제출해야 하는 불편도 예상된다. 대면 창구가 활성화되지 않은 인터넷전문은행의 경우 업무 전반에서 어려움이 클 수 있다는 의견도 나왔다. 정책금융 이용 차질 가능성도 논의됐다. 주택도시보증공사(HUG)와 한국주택금융공사(HF)는 저금리 정책 주택금융 지원 과정에서 무주택자와 신혼부부 등 신청인 자격요건을 스크래핑 방식으로 확인하고 있다. 스크래핑이 차단되면 주택구입과 전세자금 지원이 지연돼 서민·취약계층의 정책금융 이용에 애로가 발생할 수 있다는 설명이다. 회의 참석자들은 개인정보의 안전한 보호와 전송을 위한 스크래핑 차단 취지에는 대부분 공감했다. 다만 비대면 금융거래가 일상화된 상황에서 국민 불편과 사회적 혼란을 줄이기 위해 대체 수단을 마련한 뒤 단계적으로 시행할 필요가 있다는 데 의견을 모았다. 대체 수단으로는 공공 마이데이터 연계 등이 거론됐다. 공공 마이데이터는 정보주체가 요청하면 행정정보를 보유한 행정기관이 공공기관이나 금융기관 등에 정보를 제공하는 서비스다. 금융회사들의 보안체계와 내부통제 현황도 함께 점검됐다. 참석 금융회사들은 스크래핑 업무 과정에서 적용 중인 △정보 수집 △전송 △보관 관련 보안조치와 접근통제, 정보보호 관리체계를 공유했다. 금융위는 스크래핑 제한으로 국민 불편과 피해가 발생하지 않고 금융서비스가 안정적으로 제공될 수 있도록 관계기관과 협의해 대응 방안을 마련할 계획이다.2026-08-12 13:52:46
-
계좌·전화번호·악성앱 정보 묶는다…보이스피싱 대응체계 본격 가동 [경제일보] 보이스피싱 의심 금융·통신·수사 정보를 관계기관이 함께 활용하는 정보공유 체계가 본격 가동된다. 금융사와 통신사, 수사기관이 보유한 의심정보를 한곳에 모아 계좌 정지와 범죄수사 등에 활용하는 방식이다. 4일 금융위원회에 따르면 개정 '전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법'이 이날부터 시행된다. 이번 개정 법령은 보이스피싱 정보공유·분석 인공지능(AI) 플랫폼인 'ASAP'의 법적 근거를 마련한 것이 핵심이다. ASAP은 AI 기반 보이스피싱 정보공유·분석 플랫폼이다. 금융당국은 지난해 10월부터 은행권 정보를 바탕으로 ASAP을 운영해 왔다. 다만 정보공유에 관한 명시적 법적 근거가 부족해 주요 참여기관이 금융기관으로 한정되는 등 통신·수사 정보를 충분히 활용하는 데 한계가 있었다. 개정 법령 시행으로 금융회사, 통신사, 수사기관 등 보이스피싱 의심정보 제공기관은 정보주체의 개별 동의 없이도 정보공유분석기관에 관련 정보를 제공할 수 있게 됐다. 정보공유 대상기관에는 금융사와 전기통신사업자, 수사기관을 비롯해 △금융감독원 △금융정보분석원(FIU) △전자금융업자 △가상자산거래소 △한국정보통신진흥협회 등이 포함된다. ASAP을 통해 공유되는 정보는 피해발생계좌·사기이용계좌·사기 관련 의심계좌의 계좌번호와 거래내역, 명의인 정보 등이다. 또한 보이스피싱에 사용된 것으로 의심되는 전화번호·이용자 정보와 악성 애플리케이션 등 개인정보 수집 프로그램 관련 정보, 각 금융회사의 피해의심거래 탐지정보도 공유된다. 기관들은 의심정보를 제공하는 데 그치지 않고 다른 기관이 제공한 정보와 정보공유분석기관의 분석정보를 받아 활용할 수 있다. 신속한 정보공유를 위해 금융실명법, 신용정보법 등 정보제공 제한 법률의 적용을 배제할 수 있는 근거도 마련됐다. 개인정보 오·남용 방지를 위해 정보 보관기간과 파기·삭제 방법 등 통제 장치도 하위규정에 반영됐다. 금융위는 이날 금융보안원을 정보공유분석기관으로 지정했다. 금융보안원은 그동안 ASAP 운영 경험과 금융분야 보안 전문성을 바탕으로 정보공유분석기관 역할을 맡는다. 금융위는 법령 시행 전 통신사, 수사기관 등 관련기관과 ASAP 간 시스템 연계 작업도 마쳤다. 이에 따라 이날 개정 법령 시행과 동시에 의심정보 공유가 시작된다. 금융위는 이번 법령 시행으로 제2금융권도 은행과 동일한 정보를 제공하고 통신·수사정보도 ASAP에 공유돼 보이스피싱 대응 역량이 강화될 것으로 보고 있다. 금융위 관계자는 "유관기관 간 유연하고 효율적인 정보공유를 통해 금융기관이 보유한 의심거래 정보뿐만 아니라 통신·수사정보 등을 결합해 계좌 정지 등 보다 적극적인 범죄 예방에 나서겠다"며 "ASAP 운영상황을 지속 모니터링하면서 AI 기술을 접목한 패턴분석 등 ASAP 고도화도 차질없이 추진해 나가겠다"고 말했다.2026-08-04 15:22:22
-
KT, 펨토셀 보안 구멍에 540억원 과징금…개인정보위 "예방 가능했던 사고" [경제일보] KT가 불법 소형기지국인 펨토셀 관리 부실로 1만6000여명의 개인정보를 유출하고 무단 소액결제 피해를 발생시킨 책임으로 약 540억원 규모의 과징금을 부과받았다. 개인정보보호위원회는 KT의 통신망 접근통제 체계가 미흡했다고 판단하고, 사고 조사 과정에서 로그 삭제와 거짓 자료 제출 등 조사 방해 행위에 대해서는 별도 고발을 결정했다. 30일 개인정보보호위원회는 지난 29일 제15회 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령, 개선권고, 공표명령 등을 의결했다고 밝혔다. 개인정보위는 이번 제재가 이동통신망 내부 접근통제 관리 소홀로 개인정보 유출이 발생하고, 실제 금전 피해까지 이어진 점이 중대하게 고려됐다고 설명했다. 개인정보위는 KT 이동통신서비스 이용자 1만6647명(알뜰폰 포함)의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐으며, 368명이 약 2억4000만원 규모의 무단 소액결제 피해를 입었다고 확인했다. 이번 사고는 해커가 KT의 펨토셀 인증서를 악용하면서 발생했다. 펨토셀은 가정이나 사무실, 지하 등 이동통신 신호가 약한 지역의 품질 개선을 위해 사용하는 초소형 기지국이다. 개인정보위 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 추출한 뒤 자체 제작한 불법 펨토셀에 이를 심어 KT 이동통신망에 접속했다. 이후 이용자 단말과 KT 내부망 사이에서 오가는 통신 정보를 가로채고, 추가 확보한 이름·성별·생년월일 등 개인정보와 결합해 소액결제를 시도했다. 특히 결제 과정에서 필요한 인증코드가 포함된 SMS와 ARS 정보를 탈취하면서 실제 무단 결제로 이어졌다. 개인정보위는 당초 KT가 신고한 유출 규모 2만2227명에서 법인 회선과 다중 회선 등 중복을 제외한 실제 정보주체 기준으로 피해 규모를 산정했다. 문제는 KT의 펨토셀 관리 체계였다. 