개인정보보호위원회가 2025년 하반기 처분한 시정명령과 개선권고 등에 대한 이행점검 결과를 발표했다.
점검 대상 222건 가운데 211건이 이행됐거나 이행계획이 제출돼 전체 이행률은 약 95.0%로 나타났다. 개인정보위는 대규모 개인정보 처리자, 해외사업자, 공공기관 집중관리시스템 보유 기관 등을 대상으로 개인정보 보호법 위반 처분 이후 실제 개선이 이뤄졌는지를 서면과 현장점검 방식으로 확인했다.
이번 점검은 단순히 처분을 내리는 데 그치지 않고, 기업과 기관이 재발방지 대책을 실제로 마련했는지 확인하는 데 초점을 맞췄다. 개인정보위는 5월 13일 제9회 전체회의에서 2025년 7월부터 12월 사이 이행 기한이 도래한 93개 피심인의 222개 시정조치를 점검한 결과를 보고했다. 분야별로는 안전조치 의무 관련 조치가 79.9%로 가장 많았고, 개인정보취급자 관리·감독 5.3%, 주민등록번호 처리제한 3.3% 순이었다.
222건 중 211건 이행…안전조치 분야가 대부분
점검 결과 시정명령, 시정권고, 공표명령, 개선권고 등 222건 가운데 211건은 이행이 완료된 것으로 확인됐다. 나머지 11건은 아직 점검 중이다. 유형별로는 시정권고가 159건으로 가장 많았고, 시정명령 27건, 개선권고 21건, 공표명령 15건이었다.
분야별로 보면 안전조치 관련 시정조치가 175건으로 가장 큰 비중을 차지했다. 이 중 165건은 이행이 확인됐고, 10건은 점검 중이다. 개인정보취급자 관리·감독 관련 11건, 주민등록번호 처리제한 7건, 유출 통지·신고 4건은 모두 이행 완료로 분류됐다. 개인정보 보호 원칙 등 기타 분야는 25건 중 24건이 이행됐고 1건이 점검 중이다.
개인정보위는 이번 점검을 통해 개인정보처리자의 책임성을 높이고, 처분 결과가 실제 보호 수준 개선으로 이어지는지를 확인했다고 설명했다. 특히 대규모 유출 사고, 공공기관 집중관리시스템, 해외사업자의 주민등록번호 처리, 슈퍼앱 서비스의 개인정보 처리 관행 등 사회적 영향이 큰 분야를 중심으로 이행 여부를 살폈다.
SKT, 유심 인증키·중요정보 암호화 확인…EDR 설치는 추가 점검
대규모 개인정보 유출 사고와 관련해서는 에스케이텔레콤과 인크루트에 대한 재발방지 조치가 중점적으로 점검됐다. 개인정보위는 2025년 조사·처분 중 유출 규모가 가장 컸던 사례로 에스케이텔레콤 약 2,300만 건, 인크루트 약 720만 건을 언급했다.
에스케이텔레콤은 이동통신망 내 개인정보처리시스템을 식별하고 전수점검을 진행했다. 방화벽 정책 개선, 이상행위 탐지 강화, 계정권한 관리 솔루션 도입, 시스템 취약점 관리 강화도 이행한 것으로 확인됐다. 유심 인증키와 중요정보에 대한 암호화 조치도 완료된 것으로 점검됐다.
조직 차원의 개선도 확인됐다. 에스케이텔레콤은 개인정보보호책임자(CPO)가 IT와 인프라 영역에 제한받지 않고 개인정보 처리 자산을 관리·감독할 수 있도록 전사적 조직 체계를 정비했다. CPO 직무 독립성 보장, 실질적 권한 명문화, 전문성 강화를 위한 교육 프로그램 운영도 포함됐다. 개인정보 수탁자에 대해서도 정기 진단 체계와 체크리스트를 마련해 관리·감독 체계를 강화했다.
다만 모든 조치가 최종 완료된 것은 아니다. 에스케이텔레콤이 이행계획으로 제출한 실시간 감시·차단 EDR 설치, ISMS-P 인증 범위 확대, 거버넌스 체계 정비 등은 차기 이행점검까지 지속적으로 확인될 예정이다. 개인정보위는 현장점검을 통해 이행 완료로 제출된 안전조치와 보호체계 정비 사항은 확인했지만, 계획 단계로 제출된 조치는 2026년 12월까지 최종 이행 여부를 계속 점검할 방침이다.
인크루트, 추가 인증·망분리·트래픽 탐지 강화
인크루트는 개인정보 보호 관리체계를 구조적으로 개선하고 책임성을 높인 것으로 확인됐다. 조직 개편을 통해 CPO 조직의 독립성을 확보했고, 관련 자격과 경력을 갖춘 전문 CPO를 새로 지정해 책임 범위를 명확히 했다.
기술적 조치도 강화됐다. 서버 접근 시 추가 인증체계를 마련했고, 물리적 망분리 환경을 구축했다. 비정상 트래픽 모니터링 등 탐지 정책도 개선했다. 개인정보위는 4월 17일 현장점검을 통해 인크루트가 제출한 자료를 검증하고 이행 여부를 최종 확인했다.
인크루트는 유출 사고 이후 구직 활동과 관련된 각종 검사 서비스 피해 보상도 제공한 것으로 확인됐다. 개인정보위는 이 같은 조치를 개인정보 보호 관리체계 개선과 재발방지, 피해 회복 지원의 주요 사례로 제시했다.
공공기관 집중관리시스템, 접근권한·접속기록 관리 개선
공공기관 집중관리시스템에 대한 개선도 진행됐다. 개인정보위는 지난해 11월 공공기관 집중관리시스템에 대한 3년간의 전수점검을 마무리했다. 그 결과 시정권고를 받은 38개 기관 중 33개 기관이 이행을 완료했거나 이행계획을 제출했다.
