2026.07.18 토요일
검색
'정보주체' 검색결과
기간검색
-
~
검색영역
검색어
-
개보위, AI 데이터 규제 '활용·책임' 함께 손본다…AX 안심체계 구축 [경제일보] 개인정보보호위원회가 인공지능(AI) 개발 과정의 데이터 활용 문턱을 낮추는 동시에 유출과 오남용에 대한 책임은 강화하는 규제 전환에 나선다. 일률적인 개인정보 규제에서 벗어나 AI 기술과 데이터의 위험 수준에 따라 활용 범위와 안전조치를 달리 적용하는 것이 핵심이다. 개인정보위는 16일 이재명 대통령에게 보고한 하반기 업무계획에서 4대 역점 분야와 개혁·지역성장·국가정상화 과제를 제시했다. AI 개발과 운영 과정에서 발생하는 법적 불확실성을 줄이기 위한 가칭 ‘AX 안심 지원체계’를 구축하고, 공익·사회적 목적의 AI 개발에는 맞춤형 안전조치를 전제로 원본 개인정보 활용을 허용하는 특례 도입을 추진한다. ◆ AI 데이터 활용 문턱 낮추고 사전 검토 강화 AX 안심 지원체계는 적극적 법령 해석과 사전적정성 검토, 비조치 의견서 등 기존 제도를 통합해 AI 기업과 공공기관에 적합한 지원 방식을 연결하는 구조다. 기업이 AI 서비스를 개발한 뒤 제재 여부를 기다리는 방식에서 벗어나 개발 단계부터 데이터 처리의 적법성과 프라이버시 위험을 점검하도록 하겠다는 취지다. 개인정보위는 에이전틱 AI와 공공 AX 등 기술·분야별 안내서도 마련할 계획이다. 자율적으로 업무를 수행하는 에이전틱 AI는 개인정보 접근 범위와 행위 책임이 불명확할 수 있고 로봇·스마트글라스 등 피지컬 AI는 카메라와 마이크로 주변인의 정보를 실시간 수집할 가능성이 크다. 기술별 위험이 다른 만큼 하나의 동의 절차만으로 규율하기 어렵다는 판단이다. AI 원본활용 특례는 범죄 대응과 재난 방지 등 공익적 목적의 AI 개발에서 가명정보만으로 연구 목적을 달성하기 어려운 경우를 겨냥한다. 신청과 현장조사, 위험평가, 전문위원회와 개인정보위 심의, 사후관리 절차를 거쳐 제한적으로 원본 활용을 허용하는 방식이다. 제도의 본질은 무제한 활용 허용이 아니다. 활용 필요성과 공익성을 확인하고 정보의 민감도와 유출 가능성에 맞춘 안전조치를 부과하는 조건부 활용체계에 가깝다. 개인정보위는 AI 시대의 데이터 활용을 넓히되 위험에 비례하는 규율 방식으로 전환하겠다는 방침이다. ◆ 공공기관 387개 시스템 보안 의무 강화 대규모 개인정보를 보유한 공공기관에는 더 무거운 책임이 부과된다. 개인정보위는 주요 개인정보 처리 시스템 387개를 대상으로 연 1회 이상 취약점 점검과 모의해킹을 의무화하고 전문 개인정보보호책임자(CPO) 지정과 신고도 강화할 계획이다. 정부24와 국민신문고 등 주요 공공시스템에는 개인정보보호 관리체계 인증인 ISMS-P를 단계적으로 의무화한다. 주민등록번호 5000만건 이상을 보유한 대민 시스템 11종은 별도 집중관리 대상으로 지정하고 자체 점검 결과가 미흡한 시스템에는 관계부처 합동점검을 실시한다. 공공기관의 개인정보보호 인력과 예산 확대도 병행한다. 취약점 점검, 접속기록 관리, 보호 솔루션 도입에 필요한 예산 확보를 지원하고 담당자에게 수당과 인사상 우대 방안을 제공하는 방안이 추진된다. 반대로 고의나 중과실에 따른 유출과 업무 해태에는 징계 권고와 이행점검을 통해 책임을 묻는다. 공공부문의 개인정보 유출은 민간 사고보다 피해 범위가 넓고 국민이 서비스를 선택해 회피하기도 어렵다. 개인정보위가 공공기관의 자율점검을 의무 점검과 인증체계로 전환하려는 이유도 공공서비스의 신뢰를 기관의 자율에만 맡길 수 없다는 판단에서 출발한다. ◆ 예방투자는 감경하고 중대 위반은 최대 10% 민간기업 제재 체계도 달라진다. 개인정보위는 기업이 법정 의무를 넘어 예방투자를 하고 유출 사고를 신속하게 탐지·차단한 경우 과징금 산정에서 이를 반영할 계획이다. 