개인정보위는 KT가 펨토셀 인증서 유효기간을 10년으로 설정하고, 내부망 접속 IP 제한을 두지 않아 타사 및 해외 IP를 통한 접속이 가능하도록 운영했다고 지적했다. 또한 펨토셀 관리 서버를 우회하는 접속 경로가 존재했고, 코어망 접속 시 부여되는 셀 아이디에 대한 관리도 미흡해 비인가 장비의 이상 접속을 탐지하거나 차단하는 체계가 부족했던 것으로 조사됐다. 해커는 이 같은 취약점을 이용해 지난 2024년 10월 8일부터 지난해 9월 5일까지 약 11개월간 KT 내부망에 접속했지만, KT는 소액결제 피해 민원이 발생한 이후에야 비정상 접속 사실을 확인했다. 개인정보위는 이번 사고가 단순한 개인정보 유출을 넘어 실제 재산 피해로 이어졌다는 점에서 심각성이 크다고 판단했다. 과징금 산정 과정에서는 무단 소액결제가 발생한 KT 5G·LTE 이동통신 매출을 기준으로 삼았다. IPTV와 인터넷 등 사고와 관련성이 낮은 사업 매출은 제외했다. 개인정보위는 KT가 국민 생활과 밀접한 이동통신 서비스를 제공하는 기간통신사업자로서 높은 수준의 보안 책임이 요구됨에도 내부망 접근통제를 소홀히 했고, 장기간 비인가 접속을 탐지하지 못한 점을 중대한 위반으로 봤다고 설명했다. KT는 이번 사고가 해커가 직접 제작한 불법 펨토셀을 이용한 새로운 유형의 공격으로 사전 예측과 대응이 어려웠다고 주장했지만, 개인정보위는 펨토셀이 이동통신 서비스 제공 과정에서 반드시 관리해야 하는 핵심 장비인 만큼 충분한 보안 조치를 통해 예방 가능했던 사고라고 판단했다. 개인정보위는 KT에 펨토셀 등 무선통신망 장비 취약점 점검과 내부망 접근통제 강화, 개인정보 보호책임자(CPO)의 역할 강화를 포함한 시정조치를 명령했다. 또한 개인정보보호 관리체계 인증(ISMS-P) 범위를 이동통신 네트워크 시스템까지 확대할 것을 권고했다. KT는 펨토셀 사고 외에도 악성코드 감염 사고 대응 과정에서 문제를 지적받았다. 개인정보위는 KT가 지난 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통해 해커가 침투해 38대 서버가 BPFDoor 등 악성코드에 감염된 사실을 확인했다고 밝혔다. 해커는 관리자 페이지에 SQL 삽입 공격을 수행해 KT 임직원과 협력사 일부 직원의 이름, 전화번호, 계정 등을 조회·유출한 정황이 확인됐다. 다만 당시 네트워크 로그가 남아 있지 않아 이용자 개인정보의 추가 유출 여부는 확인되지 않았다. 개인정보위는 KT가 악성코드 감염 사실을 인지하고도 정부에 신고하지 않았고, 이후 서버 전수 점검 과정에서 침해 서버 10대의 로그를 삭제하는 등 조사 방해 행위를 했다고 판단했다. 이에 따라 개인정보위는 조사 과정에서 거짓 자료 제출과 진술 번복 등을 한 KT 행위에 대해 보호법상 조사 방해 혐의로 고발을 의결했다. 개인정보위는 이번 사건을 계기로 개인정보 유출 사고 조사 과정에서 증거 은닉·폐기를 막기 위한 제도 개선도 추진한다. 조사 착수 전 증거 폐기 행위에 대한 형사처벌 규정 마련과 전체 매출액 3% 이내 과징금 부과, 자료보전명령 도입 등을 추진할 계획이다. 송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다"며 "특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하여, 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 말했다.2026-07-30 10:46:02
-
![[보험업계 스냅샷] 한화생명, 경도인지장애·초로기 치매 솔루션 공모 外](https://image.ajunews.com//content/image/2026/07/21/20260721165937860400.jpg)
한화생명, 경도인지장애·초로기 치매 솔루션 공모 外 [경제일보] 한화생명, 경도인지장애·초로기 치매 솔루션 공모 한화생명이 지난 20일 서울 영등포구 63빌딩에서 경도인지장애와 초로기 치매 환자·가족을 위한 솔루션 발굴 공모전 '한화생명 WE CARE MEMORY+' 업무협약식을 개최했다고 21일 밝혔다. 이번 사업은 정상 노화와 치매 사이 단계인 경도인지장애와 65세 미만에 발병하는 초로기 치매 환자 및 가족의 일상 돌봄을 지원하고 중증화를 예방하기 위해 마련됐다. 공모 분야는 △디지털·인공지능(AI) △일·사회경험 △커뮤니티 △프로그램 △기타 등 5개 부문이다. 참가팀의 준비 단계에 따라 아이디어 트랙과 실행 트랙으로 나눠 진행한다. 아이디어 트랙에서는 10개 팀을 선정해 총 1500만원의 시상금을 지급한다. 상위 4개 팀에는 총 2000만원의 사업화 지원금을 추가로 제공한다. 실행 트랙에서는 5개 팀을 선정해 총 1억5000만원을 지원하고 제품이나 프로그램을 현장에서 실증할 기회를 제공한다. 서울광역치매센터는 심사 단계부터 참여해 솔루션의 현장 적합성을 점검하고 실제 치매 관리 현장에 적용될 수 있도록 지원한다. 사회연대은행은 사업 운영과 컨설팅 등을 맡는다. 지원 대상은 서울시 자치구 치매안심센터와 사회적경제조직, 비영리기관·단체, 대학생·대학원생 창업팀 등이다. 사업계획서는 다음 달 14일 오후 5시까지 전용 홈페이지를 통해 제출하면 된다. 한화생명 관계자는 "이번 공모전을 통해 치매 예방과 완화에 기여할 솔루션을 발굴하고 우리 사회가 치매에 대비할 수 있도록 기업의 사회적 책임을 다하겠다"고 말했다. 교보생명, 통합 앱에 건강검진 예약 서비스 도입 교보생명이 고객의 건강 관리를 지원하기 위해 통합 애플리케이션(앱)에 '건강검진 예약 서비스'를 도입했다고 21일 밝혔다. 이번 서비스는 건강검진 플랫폼 '착한의사'와 연계해 전국 180여개 건강검진센터의 검진 조건과 가격을 비교하고 예약할 수 있도록 한 서비스다. 채팅 상담과 건강검진 가이드, 질병 정보 검색 기능도 제공한다. 서비스 이용 대상은 교보생명의 보험과 대출, 퇴직연금 상품을 보유한 고객이다. 교보생명은 지난 2022년 9월 통합 앱을 출시해 보험과 퇴직연금, 대출, 신탁 관련 업무를 제공하고 있다. 이 외 △서재 △건강·마음 관리 △보장 분석 △숨은 자산 찾기 △영양제 추천 등 생활밀착형 서비스도 운영 중이다. 지난달 교보생명 통합 앱의 월간활성이용자 수(MAU)는 모바일인덱스 기준 71만명을 넘어섰다. 지난달 회원가입자 수도 320만명에 육박하며 통합 앱 출시 이후 최대치를 기록했다. 교보생명 관계자는 "고객이 아프기 전 건강을 관리할 수 있도록 돕는 것 역시 고객보장"이라며 "앞으로 차별화된 서비스를 확대하고 보험의 가입부터 유지, 지급 전 과정에서 고객과 함께할 것"이라고 말했다. KB손보, 가족관계증명서 제출 공공 마이데이터로 간소화 KB손해보험이 보험업계 최초로 행정안전부 공공 마이데이터를 활용한 가족관계증명서 제출 서비스를 도입했다고 21일 밝혔다. 공공 마이데이터는 공공·행정기관이 보유한 본인 정보를 정보주체의 요구에 따라 필요한 기관에 전자적으로 제공하는 서비스다. KB손해보험은 지난 15일부터 미성년 자녀 등 가족관계 확인이 필요한 보험금 청구 심사 업무에 해당 서비스를 적용했다. 이달 말까지 자동차보험 자녀할인 특약과 운전자 한정 특약 가입 업무에도 순차적으로 확대할 예정이다. 이에 따라 고객은 가족관계증명서를 별도로 발급하거나 제출하지 않고도 본인 동의와 간편인증만으로 관련 보험 업무를 처리할 수 있다. KB손해보험 관계자는 "업계 최초로 가족관계증명서 공공 마이데이터 서비스를 도입하면서 고객은 별도의 증명서를 발급하거나 제출하지 않고도 제공 요구와 간편인증만으로도 필요한 서류를 간편하게 제출할 수 있게 됐다"며 "앞으로도 공공 마이데이터 활용 범위를 지속적으로 확대하겠다"고 말했다.2026-07-21 17:07:11
-
개인정보위, 본인정보 전송 사전협의 31일까지 연장…서비스 중단 막는다 [경제일보] 개인정보보호위원회가 본인전송요구권 확대 시행을 앞두고 공공기관과 개인정보 전송 대리인 간 사전협의 신청 기간을 오는 31일까지 연장한다. 기존 스크래핑 방식으로 제공되던 서비스가 제도 전환 과정에서 갑자기 중단되는 일을 막기 위한 조치다. 개인정보위는 본인전송요구권 사전협의 지원 시범운영 신청을 20일부터 31일까지 추가로 받는다고 밝혔다. 본인전송요구권은 정보주체가 기업이나 공공기관이 보유한 자신의 개인정보를 본인에게 보내달라고 요구할 수 있는 권리다. 이용자가 직접 요구할 수 있고 애플리케이션 운영사 등 대리인에게 권리 행사를 위임할 수도 있다. 다만 대리인이 아이디와 비밀번호 등을 이용해 웹사이트 정보를 자동으로 가져오는 스크래핑 방식으로 개인정보 전송을 요청할 때는 사전에 정보전송자와 협의해야 한다. 전송 대상과 목적·범위·방식, 위임권 확인 절차, 보안조치와 사고 발생 시 책임 등을 미리 정하도록 한 것이다. 스크래핑은 별도 전송 시스템을 구축하지 않아도 정보를 가져올 수 있어 여러 데이터 서비스에서 활용돼 왔다. 하지만 대리인이 인증정보를 보관하거나 여러 개인정보를 한꺼번에 수집할 수 있어 정보 유출과 과도한 수집 위험이 있다는 지적도 받아왔다. 개인정보위는 제도 시행에 앞서 지난달 25일부터 이달 10일까지 사전협의 지원 시범운영을 진행했다. 이 기간 70여개 기업·기관이 약 150건의 협의를 신청했다. 이후에도 문의와 추가 신청이 이어지면서 접수 기간을 31일까지 늘리기로 했다. 연장 기간 안에 사전협의를 신청한 대리인과 정보전송자는 협의가 끝날 때까지 현재 사용 중인 전송 방식을 한시적으로 유지할 수 있다. 모든 스크래핑 서비스에 일괄적으로 유예기간을 주는 것은 아니며, 기간 내 협의를 신청한 경우에만 적용된다. 본인전송요구권 확대 제도는 8월 20일부터 주요 공공시스템 운영기관을 대상으로 우선 시행된다. 대규모 시스템을 운영하는 민간 기업·기관에는 내년 2월부터 단계적으로 적용될 예정이다. 개인정보위는 21일 주요 공공시스템 운영기관과 준비 현황을 점검하고 22일에는 기업·기관을 대상으로 설명회를 개최한다. 시범운영이 종료된 뒤에도 대리인과 정보전송자 간 자율적인 사전협의 체계는 계속 운영된다.2026-07-20 10:39:01
-
KT 개인정보 유출 제재 이달 말 윤곽…'2000억 과징금설' 따져보니 [경제일보] 불법 초소형 기지국인 펨토셀을 통해 가입자 정보가 유출되고 무단 소액결제 피해까지 발생한 KT에 대한 정부 제재가 이르면 이달 말 확정될 전망이다. 법정 과징금 상한을 단순 계산하면 2000억원 안팎에 이르지만 실제 부과액은 위반 행위와 관련된 매출 범위, 안전조치 의무 위반 정도, 피해구제 노력에 따라 크게 달라질 것으로 보인다. 19일 통신업계에 따르면 개인정보보호위원회는 KT의 개인정보 보호법 위반 여부와 과징금·시정명령 등 제재 안건을 오는 29일 전체회의에서 심의하는 방안을 검토하고 있다. 다만 19일 현재 개인정보위가 공개한 회의 현황에는 지난 15일 제14회 제1소위원회와 지난 8일 제13회 전체회의까지만 올라와 있다. KT 안건의 29일 상정 여부는 공식 확정되지 않은 만큼 추가 검토에 따라 일정이 달라질 가능성도 있다. ◆ 피해 회선 2만2227개, 정보주체는 1만6000여명 KT는 지난해 수도권 일부 지역에서 불법 펨토셀이 내부 통신망에 접속하면서 가입자 정보가 유출되는 사고를 겪었다. 과학기술정보통신부 민관합동조사단은 불법 펨토셀에 접속한 가입자를 2만2227명으로 파악했다. 유출 정보에는 전화번호와 국제이동가입자식별번호(IMSI), 국제단말기식별번호(IMEI)가 포함됐다. 이 가운데 368명에게서 총 777건, 약 2억4300만원 규모의 무단 소액결제 피해가 발생했다. 개인정보위가 KT에 보낸 처분 사전통지서에는 개인정보가 유출된 정보주체가 1만6000여명으로 기재된 것으로 알려졌다. 과기정통부는 불법 펨토셀 접속 이력이 있는 회선을 기준으로 조사한 반면 개인정보위는 법인용 회선과 중복 회선 등을 제외한 것으로 전해졌다. 현행 개인정보 보호법은 살아 있는 자연인에 관한 정보를 보호 대상으로 삼으며 법인이나 단체 자체의 정보는 개인정보에 포함하지 않는다. 따라서 ‘2만2227명 유출’과 ‘1만6000여명 유출’은 어느 한쪽이 틀린 수치라기보다 조사 목적과 산정 기준이 다른 결과에 가깝다. 제재 처분에서는 개인정보위가 산정한 정보주체 규모가 직접적인 기준으로 활용될 가능성이 크다. ◆ 단순 계산하면 2000억원…실제 과징금은 별개 KT에 적용되는 사고 당시 개인정보 보호법상 과징금 상한은 위반 행위와 관련된 최근 3개 사업연도 평균 매출액의 3%다. KT의 최근 3년간 무선서비스 매출은 연평균 약 6조6689억원으로 추산된다. 이를 단순히 3%에 대입하면 약 2000억원이 나온다. 그러나 이 금액을 예상 과징금으로 단정하기는 어렵다. 개인정보위는 전체 무선서비스 매출 가운데 어느 범위를 위반 행위 관련 매출로 볼 것인지 정한 뒤 위반의 중대성과 기간, 유출 규모, 실제 피해, 사후 조치 등을 반영해 부과기준율을 적용한다. 이후 가중·감경 절차도 거친다. SK텔레콤도 지난해 약 2300만명의 유심 관련 정보가 유출된 사고로 법정 상한에 가까운 과징금이 거론됐지만 최종 부과액은 1347억9100만원이었다. 