사고 이후 2차 피해 방지와 피해회복, 보호체계 복원 수준도 평가 대상에 포함한다. 보호 역량이 부족한 중소·영세기업에는 기술지원과 컨설팅을 제공한다. 경미한 사건은 시정을 전제로 처분을 면제하되 같은 위반이 반복되면 제재를 가중하는 ‘처분성 경고제’도 도입할 예정이다. 규제 비용을 감당하기 어려운 기업에는 개선 기회를 주면서 반복적 방치에는 책임을 묻는 구조다. 반면 중대하거나 반복적인 위반에는 매출액의 최대 10%까지 징벌적 과징금을 부과하는 제도를 시행한다. 유출 신고와 통지를 지연하거나 피해 확산 방지 조치를 이행하지 않은 경우에도 과징금이 가중된다. 조사 과정에서 자료를 숨기거나 폐기하는 행위에는 별도 제재와 신고포상금 도입도 추진한다. 100만건 이상이 유출된 중요 사건은 전담 조사단을 구성해 신속하게 조사하고 소규모·정형화된 사건은 소위원회 중심의 신속 처리 절차를 적용한다. 개인정보위는 연내 기술분석센터를 구축하고 포렌식 기능을 강화해 랜섬웨어와 AI 해킹 등 복합적인 침해사고에 대응할 계획이다. ◆ AI 규제의 성패는 ‘허용 이후의 책임’에 달렸다 국민 권리구제 체계도 확대된다. 개인정보 유출 기업의 손해배상 책임을 강화하고 유출 관련 과징금 수입을 피해회복과 권리구제에 활용하는 통합기금 도입을 추진한다. 약 300개 주요 앱을 대상으로 탈퇴 방해, 선택동의 강요, 반복적 동의 요구 등 개인정보 다크패턴 실태도 점검한다. 마이데이터는 의료·통신·에너지 분야를 결합한 서비스로 확장한다. 진료·검사 기록을 활용한 맞춤 서비스, 실제 통신 이용량에 기반한 요금제 추천, 공과금 납부 이력을 활용한 대안 신용평가 등이 검토 대상이다. 개인정보 활용으로 발생한 수익의 일부를 정보주체에게 돌려주는 이익공유 모델도 추진한다. 이번 업무계획은 개인정보 정책의 중심을 ‘동의를 받았는가’에서 ‘어떤 위험을 만들고 어떻게 통제했는가’로 옮기려는 시도다. AI 산업에는 데이터 활용의 예측 가능성을 주고, 국민에게는 피해 예방과 구제 장치를 강화하는 방식이다. 규제 완화만으로 AI 혁신이 만들어지는 것은 아니다. 원본 데이터 활용 범위가 넓어질수록 기업과 공공기관의 설명 책임, 기록 의무, 사후 검증도 더 엄격해져야 한다. 활용의 문을 여는 것은 정부가 할 수 있지만 신뢰를 지키는 것은 데이터를 다루는 기관의 몫이다. AI 시대 개인정보 정책의 성패는 얼마나 많이 허용했느냐가 아니라 허용 이후의 위험을 얼마나 투명하게 통제했느냐에서 갈릴 것이다.2026-07-17 11:50:23
-
결혼정보회사 듀오 개인정보 유출 소송전…"혼인경력까지 털렸다" [경제일보] 결혼정보회사 듀오의 개인정보 유출 사건이 집단 손해배상 소송으로 번지고 있다. 이름과 연락처 수준을 넘어 혼인 경력과 가족관계, 직장 정보 등 결혼정보회사가 보유한 내밀한 정보가 포함됐다는 주장이 나오면서 피해 파장이 커지는 분위기다. 법무법인 세담은 듀오 개인정보 유출 사건과 관련해 피해 회원들을 대리한 단체 손해배상 청구 소송을 제기했다고 밝혔다. 세담은 이번 사건이 단순 데이터 유출이 아니라 회원의 사생활 전반이 외부에 노출된 중대 사안이라고 보고 있다. 제공자료에 따르면 현재까지 확인된 유출 항목은 최대 72개다. 키, 체중, 혈액형, 종교, 혼인 경력, 학력, 직장, 가족관계 등이 포함된 것으로 알려졌다. 결혼정보회사 특성상 회원들이 결혼을 목적으로 제공한 정보가 많아 일반 플랫폼 유출 사고보다 사생활 침해 우려가 크다는 지적이 나온다. 앞서 개인정보보호위원회는 듀오에 과징금 11억9700만원과 과태료 1320만원을 부과한 것으로 전해졌다. 자료에 따르면 안전조치 의무 위반, 개인정보 유출 신고 지연, 장기 보관 정보 미파기 등이 문제로 지적됐다. 