개인정보위는 당시 핵심 네트워크 관리 소홀과 안전조치 의무 위반, 유출 통지 위반 등을 처분 근거로 제시했다. KT의 피해 규모는 SK텔레콤보다 작다. 다만 개인정보가 실제 범죄에 이용돼 368명의 금전 피해로 이어졌다는 점은 가볍게 보기 어렵다. 개인정보위가 단순 유출 인원보다 사고의 발생 구조와 실제 피해를 얼마나 무겁게 판단하느냐가 제재 수위를 가를 전망이다. ◆ 펨토셀 관리 부실이 핵심…사후 투자만으로 면책 어려워 KT에 불리한 대목은 통신망의 말단 설비인 펨토셀 관리 체계가 전반적으로 부실했다는 정부 조사 결과다. 민관합동조사단은 KT가 펨토셀 인증서와 제작 외주업체, 비정상 인터넷주소(IP) 접속, 제품 형상정보를 제대로 관리하지 못해 불법 장비가 내부망에 쉽게 접속할 수 있었다고 판단했다. 불법 펨토셀이 통신 트래픽을 가로채 제3의 장소로 전송할 수 있었고 일부 통신 과정에서는 문자와 음성통화 정보가 탈취될 위험도 확인됐다. 이는 외부 공격자의 범죄만으로 사고를 설명하기 어렵다는 의미다. 가입자 정보를 보호해야 할 기간통신사업자가 핵심 네트워크 장비의 인증과 접속통제 체계를 제대로 관리했는지가 개인정보 보호법상 안전조치 의무 위반 판단의 중심이 될 것으로 보인다. KT가 사고 이후 피해액을 보상하고 유심 무상 교체, 펨토셀 접속 차단, 망 보안 강화 등을 시행한 점은 감경 요소가 될 수 있다. 정부 조사 결과에 따라 전체 이용자를 대상으로 위약금 없는 해지도 허용했다. KT는 지난해 정보보호 분야에 1276억원을 투자했고 개인정보보호 자문위원회와 정보보호 자문위원회도 잇달아 출범시켰다. AI 기반 공격과 제로트러스트, 랜섬웨어 대응 등을 포함한 보안 거버넌스 강화에 나선 상태다. 투자액이 크다는 사실만으로 사고 당시의 책임이 사라지는 것은 아니다. 개인정보위가 살필 부분은 예산의 총액보다 사고 이전에 필요한 보호조치가 실제 작동했는지, 사고 이후 피해 확산을 막고 보호체계를 실질적으로 바꿨는지다. 한편 이번 처분은 피해자 수가 상대적으로 적으면 과징금도 작아지는지를 보여주는 사건이 아니다. 국가 기간통신망의 관리 부실로 식별정보가 범죄에 이용됐을 때 그 책임을 어떻게 산정할 것인지가 핵심이다. 개인정보위의 결론은 KT 한 기업의 비용을 넘어 통신사가 네트워크 보안을 어디까지 경영 책임으로 받아들여야 하는지를 가르는 기준이 될 전망이다.2026-07-19 11:51:01
-
개보위, AI 데이터 규제 '활용·책임' 함께 손본다…AX 안심체계 구축 [경제일보] 개인정보보호위원회가 인공지능(AI) 개발 과정의 데이터 활용 문턱을 낮추는 동시에 유출과 오남용에 대한 책임은 강화하는 규제 전환에 나선다. 일률적인 개인정보 규제에서 벗어나 AI 기술과 데이터의 위험 수준에 따라 활용 범위와 안전조치를 달리 적용하는 것이 핵심이다. 개인정보위는 16일 이재명 대통령에게 보고한 하반기 업무계획에서 4대 역점 분야와 개혁·지역성장·국가정상화 과제를 제시했다. AI 개발과 운영 과정에서 발생하는 법적 불확실성을 줄이기 위한 가칭 ‘AX 안심 지원체계’를 구축하고, 공익·사회적 목적의 AI 개발에는 맞춤형 안전조치를 전제로 원본 개인정보 활용을 허용하는 특례 도입을 추진한다. ◆ AI 데이터 활용 문턱 낮추고 사전 검토 강화 AX 안심 지원체계는 적극적 법령 해석과 사전적정성 검토, 비조치 의견서 등 기존 제도를 통합해 AI 기업과 공공기관에 적합한 지원 방식을 연결하는 구조다. 기업이 AI 서비스를 개발한 뒤 제재 여부를 기다리는 방식에서 벗어나 개발 단계부터 데이터 처리의 적법성과 프라이버시 위험을 점검하도록 하겠다는 취지다. 개인정보위는 에이전틱 AI와 공공 AX 등 기술·분야별 안내서도 마련할 계획이다. 자율적으로 업무를 수행하는 에이전틱 AI는 개인정보 접근 범위와 행위 책임이 불명확할 수 있고 로봇·스마트글라스 등 피지컬 AI는 카메라와 마이크로 주변인의 정보를 실시간 수집할 가능성이 크다. 기술별 위험이 다른 만큼 하나의 동의 절차만으로 규율하기 어렵다는 판단이다. AI 원본활용 특례는 범죄 대응과 재난 방지 등 공익적 목적의 AI 개발에서 가명정보만으로 연구 목적을 달성하기 어려운 경우를 겨냥한다. 신청과 현장조사, 위험평가, 전문위원회와 개인정보위 심의, 사후관리 절차를 거쳐 제한적으로 원본 활용을 허용하는 방식이다. 제도의 본질은 무제한 활용 허용이 아니다. 활용 필요성과 공익성을 확인하고 정보의 민감도와 유출 가능성에 맞춘 안전조치를 부과하는 조건부 활용체계에 가깝다. 개인정보위는 AI 시대의 데이터 활용을 넓히되 위험에 비례하는 규율 방식으로 전환하겠다는 방침이다. ◆ 공공기관 387개 시스템 보안 의무 강화 대규모 개인정보를 보유한 공공기관에는 더 무거운 책임이 부과된다. 개인정보위는 주요 개인정보 처리 시스템 387개를 대상으로 연 1회 이상 취약점 점검과 모의해킹을 의무화하고 전문 개인정보보호책임자(CPO) 지정과 신고도 강화할 계획이다. 정부24와 국민신문고 등 주요 공공시스템에는 개인정보보호 관리체계 인증인 ISMS-P를 단계적으로 의무화한다. 주민등록번호 5000만건 이상을 보유한 대민 시스템 11종은 별도 집중관리 대상으로 지정하고 자체 점검 결과가 미흡한 시스템에는 관계부처 합동점검을 실시한다. 공공기관의 개인정보보호 인력과 예산 확대도 병행한다. 취약점 점검, 접속기록 관리, 보호 솔루션 도입에 필요한 예산 확보를 지원하고 담당자에게 수당과 인사상 우대 방안을 제공하는 방안이 추진된다. 반대로 고의나 중과실에 따른 유출과 업무 해태에는 징계 권고와 이행점검을 통해 책임을 묻는다. 공공부문의 개인정보 유출은 민간 사고보다 피해 범위가 넓고 국민이 서비스를 선택해 회피하기도 어렵다. 개인정보위가 공공기관의 자율점검을 의무 점검과 인증체계로 전환하려는 이유도 공공서비스의 신뢰를 기관의 자율에만 맡길 수 없다는 판단에서 출발한다. ◆ 예방투자는 감경하고 중대 위반은 최대 10% 민간기업 제재 체계도 달라진다. 개인정보위는 기업이 법정 의무를 넘어 예방투자를 하고 유출 사고를 신속하게 탐지·차단한 경우 과징금 산정에서 이를 반영할 계획이다. 사고 이후 2차 피해 방지와 피해회복, 보호체계 복원 수준도 평가 대상에 포함한다. 보호 역량이 부족한 중소·영세기업에는 기술지원과 컨설팅을 제공한다. 경미한 사건은 시정을 전제로 처분을 면제하되 같은 위반이 반복되면 제재를 가중하는 ‘처분성 경고제’도 도입할 예정이다. 규제 비용을 감당하기 어려운 기업에는 개선 기회를 주면서 반복적 방치에는 책임을 묻는 구조다. 반면 중대하거나 반복적인 위반에는 매출액의 최대 10%까지 징벌적 과징금을 부과하는 제도를 시행한다. 유출 신고와 통지를 지연하거나 피해 확산 방지 조치를 이행하지 않은 경우에도 과징금이 가중된다. 조사 과정에서 자료를 숨기거나 폐기하는 행위에는 별도 제재와 신고포상금 도입도 추진한다. 100만건 이상이 유출된 중요 사건은 전담 조사단을 구성해 신속하게 조사하고 소규모·정형화된 사건은 소위원회 중심의 신속 처리 절차를 적용한다. 개인정보위는 연내 기술분석센터를 구축하고 포렌식 기능을 강화해 랜섬웨어와 AI 해킹 등 복합적인 침해사고에 대응할 계획이다. ◆ AI 규제의 성패는 ‘허용 이후의 책임’에 달렸다 국민 권리구제 체계도 확대된다. 개인정보 유출 기업의 손해배상 책임을 강화하고 유출 관련 과징금 수입을 피해회복과 권리구제에 활용하는 통합기금 도입을 추진한다. 약 300개 주요 앱을 대상으로 탈퇴 방해, 선택동의 강요, 반복적 동의 요구 등 개인정보 다크패턴 실태도 점검한다. 마이데이터는 의료·통신·에너지 분야를 결합한 서비스로 확장한다. 진료·검사 기록을 활용한 맞춤 서비스, 실제 통신 이용량에 기반한 요금제 추천, 공과금 납부 이력을 활용한 대안 신용평가 등이 검토 대상이다. 개인정보 활용으로 발생한 수익의 일부를 정보주체에게 돌려주는 이익공유 모델도 추진한다. 이번 업무계획은 개인정보 정책의 중심을 ‘동의를 받았는가’에서 ‘어떤 위험을 만들고 어떻게 통제했는가’로 옮기려는 시도다. AI 산업에는 데이터 활용의 예측 가능성을 주고, 국민에게는 피해 예방과 구제 장치를 강화하는 방식이다. 규제 완화만으로 AI 혁신이 만들어지는 것은 아니다. 원본 데이터 활용 범위가 넓어질수록 기업과 공공기관의 설명 책임, 기록 의무, 사후 검증도 더 엄격해져야 한다. 활용의 문을 여는 것은 정부가 할 수 있지만 신뢰를 지키는 것은 데이터를 다루는 기관의 몫이다. AI 시대 개인정보 정책의 성패는 얼마나 많이 허용했느냐가 아니라 허용 이후의 위험을 얼마나 투명하게 통제했느냐에서 갈릴 것이다.2026-07-17 11:50:23
-
결혼정보회사 듀오 개인정보 유출 소송전…"혼인경력까지 털렸다" [경제일보] 결혼정보회사 듀오의 개인정보 유출 사건이 집단 손해배상 소송으로 번지고 있다. 이름과 연락처 수준을 넘어 혼인 경력과 가족관계, 직장 정보 등 결혼정보회사가 보유한 내밀한 정보가 포함됐다는 주장이 나오면서 피해 파장이 커지는 분위기다. 법무법인 세담은 듀오 개인정보 유출 사건과 관련해 피해 회원들을 대리한 단체 손해배상 청구 소송을 제기했다고 밝혔다. 세담은 이번 사건이 단순 데이터 유출이 아니라 회원의 사생활 전반이 외부에 노출된 중대 사안이라고 보고 있다. 제공자료에 따르면 현재까지 확인된 유출 항목은 최대 72개다. 키, 체중, 혈액형, 종교, 혼인 경력, 학력, 직장, 가족관계 등이 포함된 것으로 알려졌다. 결혼정보회사 특성상 회원들이 결혼을 목적으로 제공한 정보가 많아 일반 플랫폼 유출 사고보다 사생활 침해 우려가 크다는 지적이 나온다. 앞서 개인정보보호위원회는 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과한 것으로 전해졌다. 자료에 따르면 안전조치 의무 위반, 개인정보 유출 신고 지연, 장기 보관 정보 미파기 등이 문제로 지적됐다. 다만 공개자료 기준으로 해당 처분 원문은 확인되지 않았다. 세담은 민사소송에서 듀오가 개인정보처리자로서 안전성 확보 의무를 다했는지 다툴 예정이다. 유출 사고 이후 신고와 정보주체 통지가 적법했는지, 탈퇴 회원이나 장기 미이용 회원의 개인정보가 제대로 파기됐는지도 주요 쟁점으로 본다. 이번 사건의 무게는 정보의 성격에 있다. 결혼정보 서비스는 회원의 신상과 가족 배경, 직업, 혼인 이력, 자기소개 등 개인이 일상에서 쉽게 공개하지 않는 정보를 다룬다. 이 정보가 외부로 유출될 경우 금전 피해를 넘어 평판 훼손과 2차 피해로 이어질 수 있다. 피해자들의 반발도 거세다. 한 피해자는 혼인 경력과 사진, 직장명, 직장 주소, 거주지, 결혼·이혼 연도, 본인 소개 글까지 유출됐다고 주장했다. 그는 “마치 광장에 벌거벗겨진 채 내던져진 기분”이라고 호소했다. 탈퇴 회원 정보 보관 문제도 소송의 핵심 쟁점으로 떠오르고 있다. 일부 피해자는 이미 회원 탈퇴를 했는데도 듀오의 개인정보 유출 조회 시스템에서 자신의 정보가 보관돼 있었고 유출 대상에도 포함된 것으로 확인됐다고 주장하고 있다. 사실로 확인될 경우 개인정보 보관 기간과 파기 의무 위반 여부가 민사 책임 판단에 영향을 줄 수 있다. 신알찬 법무법인 세담 대표변호사는 “결혼정보회사에 제공되는 정보는 개인이 사회생활에서 쉽게 공개하지 않는 내밀한 정보가 다수 포함돼 있다”며 “이번 사건은 회원의 사생활과 인격적 이익이 침해된 중대한 사건으로 봐야 한다”고 말했다. 이어 “개인정보보호위원회의 제재를 통해 위법성 판단의 중요한 기초가 마련된 만큼 민사소송에서는 피해자들이 입은 정신적 손해와 향후 발생할 수 있는 2차 피해 가능성까지 주장하고 입증해 나갈 계획”이라고 밝혔다. 법조계에서는 피해 규모가 약 43만명에 달한다는 주장이 제기되는 만큼 후속 소송이 확대될 가능성도 거론된다. 개인정보 유출 소송은 피해 입증과 위자료 산정이 쟁점이지만 유출 정보가 민감할수록 법원의 판단도 달라질 수 있다.2026-06-25 17:51:43
-
티빙 유출 파장 CJ ONE까지…1051명 집단소송, 계정 잠금도 확산 [경제일보] 티빙 개인정보 유출 사태가 CJ ONE 계정 보호조치와 집단 손해배상 소송으로 번지고 있다. 단순한 OTT 회원정보 유출을 넘어 CJ 계열 서비스와 연동된 통합 계정, 온라인 식별 정보인 CI·DI까지 문제가 되면서 소비자 불안이 커지는 모습이다. 12일 업계에 따르면 CJ올리브네트웍스가 운영하는 그룹 통합 멤버십 서비스 CJ ONE은 티빙 개인정보 유출 사고 이후 일부 회원을 대상으로 계정 보호조치를 진행하고 있다. 티빙 사고 이후 비밀번호를 바꾸지 않은 CJ ONE 통합회원 계정 등이 대상이다. 계정 잠금 해제를 위해서는 CJ ONE 홈페이지나 앱에서 본인인증을 거쳐 비밀번호를 재설정해야 한다. 티빙은 지난 2일 외부의 비인가 접근으로 개인정보가 저장된 데이터베이스에 접속이 이뤄졌고 개인정보 파일이 외부로 전송된 정황을 확인했다고 밝혔다. 회사는 사고 인지 이후 공격자 IP 접근을 차단하고 클라우드 접근 통제 정책을 변경하는 등 조치를 취했다고 설명했다. 