다만 공개자료 기준으로 해당 처분 원문은 확인되지 않았다. 세담은 민사소송에서 듀오가 개인정보처리자로서 안전성 확보 의무를 다했는지 다툴 예정이다. 유출 사고 이후 신고와 정보주체 통지가 적법했는지, 탈퇴 회원이나 장기 미이용 회원의 개인정보가 제대로 파기됐는지도 주요 쟁점으로 본다. 이번 사건의 무게는 정보의 성격에 있다. 결혼정보 서비스는 회원의 신상과 가족 배경, 직업, 혼인 이력, 자기소개 등 개인이 일상에서 쉽게 공개하지 않는 정보를 다룬다. 이 정보가 외부로 유출될 경우 금전 피해를 넘어 평판 훼손과 2차 피해로 이어질 수 있다. 피해자들의 반발도 거세다. 한 피해자는 혼인 경력과 사진, 직장명, 직장 주소, 거주지, 결혼·이혼 연도, 본인 소개 글까지 유출됐다고 주장했다. 그는 “마치 광장에 벌거벗겨진 채 내던져진 기분”이라고 호소했다. 탈퇴 회원 정보 보관 문제도 소송의 핵심 쟁점으로 떠오르고 있다. 일부 피해자는 이미 회원 탈퇴를 했는데도 듀오의 개인정보 유출 조회 시스템에서 자신의 정보가 보관돼 있었고 유출 대상에도 포함된 것으로 확인됐다고 주장하고 있다. 사실로 확인될 경우 개인정보 보관 기간과 파기 의무 위반 여부가 민사 책임 판단에 영향을 줄 수 있다. 신알찬 법무법인 세담 대표변호사는 “결혼정보회사에 제공되는 정보는 개인이 사회생활에서 쉽게 공개하지 않는 내밀한 정보가 다수 포함돼 있다”며 “이번 사건은 회원의 사생활과 인격적 이익이 침해된 중대한 사건으로 봐야 한다”고 말했다. 이어 “개인정보보호위원회의 제재를 통해 위법성 판단의 중요한 기초가 마련된 만큼 민사소송에서는 피해자들이 입은 정신적 손해와 향후 발생할 수 있는 2차 피해 가능성까지 주장하고 입증해 나갈 계획”이라고 밝혔다. 법조계에서는 피해 규모가 약 43만명에 달한다는 주장이 제기되는 만큼 후속 소송이 확대될 가능성도 거론된다. 개인정보 유출 소송은 피해 입증과 위자료 산정이 쟁점이지만 유출 정보가 민감할수록 법원의 판단도 달라질 수 있다.2026-06-25 17:51:43
-
티빙 유출 파장 CJ ONE까지…1051명 집단소송, 계정 잠금도 확산 [경제일보] 티빙 개인정보 유출 사태가 CJ ONE 계정 보호조치와 집단 손해배상 소송으로 번지고 있다. 단순한 OTT 회원정보 유출을 넘어 CJ 계열 서비스와 연동된 통합 계정, 온라인 식별 정보인 CI·DI까지 문제가 되면서 소비자 불안이 커지는 모습이다. 12일 업계에 따르면 CJ올리브네트웍스가 운영하는 그룹 통합 멤버십 서비스 CJ ONE은 티빙 개인정보 유출 사고 이후 일부 회원을 대상으로 계정 보호조치를 진행하고 있다. 티빙 사고 이후 비밀번호를 바꾸지 않은 CJ ONE 통합회원 계정 등이 대상이다. 계정 잠금 해제를 위해서는 CJ ONE 홈페이지나 앱에서 본인인증을 거쳐 비밀번호를 재설정해야 한다. 티빙은 지난 2일 외부의 비인가 접근으로 개인정보가 저장된 데이터베이스에 접속이 이뤄졌고 개인정보 파일이 외부로 전송된 정황을 확인했다고 밝혔다. 회사는 사고 인지 이후 공격자 IP 접근을 차단하고 클라우드 접근 통제 정책을 변경하는 등 조치를 취했다고 설명했다. 유출 항목은 아이디, 이름, 생년월일, 성별, 휴대전화번호, 이메일, 환불 계좌번호, 비밀번호 등으로 알려졌다. 여기에 CI와 DI도 포함된 것으로 전해지면서 사안의 무게가 커졌다. CI는 본인확인을 거친 이용자를 식별하기 위한 연계정보이고 DI는 서비스 내 중복가입 여부를 확인하는 식별값이다. 이용자가 쉽게 바꿀 수 없는 정보인 만큼 다른 유출 정보와 결합되면 개인 식별과 2차 피해 위험이 커질 수 있다. 티빙은 11일 홈페이지와 앱을 통해 이용자별 개인정보 유출 여부를 확인할 수 있는 조회 서비스를 개설했다. 