유출 항목은 아이디, 이름, 생년월일, 성별, 휴대전화번호, 이메일, 환불 계좌번호, 비밀번호 등으로 알려졌다. 여기에 CI와 DI도 포함된 것으로 전해지면서 사안의 무게가 커졌다. CI는 본인확인을 거친 이용자를 식별하기 위한 연계정보이고 DI는 서비스 내 중복가입 여부를 확인하는 식별값이다. 이용자가 쉽게 바꿀 수 없는 정보인 만큼 다른 유출 정보와 결합되면 개인 식별과 2차 피해 위험이 커질 수 있다. 티빙은 11일 홈페이지와 앱을 통해 이용자별 개인정보 유출 여부를 확인할 수 있는 조회 서비스를 개설했다. 회사는 “티빙을 믿고 이용해 주시는 회원님께 큰 걱정과 심려를 끼쳐 드린 점 진심으로 사과드린다”며 피해 여부 확인 서비스를 제공하고 있다고 밝혔다. 앞서 최주희 티빙 대표는 “이용자 여러분께서 믿고 맡겨주신 정보를 지켜드리지 못했으며 그 책임은 전적으로 티빙에 있다”고 사과했다. 정부 조사도 본격화됐다. 과학기술정보통신부와 한국인터넷진흥원은 이번 사고를 대규모 정보 유출 및 추가 피해 가능성이 있는 중대한 침해사고로 보고 민관합동조사단을 구성했다. 조사단은 사고 원인, 침입 경로, 유출 규모, 추가 피해 가능성 등을 들여다볼 전망이다. 개인정보보호위원회도 개인정보보호법상 안전성 확보 의무와 정보주체 통지 의무 위반 여부를 살필 가능성이 있다. 법적 대응도 시작됐다. 법무법인 지향은 티빙 개인정보 유출 피해 이용자 1051명을 대리해 서울중앙지법에 손해배상 청구 소송을 제기했다. 청구액은 1인당 30만원이다. 지향 측은 유출 정보의 종류와 2차 피해 위험을 고려할 때 정신적 피해가 크고 향후 조사 과정에서 추가 피해가 확인되면 청구액 확대도 검토할 수 있다는 입장이다. 법무법인 세담도 별도 집단소송을 추진하고 있다. 세담은 CI와 DI가 유출 항목에 포함된 점을 들어 스미싱, 피싱 등 2차 피해 위험이 크다고 보고 있다. 실제 티빙은 전화, 문자, 이메일 등을 통한 사칭 피싱 시도에 주의해 달라고 이용자들에게 안내한 바 있다. 이번 사태는 CJ 계열 서비스 전반의 계정 연동 구조에도 부담을 주고 있다. 티빙은 자체 계정뿐 아니라 CJ ONE, 네이버, 카카오 등 외부 계정으로 가입한 이용자도 많다. 편의성을 높였던 통합 로그인과 계정 연동이 사고 발생 이후에는 비밀번호 변경, 계정 잠금, 본인인증 등 복잡한 대응 절차로 이어지고 있다. 한편 업계에선 정확한 피해 규모와 보상안, 재발 방지 대책에 쏠린다. 일부 보도에서는 유출 대상이 대규모에 이를 가능성이 제기됐지만 현재 공개자료 기준으로 최종 피해 규모는 정부 조사 결과를 지켜봐야 한다. 티빙이 보상안과 추가 조치를 내놓겠다고 밝힌 만큼 실제 이용자 보호책의 수준도 향후 쟁점이 될 전망이다.2026-06-12 11:21:53
-
카카오페이, 알리페이 정보이전 패소…법원 "개인정보 자기통제권 침해" [경제일보] 카카오페이가 고객 개인정보를 알리페이에 넘긴 행위는 적법한 처리위탁이 아니라 이용자 동의가 필요한 제3자 제공이라는 법원 판단이 나왔다. 법원이 개인정보보호위원회의 과징금 처분을 유지하면서 카카오페이의 국외 개인정보 이전 리스크가 다시 부각되고 있다. 서울행정법원 행정12부(재판장 강재원)는 11일 카카오페이가 개인정보위를 상대로 제기한 시정명령 등 처분 취소소송에서 원고 패소 판결했다. 개인정보위가 지난해 1월 카카오페이에 부과한 과징금 59억6800만원과 시정명령의 적법성을 인정한 것이다. 이번 사건의 쟁점은 카카오페이가 알리페이 싱가포르 법인에 넘긴 고객 정보가 ‘개인정보 처리위탁’인지, 이용자 동의가 필요한 ‘제3자 제공’인지였다. 카카오페이는 애플 결제 서비스의 부정결제 방지를 위해 정보를 암호화해 제공했고 이는 적법한 위탁 범위에 해당한다고 주장해왔다. 법원 판단은 달랐다. 재판부는 카카오페이가 제공한 휴대전화 번호, 이메일 주소 등 24개 항목의 정보와 알리페이가 산출한 NSF 점수가 개념상 별개 정보라는 점은 인정했다. 그러나 개인정보가 알리페이로 이전돼 NSF 점수로 처리되는 전체 과정을 보면 실질적으로 애플 결제 서비스 운영을 위한 정보 활용이라고 봤다. NSF 점수는 애플 서비스 이용자의 자금 부족 가능성과 결제 위험도를 평가하기 위한 지표다. 재판부는 이 점수가 애플의 개별 청구와 일괄 청구 여부 판단, 결제 실패 위험 감소, 수수료 절감 등에 쓰였다고 판단했다. 정보 처리로 발생한 경제적 이익이 카카오페이나 알리페이가 아니라 애플에 귀속된다고 본 것이다. 이용자 동의 범위도 문제가 됐다. 재판부는 카카오페이 고객들이 본인 확인, 인증, 요금 정산 등을 위한 개인정보 처리에는 동의했더라도 정보가 알리페이로 이전돼 NSF 점수로 가공되고 애플의 결제 승인·신용평가성 지표로 활용되는 것까지 명확히 동의했다고 보기 어렵다고 판단했다. 특히 애플 서비스를 이용하지 않는 카카오페이 고객 정보까지 알리페이에 제공된 점도 처분의 적법성을 뒷받침했다. 정보주체 입장에서는 자신의 개인정보가 국외로 이전돼 별도 리스크 점수로 변환되고 애플 서비스 운영에 활용될 가능성을 예상하기 어렵다는 게 법원 판단이다. 재판부는 이 과정에서 이용자의 개인정보 자기통제권이 사실상 무력화됐다고 봤다. 이번 판결은 간편결제와 글로벌 플랫폼 연동 서비스 전반에 파장을 줄 수 있다. 국내 사업자가 해외 빅테크, 글로벌 결제망, 제3국 수탁사를 거쳐 데이터를 처리하는 구조가 늘고 있는 만큼 단순 암호화나 위탁 계약만으로 개인정보 국외이전 책임을 피하기 어렵다는 기준을 제시했기 때문이다. 카카오페이는 판결문을 검토한 뒤 향후 대응을 결정하겠다는 입장이다. 회사 측은 애플 서비스 결제 과정에서 부정결제를 방지하기 위해 필요한 절차였고 정보를 철저히 암호화해 적법하게 위탁했다는 기존 입장을 유지하고 있다. 항소 여부에 따라 법적 다툼은 이어질 가능성이 있다. 시장 시선은 금융당국의 후속 제재에도 쏠린다. 개인정보위 처분은 개인정보보호법상 국외이전 위반을 다룬 것이고 동의 없는 제3자 제공에 따른 신용정보법 위반 여부는 금융위원회가 별도로 판단할 사안이다. 이번 법원 판단은 금융위 심의에도 부담 요인으로 작용할 수 있다.2026-06-11 17:00:38
-
개인정보위, 쿠팡에 6246억 과징금 철퇴…"해외 기업 여부 고려 안 했다" [경제일보] 개인정보보호위원회가 쿠팡에 역대 최대 규모인 6246억8100만원의 과징금을 부과했다. 대규모 개인정보 유출 사고에 더해 이용자 동의 없는 온라인 활동기록 수집까지 함께 적발되면서 제재 수위가 종전 최고액을 크게 넘어섰다. 개인정보위는 10일 전체회의를 열고 쿠팡의 개인정보보호법 위반 행위에 대해 개인정보 유출 관련 4235억7500만원, 개인정보 무단 수집 관련 2011억600만원의 과징금을 각각 부과하기로 의결했다. 과태료는 1680만원이다. 물류 자회사 쿠팡풀필먼트서비스(CFS)에도 개인정보 처리 위반과 관련해 2억4800만원의 과징금이 별도로 부과됐다. 이번 처분의 핵심은 과징금 산정 기준이다. 개인정보위는 미국 상장사 쿠팡Inc의 전사 매출이나 공시상 전체 매출을 그대로 적용하지 않고 처분 대상인 한국의 쿠팡 주식회사와 위반 행위 관련 매출을 기준으로 삼았다. 쿠팡이츠, 쿠팡플레이, B2B 사업 등 위반 행위와 직접 관련이 없는 독립 매출은 제외했다는 설명이다. 이에 따라 유출 사고 관련 기준 매출은 약 30조원, 무단 개인정보 수집 관련 기준 매출은 약 36조원 수준으로 산정된 것으로 전해졌다. 개인정보위는 쿠팡 사고를 고도화된 외부 해킹보다 기본적인 안전관리 체계 미비와 관리 소홀의 문제로 판단했다. 조사 결과 유출 규모는 회원 3322만명과 회원이 아닌 배송지 정보주체 최소 433만명을 합쳐 약 3755만명으로 집계됐다. 인증 서명키 관리와 접근통제, 이상 트래픽 탐지, 퇴사자 권한 관리 등 기본 보안 체계가 제대로 작동하지 않았다는 게 개인정보위 판단이다. 별도 위반 행위도 제재 규모를 키웠다. 개인정보위는 쿠팡이 ‘쿠팡 파트너스’를 운영하면서 이용자 약 1117만명의 타사 웹사이트·앱 방문 기록, 접속 일시, IP 등 온라인 활동기록을 법적 근거 없이 수집해 저장한 사실을 확인했다. 단순 유출 사고가 아니라 플랫폼 사업자의 데이터 수집 관행 자체가 제재 대상이 된 셈이다. 조사 과정에서 드러난 로그 삭제 문제는 형사 절차로 이어질 전망이다. 개인정보위는 쿠팡이 증거자료 보전 명령을 받은 뒤에도 약 5개월치 웹 접속 로그를 수동 삭제하고 일부 애플리케이션 로그가 자동 삭제되도록 방치했다고 봤다. 개인정보위는 법상 고발 요건이 충족되면 예정대로 고발 절차를 진행하겠다는 입장을 밝혔다. 쿠팡이 법적 대응에 나설 가능성도 남아 있다. 쿠팡은 개인정보위 결정에 유감을 표하고 법적 절차를 통해 사실관계를 다투겠다는 입장을 내놓은 것으로 알려졌다. 개인정보위는 이번 처분이 장시간 심의와 사업자 의견 진술, 법리 검토를 거쳐 내려진 결정이라며 행정소송이 제기되더라도 적극 대응하겠다고 밝혔다. 외교 문제로 번질 가능성에 대해서도 선을 그었다. 개인정보위는 쿠팡이 국내 기업인지 해외 기업인지가 판단 기준이 아니며 개인정보보호법 위반 여부와 증거, 조사 결과만을 근거로 처분했다고 설명했다. 미국 상장 기업이라는 지위보다 국내 소비자의 개인정보를 대규모로 처리하는 플랫폼 사업자로서의 책임을 우선했다는 의미다. 이번 제재는 국내 플랫폼 산업에 분명한 신호를 던진다. 이용자 데이터가 성장의 기반이었다면 그 데이터를 지키는 체계 역시 기업 경쟁력의 일부가 돼야 한다. 쿠팡의 속도와 규모는 한국 유통시장의 판을 바꿨지만 개인정보 보호의 실패는 그 성장 모델의 취약한 밑바닥을 드러냈다. 이제 플랫폼의 신뢰는 배송 속도가 아니라 데이터 책임으로 평가받는 국면에 들어섰다.2026-06-11 16:01:46
-
개인정보위 공공기관 본인전송 확대…'내 데이터' 주권 시대 연다 [경제일보] 개인정보보호위원회(이하 개인정보위)가 공공부문 마이데이터 확산을 위한 현장 점검에 나섰다. 국민의 개인정보 결정권을 강화하는 본인전송 제도가 오는 8월부터 공공 영역으로 확대 시행된다. 정보주체 즉 국민이 자신의 정보를 직접 통제하고 활용하는 데이터 주권 시대가 본격화하고 있다. 개인정보위는 29일 정부세종청사에서 간담회를 열었다. 행정안전부 보건복지부 건강보험공단 등 주요 공공기관 실무자들이 이 자리에 함께했다. 이번 간담회는 개인정보보호법 시행령 개정에 따라 새롭게 본인대상정보전송자가 되는 공공시스템운영기관의 준비 상황을 점검하기 위해 마련됐다. 본인전송 제도는 정보주체가 자신의 개인정보를 전송해달라고 요구할 수 있는 권리다. 기존에는 의료 통신 같은 일부 분야에만 적용됐다. 하지만 개정 시행령은 적용 범위를 대폭 넓혔다. 일정 규모 이상의 민간 사업자뿐 아니라 국민의 민감한 정보를 다루는 핵심 공공기관도 의무 대상에 포함시켰다. 이에 따라 해당 공공기관은 정보주체가 본인전송을 요구할 수 있는 방법과 절차를 마련해야 한다. 개인정보처리방침에 전송 대상 정보와 요구 방법 등을 명확히 기재해야 한다. 전송 대상은 정보주체의 동의나 법령에 따라 수집된 정보다. 다만 기관이 자체적으로 생성한 정보나 영업비밀 국가 산업기술 등은 제외된다. 개인정보위는 대리인이 자동화 도구 스크래핑을 이용해 본인전송을 요구할 경우를 대비한 안전장치도 구체화했다. 본인대상정보전송자와 대리인은 사전에 전송 범위와 목적 방식 등을 반드시 협의해야 한다. 대리인의 위임권 확인과 보안 조치 책임 소재 등도 사전 협의 대상이다. 무분별한 데이터 요청으로 인한 시스템 과부하와 보안 사고를 막기 위한 조치다. 개인정보위는 이날 간담회에서 나온 현장 의견을 수렴할 예정이다. 이를 반영한 '전 분야 마이데이터 제도 안내서' 최종본은 오는 6월 공개된다. 새로운 제도가 서류상 권리에 그치지 않고 국민이 체감하는 혁신 서비스로 이어질지 주목된다.2026-04-29 17:38:03
-
롯데카드, 해킹 사고로 과징금 96억원 부과…개보위 제재 의결 [경제일보] 롯데카드가 지난해 발생한 297만명 고객 개인정보 유출 사고로 인해 개인정보보호위원회(개보위)로부터 96억2000만원의 과징금이 부과됐다. 12일 업계에 따르면 개인정보보호위원회는 지난 11일 전체회의 통해 개인정보 보호 법규를 위반한 롯데카드에 대해 과징금 96억2000만원과 과태료 480만원을 부과하고 시정 및 공표 명령을 의결했다. 이번 조치는 롯데카드의 온라인 간편결제 시스템이 해킹 공격을 받으면서 대규모 개인정보 유출이 발생한 사건에 대한 조사 결과에 따른 것이다. 개인정보위는 지난해 9월 금융감독원으로부터 롯데카드 개인신용정보 누설 신고 사실을 전달받고 조사를 진행했다. 조사 결과 롯데카드 온라인 결제 시스템 해킹 과정에서 로그 파일에 기록된 이용자 약 297만명의 개인신용정보가 유출된 것으로 확인됐다. 이 가운데 약 45만명의 주민등록번호도 함께 유출된 것으로 나타났다. 또한 롯데카드는 온라인 결제 과정에서 생성되는 로그에 주민등록번호를 포함한 다수의 개인정보를 평문 형태로 기록해온 것으로 확인됐다. 