회사는 “티빙을 믿고 이용해 주시는 회원님께 큰 걱정과 심려를 끼쳐 드린 점 진심으로 사과드린다”며 피해 여부 확인 서비스를 제공하고 있다고 밝혔다. 앞서 최주희 티빙 대표는 “이용자 여러분께서 믿고 맡겨주신 정보를 지켜드리지 못했으며 그 책임은 전적으로 티빙에 있다”고 사과했다. 정부 조사도 본격화됐다. 과학기술정보통신부와 한국인터넷진흥원은 이번 사고를 대규모 정보 유출 및 추가 피해 가능성이 있는 중대한 침해사고로 보고 민관합동조사단을 구성했다. 조사단은 사고 원인, 침입 경로, 유출 규모, 추가 피해 가능성 등을 들여다볼 전망이다. 개인정보보호위원회도 개인정보보호법상 안전성 확보 의무와 정보주체 통지 의무 위반 여부를 살필 가능성이 있다. 법적 대응도 시작됐다. 법무법인 지향은 티빙 개인정보 유출 피해 이용자 1051명을 대리해 서울중앙지법에 손해배상 청구 소송을 제기했다. 청구액은 1인당 30만원이다. 지향 측은 유출 정보의 종류와 2차 피해 위험을 고려할 때 정신적 피해가 크고 향후 조사 과정에서 추가 피해가 확인되면 청구액 확대도 검토할 수 있다는 입장이다. 법무법인 세담도 별도 집단소송을 추진하고 있다. 세담은 CI와 DI가 유출 항목에 포함된 점을 들어 스미싱, 피싱 등 2차 피해 위험이 크다고 보고 있다. 실제 티빙은 전화, 문자, 이메일 등을 통한 사칭 피싱 시도에 주의해 달라고 이용자들에게 안내한 바 있다. 이번 사태는 CJ 계열 서비스 전반의 계정 연동 구조에도 부담을 주고 있다. 티빙은 자체 계정뿐 아니라 CJ ONE, 네이버, 카카오 등 외부 계정으로 가입한 이용자도 많다. 편의성을 높였던 통합 로그인과 계정 연동이 사고 발생 이후에는 비밀번호 변경, 계정 잠금, 본인인증 등 복잡한 대응 절차로 이어지고 있다. 한편 업계에선 정확한 피해 규모와 보상안, 재발 방지 대책에 쏠린다. 일부 보도에서는 유출 대상이 대규모에 이를 가능성이 제기됐지만 현재 공개자료 기준으로 최종 피해 규모는 정부 조사 결과를 지켜봐야 한다. 티빙이 보상안과 추가 조치를 내놓겠다고 밝힌 만큼 실제 이용자 보호책의 수준도 향후 쟁점이 될 전망이다.2026-06-12 11:21:53
-
카카오페이, 알리페이 정보이전 패소…법원 "개인정보 자기통제권 침해" [경제일보] 카카오페이가 고객 개인정보를 알리페이에 넘긴 행위는 적법한 처리위탁이 아니라 이용자 동의가 필요한 제3자 제공이라는 법원 판단이 나왔다. 법원이 개인정보보호위원회의 과징금 처분을 유지하면서 카카오페이의 국외 개인정보 이전 리스크가 다시 부각되고 있다. 서울행정법원 행정12부(재판장 강재원)는 11일 카카오페이가 개인정보위를 상대로 제기한 시정명령 등 처분 취소소송에서 원고 패소 판결했다. 개인정보위가 지난해 1월 카카오페이에 부과한 과징금 59억6800만원과 시정명령의 적법성을 인정한 것이다. 이번 사건의 쟁점은 카카오페이가 알리페이 싱가포르 법인에 넘긴 고객 정보가 ‘개인정보 처리위탁’인지, 이용자 동의가 필요한 ‘제3자 제공’인지였다. 카카오페이는 애플 결제 서비스의 부정결제 방지를 위해 정보를 암호화해 제공했고 이는 적법한 위탁 범위에 해당한다고 주장해왔다. 법원 판단은 달랐다. 재판부는 카카오페이가 제공한 휴대전화 번호, 이메일 주소 등 24개 항목의 정보와 알리페이가 산출한 NSF 점수가 개념상 별개 정보라는 점은 인정했다. 그러나 개인정보가 알리페이로 이전돼 NSF 점수로 처리되는 전체 과정을 보면 실질적으로 애플 결제 서비스 운영을 위한 정보 활용이라고 봤다. NSF 점수는 애플 서비스 이용자의 자금 부족 가능성과 결제 위험도를 평가하기 위한 지표다. 재판부는 이 점수가 애플의 개별 청구와 일괄 청구 여부 판단, 결제 실패 위험 감소, 수수료 절감 등에 쓰였다고 판단했다. 정보 처리로 발생한 경제적 이익이 카카오페이나 알리페이가 아니라 애플에 귀속된다고 본 것이다. 이용자 동의 범위도 문제가 됐다. 재판부는 카카오페이 고객들이 본인 확인, 인증, 요금 정산 등을 위한 개인정보 처리에는 동의했더라도 정보가 알리페이로 이전돼 NSF 점수로 가공되고 애플의 결제 승인·신용평가성 지표로 활용되는 것까지 명확히 동의했다고 보기 어렵다고 판단했다. 특히 애플 서비스를 이용하지 않는 카카오페이 고객 정보까지 알리페이에 제공된 점도 처분의 적법성을 뒷받침했다. 정보주체 입장에서는 자신의 개인정보가 국외로 이전돼 별도 리스크 점수로 변환되고 애플 서비스 운영에 활용될 가능성을 예상하기 어렵다는 게 법원 판단이다. 재판부는 이 과정에서 이용자의 개인정보 자기통제권이 사실상 무력화됐다고 봤다. 이번 판결은 간편결제와 글로벌 플랫폼 연동 서비스 전반에 파장을 줄 수 있다. 국내 사업자가 해외 빅테크, 글로벌 결제망, 제3국 수탁사를 거쳐 데이터를 처리하는 구조가 늘고 있는 만큼 단순 암호화나 위탁 계약만으로 개인정보 국외이전 책임을 피하기 어렵다는 기준을 제시했기 때문이다. 카카오페이는 판결문을 검토한 뒤 향후 대응을 결정하겠다는 입장이다. 회사 측은 애플 서비스 결제 과정에서 부정결제를 방지하기 위해 필요한 절차였고 정보를 철저히 암호화해 적법하게 위탁했다는 기존 입장을 유지하고 있다. 항소 여부에 따라 법적 다툼은 이어질 가능성이 있다. 시장 시선은 금융당국의 후속 제재에도 쏠린다. 개인정보위 처분은 개인정보보호법상 국외이전 위반을 다룬 것이고 동의 없는 제3자 제공에 따른 신용정보법 위반 여부는 금융위원회가 별도로 판단할 사안이다. 이번 법원 판단은 금융위 심의에도 부담 요인으로 작용할 수 있다.2026-06-11 17:00:38
-
개인정보위, 쿠팡에 6246억 과징금 철퇴…"해외 기업 여부 고려 안 했다" [경제일보] 개인정보보호위원회가 쿠팡에 역대 최대 규모인 6246억8100만원의 과징금을 부과했다. 대규모 개인정보 유출 사고에 더해 이용자 동의 없는 온라인 활동기록 수집까지 함께 적발되면서 제재 수위가 종전 최고액을 크게 넘어섰다. 개인정보위는 10일 전체회의를 열고 쿠팡의 개인정보보호법 위반 행위에 대해 개인정보 유출 관련 4235억7500만원, 개인정보 무단 수집 관련 2011억600만원의 과징금을 각각 부과하기로 의결했다. 과태료는 1680만원이다. 물류 자회사 쿠팡풀필먼트서비스(CFS)에도 개인정보 처리 위반과 관련해 2억4800만원의 과징금이 별도로 부과됐다. 이번 처분의 핵심은 과징금 산정 기준이다. 개인정보위는 미국 상장사 쿠팡Inc의 전사 매출이나 공시상 전체 매출을 그대로 적용하지 않고 처분 대상인 한국의 쿠팡 주식회사와 위반 행위 관련 매출을 기준으로 삼았다. 쿠팡이츠, 쿠팡플레이, B2B 사업 등 위반 행위와 직접 관련이 없는 독립 매출은 제외했다는 설명이다. 이에 따라 유출 사고 관련 기준 매출은 약 30조원, 무단 개인정보 수집 관련 기준 매출은 약 36조원 수준으로 산정된 것으로 전해졌다. 개인정보위는 쿠팡 사고를 고도화된 외부 해킹보다 기본적인 안전관리 체계 미비와 관리 소홀의 문제로 판단했다. 조사 결과 유출 규모는 회원 3322만명과 회원이 아닌 배송지 정보주체 최소 433만명을 합쳐 약 3755만명으로 집계됐다. 인증 서명키 관리와 접근통제, 이상 트래픽 탐지, 퇴사자 권한 관리 등 기본 보안 체계가 제대로 작동하지 않았다는 게 개인정보위 판단이다. 별도 위반 행위도 제재 규모를 키웠다. 개인정보위는 쿠팡이 ‘쿠팡 파트너스’를 운영하면서 이용자 약 1117만명의 타사 웹사이트·앱 방문 기록, 접속 일시, IP 등 온라인 활동기록을 법적 근거 없이 수집해 저장한 사실을 확인했다. 단순 유출 사고가 아니라 플랫폼 사업자의 데이터 수집 관행 자체가 제재 대상이 된 셈이다. 