또한 해당 로그 파일에 대한 암호화 조치도 충분히 이뤄지지 않은 것으로 조사됐다. 현행 개인정보 보호법은 주민등록번호 처리를 엄격히 제한하고 있다. 법률이나 대통령령 등에서 구체적으로 요구하거나 허용한 경우 또는 정보주체나 제3자의 급박한 생명·신체·재산 보호가 필요한 경우 등에만 예외적으로 처리가 가능하다. 그러나 롯데카드는 이러한 법적 근거 없이 온라인 결제 관련 로그에 주민등록번호를 포함한 개인정보를 저장해온 것으로 조사됐다. 또한 로그 파일에는 최소한의 개인정보만 기록해야 함에도 별도의 검토 없이 다수의 개인정보를 기록해 해킹 사고 발생 시 대규모 개인정보 유출 위험성이 있는 구조였던 것으로 파악됐다. 이에 개보위는 법적 근거 없이 주민등록번호를 처리한 행위와 암호화 조치를 충분히 하지 않은 행위에 대해 과징금과 과태료 부과를 결정했다. 또한 처분 사실을 사업자 홈페이지에 공표하도록 명령했다. 이어 개인정보 처리 현황 전반을 점검하고 개인정보 보호 체계를 개선하도록 시정 조치 명령도 전달했다. 특히 개인정보 보호책임자(CPO)의 책임과 독립성을 강화하는 등 내부 개인정보 보호 관리 체계를 정비하도록 했다. 개보위는 이번 사건을 계기로 금융분야 사업자의 주민등록번호 처리 실태에 대한 사전 점검도 추진할 계획이다. 개보위 관계자는 "이번 사건을 계기로 사업자 스스로 개인정보 오‧남용에 대한 경각심을 가지고 개인정보 보호 원칙에 따라 주기적으로 개인정보 처리 현황을 점검, 개선해 나가야 할 것"이라고 말했다.2026-03-12 10:22:22
-
"털리면 회사 휘청"…유럽 뛰어넘는 '매출 10%' 징벌적 과징금 온다 [경제일보] 기업의 개인정보 유출 사고를 실무진의 실수나 IT 부서의 책임으로 꼬리 자르던 관행에 마침표가 찍힌다. 앞으로 중대한 개인정보 침해 사고를 낸 기업은 전체 매출액의 최대 10%에 달하는 징벌적 과징금을 물어야 하며 최고경영자(CEO)가 최종 책임자로 명시된다. 개인정보보호위원회는 이 같은 내용을 골자로 한 '개인정보 보호법' 개정안을 10일 공포하고 오는 9월11일부터 본격 시행한다고 9일 밝혔다. 공공 및 민간 주요 기관에 대한 정보보호 관리체계(ISMS-P) 인증 의무화 규정은 준비 기간을 고려해 2027년7월1일부터 적용된다. 이번 법 개정은 최근 수년간 끊이지 않고 발생한 대규모 개인정보 유출 사태를 근절하기 위한 정부의 초강수다. 기존 사후 처벌 위주의 솜방망이 제재에서 벗어나 기업의 지배구조(거버넌스) 자체를 '보안 우선'으로 뜯어고치겠다는 강력한 의지가 반영됐다. 가장 파장이 큰 변화는 징벌적 과징금 제도의 도입이다. 기존 법 체계에서는 과징금 상한선이 '전체 매출액의 3% 이하'였으나 이번 개정으로 '반복적이거나 중대한 위반행위'에 대해서는 상한선이 전체 매출액의 10%까지 대폭 상향됐다. 이는 글로벌 최고 수준의 개인정보 규제로 꼽히는 유럽연합(EU)의 일반개인정보보호법(GDPR) 과징금 상한선(전체 매출의 4%)을 훌쩍 뛰어넘는 강력한 제재다. 10% 과징금이 적용되는 '중대 위반'의 기준도 명확히 했다. 최근 3년간 고의 또는 중과실로 위반 행위를 반복한 경우나 1000만명 이상의 대규모 피해를 초래한 경우 그리고 시정명령을 불이행해 유출 사고가 발생한 경우 등이 이에 해당한다. 글로벌 빅테크는 물론 국내 대형 플랫폼과 통신사 등 국민 대다수를 회원으로 둔 기업들에게는 사활이 걸린 리스크가 생긴 셈이다. ◆ '유출 가능성'만 있어도 즉시 통지…랜섬웨어 피해도 포함 개인정보 유출에 대한 기업의 대응 매뉴얼도 전면 개편된다. 과거에는 기업이 내부 조사를 거쳐 '유출 사실이 확실히 확인된 후'에야 정보주체(이용자)에게 통지하는 경우가 많아 피해를 키운다는 지적이 잇따랐다. 앞으로는 '유출 등의 가능성이 있음을 알게 된 때' 즉시 이용자에게 알려야 한다. 사고 초기부터 이용자가 비밀번호를 변경하거나 2차 금융 사기에 대비할 수 있는 골든타임을 확보하기 위함이다. 또한 유출의 개념을 확장해 랜섬웨어 공격 등으로 인한 개인정보의 위조·변조·훼손도 신고 및 통지 대상으로 명문화했다. 데이터를 외부로 빼돌리지 않고 내부 서버를 암호화해버리는 최신 사이버 범죄 트렌드를 법망 안으로 끌어들인 것이다. 더불어 기업은 유출 통지 시 이용자에게 손해배상 청구나 분쟁조정 신청 등 구체적인 피해 구제 방법도 의무적으로 안내해야 한다. 내부 책임 구조의 변화는 기업 지배구조에 상당한 파장을 예고한다. 개정법은 CEO를 개인정보 처리 및 보호의 '최종 책임자'로 규정하고 관리·감독 의무를 법에 명시했다. 보안 사고 발생 시 경영진이 책임을 회피할 수 있는 퇴로를 원천 차단한 것이다. 최고개인정보책임자(CPO)의 위상도 대폭 강화된다. 일정 규모 이상의 기업은 CPO를 지정하거나 해임할 때 반드시 이사회 의결을 거치고 개인정보위에 신고해야 한다. CPO에게는 전문 인력 관리와 예산 확보 권한이 부여되며 관련 사항을 대표와 이사회에 직접 보고하도록 의무화했다. CPO가 경영진의 눈치를 보지 않고 독립적인 보안 통제 타워 역할을 수행할 수 있도록 제도적 방패막이를 쳐준 조치다. 산업계는 바짝 긴장하면서도 전사적인 보안 체계 재구축에 돌입할 전망이다. 징벌적 과징금이라는 거대한 '채찍'과 함께 사전 예방 투자에 대한 '당근'도 명확해졌기 때문이다. 개정안은 기업이 개인정보 보호를 위해 예산과 인력 및 설비를 선제적으로 투자하고 운영한 사실이 입증되면 고의·중과실이 아닌 이상 과징금을 필수적으로 감경해주도록 규정했다. 보안업계 전문가는 이번 개정안이 정보보안 시장의 퀀텀점프를 이끌 것으로 내다본다. 과징금 폭탄을 피하기 위해 대기업뿐만 아니라 중견기업들까지 보안 솔루션 도입과 인프라 확충에 지갑을 열 수밖에 없는 구조가 형성됐기 때문이다. 또한 2027년부터 주요 기관의 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증이 의무화됨에 따라 관련 컨설팅 및 시스템 통합(SI) 산업도 특수를 누릴 것으로 예상된다. 결국 다가오는 9월은 대한민국 산업계가 '데이터 수집을 통한 이윤 창출'에서 '안전한 데이터 관리를 통한 신뢰 확보'로 체질을 완전히 바꾸는 분수령이 될 전망이다.2026-03-09 18:38:31
많이 본 뉴스
영상
Youtube 바로가기
![[데스크칼럼] 사상 최악의 기후재난, 네팔 대홍수가 묻는 것](https://image.ajunews.com/content/image/2026/08/31/20260831101315475035_518_323.jpg)