조사 과정에서 드러난 로그 삭제 문제는 형사 절차로 이어질 전망이다. 개인정보위는 쿠팡이 증거자료 보전 명령을 받은 뒤에도 약 5개월치 웹 접속 로그를 수동 삭제하고 일부 애플리케이션 로그가 자동 삭제되도록 방치했다고 봤다. 개인정보위는 법상 고발 요건이 충족되면 예정대로 고발 절차를 진행하겠다는 입장을 밝혔다. 쿠팡이 법적 대응에 나설 가능성도 남아 있다. 쿠팡은 개인정보위 결정에 유감을 표하고 법적 절차를 통해 사실관계를 다투겠다는 입장을 내놓은 것으로 알려졌다. 개인정보위는 이번 처분이 장시간 심의와 사업자 의견 진술, 법리 검토를 거쳐 내려진 결정이라며 행정소송이 제기되더라도 적극 대응하겠다고 밝혔다. 외교 문제로 번질 가능성에 대해서도 선을 그었다. 개인정보위는 쿠팡이 국내 기업인지 해외 기업인지가 판단 기준이 아니며 개인정보보호법 위반 여부와 증거, 조사 결과만을 근거로 처분했다고 설명했다. 미국 상장 기업이라는 지위보다 국내 소비자의 개인정보를 대규모로 처리하는 플랫폼 사업자로서의 책임을 우선했다는 의미다. 이번 제재는 국내 플랫폼 산업에 분명한 신호를 던진다. 이용자 데이터가 성장의 기반이었다면 그 데이터를 지키는 체계 역시 기업 경쟁력의 일부가 돼야 한다. 쿠팡의 속도와 규모는 한국 유통시장의 판을 바꿨지만 개인정보 보호의 실패는 그 성장 모델의 취약한 밑바닥을 드러냈다. 이제 플랫폼의 신뢰는 배송 속도가 아니라 데이터 책임으로 평가받는 국면에 들어섰다.2026-06-11 16:01:46
-
개인정보위 공공기관 본인전송 확대…'내 데이터' 주권 시대 연다 [경제일보] 개인정보보호위원회(이하 개인정보위)가 공공부문 마이데이터 확산을 위한 현장 점검에 나섰다. 국민의 개인정보 결정권을 강화하는 본인전송 제도가 오는 8월부터 공공 영역으로 확대 시행된다. 정보주체 즉 국민이 자신의 정보를 직접 통제하고 활용하는 데이터 주권 시대가 본격화하고 있다. 개인정보위는 29일 정부세종청사에서 간담회를 열었다. 행정안전부 보건복지부 건강보험공단 등 주요 공공기관 실무자들이 이 자리에 함께했다. 이번 간담회는 개인정보보호법 시행령 개정에 따라 새롭게 본인대상정보전송자가 되는 공공시스템운영기관의 준비 상황을 점검하기 위해 마련됐다. 본인전송 제도는 정보주체가 자신의 개인정보를 전송해달라고 요구할 수 있는 권리다. 기존에는 의료 통신 같은 일부 분야에만 적용됐다. 하지만 개정 시행령은 적용 범위를 대폭 넓혔다. 일정 규모 이상의 민간 사업자뿐 아니라 국민의 민감한 정보를 다루는 핵심 공공기관도 의무 대상에 포함시켰다. 이에 따라 해당 공공기관은 정보주체가 본인전송을 요구할 수 있는 방법과 절차를 마련해야 한다. 개인정보처리방침에 전송 대상 정보와 요구 방법 등을 명확히 기재해야 한다. 전송 대상은 정보주체의 동의나 법령에 따라 수집된 정보다. 다만 기관이 자체적으로 생성한 정보나 영업비밀 국가 산업기술 등은 제외된다. 개인정보위는 대리인이 자동화 도구 스크래핑을 이용해 본인전송을 요구할 경우를 대비한 안전장치도 구체화했다. 본인대상정보전송자와 대리인은 사전에 전송 범위와 목적 방식 등을 반드시 협의해야 한다. 대리인의 위임권 확인과 보안 조치 책임 소재 등도 사전 협의 대상이다. 무분별한 데이터 요청으로 인한 시스템 과부하와 보안 사고를 막기 위한 조치다. 개인정보위는 이날 간담회에서 나온 현장 의견을 수렴할 예정이다. 이를 반영한 '전 분야 마이데이터 제도 안내서' 최종본은 오는 6월 공개된다. 새로운 제도가 서류상 권리에 그치지 않고 국민이 체감하는 혁신 서비스로 이어질지 주목된다.2026-04-29 17:38:03
-
롯데카드, 해킹 사고로 과징금 96억원 부과…개보위 제재 의결 [경제일보] 롯데카드가 지난해 발생한 297만명 고객 개인정보 유출 사고로 인해 개인정보보호위원회(개보위)로부터 96억2000만원의 과징금이 부과됐다. 12일 업계에 따르면 개인정보보호위원회는 지난 11일 전체회의 통해 개인정보 보호 법규를 위반한 롯데카드에 대해 과징금 96억2000만원과 과태료 480만원을 부과하고 시정 및 공표 명령을 의결했다. 이번 조치는 롯데카드의 온라인 간편결제 시스템이 해킹 공격을 받으면서 대규모 개인정보 유출이 발생한 사건에 대한 조사 결과에 따른 것이다. 개인정보위는 지난해 9월 금융감독원으로부터 롯데카드 개인신용정보 누설 신고 사실을 전달받고 조사를 진행했다. 조사 결과 롯데카드 온라인 결제 시스템 해킹 과정에서 로그 파일에 기록된 이용자 약 297만명의 개인신용정보가 유출된 것으로 확인됐다. 이 가운데 약 45만명의 주민등록번호도 함께 유출된 것으로 나타났다. 또한 롯데카드는 온라인 결제 과정에서 생성되는 로그에 주민등록번호를 포함한 다수의 개인정보를 평문 형태로 기록해온 것으로 확인됐다. 또한 해당 로그 파일에 대한 암호화 조치도 충분히 이뤄지지 않은 것으로 조사됐다. 현행 개인정보 보호법은 주민등록번호 처리를 엄격히 제한하고 있다. 법률이나 대통령령 등에서 구체적으로 요구하거나 허용한 경우 또는 정보주체나 제3자의 급박한 생명·신체·재산 보호가 필요한 경우 등에만 예외적으로 처리가 가능하다. 그러나 롯데카드는 이러한 법적 근거 없이 온라인 결제 관련 로그에 주민등록번호를 포함한 개인정보를 저장해온 것으로 조사됐다. 또한 로그 파일에는 최소한의 개인정보만 기록해야 함에도 별도의 검토 없이 다수의 개인정보를 기록해 해킹 사고 발생 시 대규모 개인정보 유출 위험성이 있는 구조였던 것으로 파악됐다. 이에 개보위는 법적 근거 없이 주민등록번호를 처리한 행위와 암호화 조치를 충분히 하지 않은 행위에 대해 과징금과 과태료 부과를 결정했다. 또한 처분 사실을 사업자 홈페이지에 공표하도록 명령했다. 이어 개인정보 처리 현황 전반을 점검하고 개인정보 보호 체계를 개선하도록 시정 조치 명령도 전달했다. 특히 개인정보 보호책임자(CPO)의 책임과 독립성을 강화하는 등 내부 개인정보 보호 관리 체계를 정비하도록 했다. 개보위는 이번 사건을 계기로 금융분야 사업자의 주민등록번호 처리 실태에 대한 사전 점검도 추진할 계획이다. 개보위 관계자는 "이번 사건을 계기로 사업자 스스로 개인정보 오‧남용에 대한 경각심을 가지고 개인정보 보호 원칙에 따라 주기적으로 개인정보 처리 현황을 점검, 개선해 나가야 할 것"이라고 말했다.2026-03-12 10:22:22
-
"털리면 회사 휘청"…유럽 뛰어넘는 '매출 10%' 징벌적 과징금 온다 [경제일보] 기업의 개인정보 유출 사고를 실무진의 실수나 IT 부서의 책임으로 꼬리 자르던 관행에 마침표가 찍힌다. 앞으로 중대한 개인정보 침해 사고를 낸 기업은 전체 매출액의 최대 10%에 달하는 징벌적 과징금을 물어야 하며 최고경영자(CEO)가 최종 책임자로 명시된다. 개인정보보호위원회는 이 같은 내용을 골자로 한 '개인정보 보호법' 개정안을 10일 공포하고 오는 9월11일부터 본격 시행한다고 9일 밝혔다. 공공 및 민간 주요 기관에 대한 정보보호 관리체계(ISMS-P) 인증 의무화 규정은 준비 기간을 고려해 2027년7월1일부터 적용된다. 이번 법 개정은 최근 수년간 끊이지 않고 발생한 대규모 개인정보 유출 사태를 근절하기 위한 정부의 초강수다. 기존 사후 처벌 위주의 솜방망이 제재에서 벗어나 기업의 지배구조(거버넌스) 자체를 '보안 우선'으로 뜯어고치겠다는 강력한 의지가 반영됐다. 가장 파장이 큰 변화는 징벌적 과징금 제도의 도입이다. 기존 법 체계에서는 과징금 상한선이 '전체 매출액의 3% 이하'였으나 이번 개정으로 '반복적이거나 중대한 위반행위'에 대해서는 상한선이 전체 매출액의 10%까지 대폭 상향됐다. 이는 글로벌 최고 수준의 개인정보 규제로 꼽히는 유럽연합(EU)의 일반개인정보보호법(GDPR) 과징금 상한선(전체 매출의 4%)을 훌쩍 뛰어넘는 강력한 제재다. 10% 과징금이 적용되는 '중대 위반'의 기준도 명확히 했다. 최근 3년간 고의 또는 중과실로 위반 행위를 반복한 경우나 1000만명 이상의 대규모 피해를 초래한 경우 그리고 시정명령을 불이행해 유출 사고가 발생한 경우 등이 이에 해당한다. 글로벌 빅테크는 물론 국내 대형 플랫폼과 통신사 등 국민 대다수를 회원으로 둔 기업들에게는 사활이 걸린 리스크가 생긴 셈이다. ◆ '유출 가능성'만 있어도 즉시 통지…랜섬웨어 피해도 포함 개인정보 유출에 대한 기업의 대응 매뉴얼도 전면 개편된다. 과거에는 기업이 내부 조사를 거쳐 '유출 사실이 확실히 확인된 후'에야 정보주체(이용자)에게 통지하는 경우가 많아 피해를 키운다는 지적이 잇따랐다. 앞으로는 '유출 등의 가능성이 있음을 알게 된 때' 즉시 이용자에게 알려야 한다. 사고 초기부터 이용자가 비밀번호를 변경하거나 2차 금융 사기에 대비할 수 있는 골든타임을 확보하기 위함이다. 또한 유출의 개념을 확장해 랜섬웨어 공격 등으로 인한 개인정보의 위조·변조·훼손도 신고 및 통지 대상으로 명문화했다. 데이터를 외부로 빼돌리지 않고 내부 서버를 암호화해버리는 최신 사이버 범죄 트렌드를 법망 안으로 끌어들인 것이다. 더불어 기업은 유출 통지 시 이용자에게 손해배상 청구나 분쟁조정 신청 등 구체적인 피해 구제 방법도 의무적으로 안내해야 한다. 내부 책임 구조의 변화는 기업 지배구조에 상당한 파장을 예고한다. 개정법은 CEO를 개인정보 처리 및 보호의 '최종 책임자'로 규정하고 관리·감독 의무를 법에 명시했다. 보안 사고 발생 시 경영진이 책임을 회피할 수 있는 퇴로를 원천 차단한 것이다. 최고개인정보책임자(CPO)의 위상도 대폭 강화된다. 일정 규모 이상의 기업은 CPO를 지정하거나 해임할 때 반드시 이사회 의결을 거치고 개인정보위에 신고해야 한다. CPO에게는 전문 인력 관리와 예산 확보 권한이 부여되며 관련 사항을 대표와 이사회에 직접 보고하도록 의무화했다. CPO가 경영진의 눈치를 보지 않고 독립적인 보안 통제 타워 역할을 수행할 수 있도록 제도적 방패막이를 쳐준 조치다. 산업계는 바짝 긴장하면서도 전사적인 보안 체계 재구축에 돌입할 전망이다. 징벌적 과징금이라는 거대한 '채찍'과 함께 사전 예방 투자에 대한 '당근'도 명확해졌기 때문이다. 개정안은 기업이 개인정보 보호를 위해 예산과 인력 및 설비를 선제적으로 투자하고 운영한 사실이 입증되면 고의·중과실이 아닌 이상 과징금을 필수적으로 감경해주도록 규정했다. 보안업계 전문가는 이번 개정안이 정보보안 시장의 퀀텀점프를 이끌 것으로 내다본다. 과징금 폭탄을 피하기 위해 대기업뿐만 아니라 중견기업들까지 보안 솔루션 도입과 인프라 확충에 지갑을 열 수밖에 없는 구조가 형성됐기 때문이다. 또한 2027년부터 주요 기관의 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증이 의무화됨에 따라 관련 컨설팅 및 시스템 통합(SI) 산업도 특수를 누릴 것으로 예상된다. 결국 다가오는 9월은 대한민국 산업계가 '데이터 수집을 통한 이윤 창출'에서 '안전한 데이터 관리를 통한 신뢰 확보'로 체질을 완전히 바꾸는 분수령이 될 전망이다.2026-03-09 18:38:31
많이 본 뉴스
영상
Youtube 바로가기
![[사설] 출국금지는 풀고, 책임은 남지 않았다](https://image.ajunews.com/content/image/2026/07/17/20260717121609620090_518_323.jpg)