주요 개선 내용은 접근권한 관리, 접근통제, 접속기록 관리에 집중됐다. 경찰청과 국토교통부 등은 인사 시스템의 인사정보와 개인정보처리시스템을 연계해 소속 부서 정보를 현행화하는 방식으로 접근권한 관리를 강화했다. 보훈부와 국민권익위원회 등은 비공무원 계정 발급 시 보안서약서를 받고 개인정보 보호 교육을 실시했다.
국민연금공단, 국군재정관리단, 해양경찰청 등은 시스템 이용기관이 소속 개인정보취급자의 접속기록을 조회할 수 있도록 기능을 개선했다. 농림축산검역본부와 과학기술기획평가원 등은 접속기록 중 이상행위를 모니터링하도록 했고, 국방부와 한국장애인고용공단 등은 이상행위에 대한 사전·사후 점검 절차를 강화했다.
개인정보위는 아직 이행계획 단계에 있는 5개 기관에 대해서는 연말까지 이행 여부를 지속적으로 확인할 계획이다. 예산 편성, 발주계획 등 실제 조치가 필요한 부분은 2026년 12월까지 모니터링을 이어간다.
해외사업자 주민등록번호 처리 제한도 점검
해외사업자의 주민등록번호 처리 제한 조치도 확인됐다. 쿠카엔터테인먼트(Qookka Entertainment)는 법적 근거 없이 주민등록번호를 처리하던 프로세스를 폐지하고, 주민등록번호 처리 금지 내용을 내부관리 계획에 반영했다. 엘리베이트 홍콩 홀딩스(Elevate hongkong holdings)는 개인정보 보호 관련 내부 지침을 개정해 주민등록번호 삭제 의무 규정을 마련했다.
개인정보위는 해외사업자가 국내 이용자 정보를 처리하는 과정에서 주민등록번호를 법적 근거 없이 수집·처리하지 않도록 내부지침과 관리계획 수정, 임직원 교육 실시 여부를 확인했다. 앞으로는 해외사업자 대상 안내서를 보완하고 제도적 관리도 강화해 불법적인 주민등록번호 처리를 줄여 나갈 방침이다.
네이버·카카오·쿠팡 등 슈퍼앱 개선권고 이행
슈퍼앱 서비스 사업자에 대한 개선권고 이행도 확인됐다. 대상은 네이버, 카카오, 쿠팡, 우아한형제들, 당근마켓 등 5개 사업자다. 이들은 지난해 7월 사전 실태점검 결과 개선권고를 받은 뒤 동의체계와 이용자 권리 보장 절차를 정비했다.
사업자들은 서비스 기본기능 제공 등 계약 이행에 필요한 개인정보 수집·이용에 대해 관행적으로 필수 동의를 받던 방식을 개선하고, 정보주체 고지 등 대체 방안을 마련했다. 데이터분석저장소 접근권한 부여 시 개인정보 보호 부서의 승인을 받도록 관리체계도 개선했다. 접속기록 보관·관리 등 내부통제도 강화했다.
이용자 권리 측면에서는 슈퍼앱 안에서 서비스별 탈퇴와 삭제가 가능하도록 구조를 정비했다. 개인정보 처리정지와 삭제 요구 절차도 개인정보 처리방침 등에 알기 쉽게 안내하도록 개선했다. 개인정보위는 데이터가 집중되고 결합되는 슈퍼앱 구조의 특성을 고려해 지속적인 개선을 유도할 계획이다.
월드코인·TFH, 아동연령 확인절차 도입…운영 과정은 계속 감시
월드코인과 티에프에이치(TFH)에 대해서는 아동연령 확인절차 도입과 개인정보 수집 동의 개선 등이 확인됐다. 개인정보위는 지난해 하반기 점검에 이어 추가 점검을 실시했고, 두 사업자가 시정조치를 이행한 것으로 판단했다.
다만 개인정보위는 실제 서비스 운영 과정까지 지속적으로 모니터링하겠다는 방침이다. 생체정보와 아동 개인정보 등 민감성이 높은 영역은 형식적인 절차 도입만으로 충분하지 않기 때문이다. 실제 현장에서 연령 확인 절차가 제대로 작동하는지, 이용자가 개인정보 수집 내용을 충분히 이해하고 동의하는지 등이 향후 점검의 핵심이 될 것으로 보인다.
처분 이후 실제 개선 여부 확인하는 사후관리 강화
이번 이행점검 결과는 개인정보 보호 정책의 무게중심이 처분 자체에서 사후관리와 예방 중심으로 이동하고 있음을 보여준다. 과징금이나 시정명령을 부과하는 것만으로는 개인정보 보호 수준이 실질적으로 높아지기 어렵다. 처분 이후 기업과 기관이 어떤 조직개편을 했는지, 어떤 기술적 조치를 도입했는지, 취급자 관리와 접근권한 통제가 실제로 개선됐는지 확인하는 절차가 중요해지고 있다.
특히 대규모 개인정보 유출 사고가 발생한 기업의 경우 단순한 시스템 보완을 넘어 CPO의 권한과 독립성, 개인정보 자산 관리 체계, 수탁자 관리·감독 구조까지 함께 점검되고 있다. 이는 개인정보 보호가 보안부서나 법무부서만의 업무가 아니라 전사적 거버넌스 문제라는 점을 보여준다.
개인정보위는 현재 점검 중인 7개 피심인에 대해서도 추가 확인과 이행 독려를 이어갈 예정이다. 대상에는 공공기관 집중관리시스템 안전조치 의무 관련 5개 기관, 개인정보 보호 교육 계획 수립과 실시가 필요한 솔파스튜디오, 인증 범위 확대 등 이행계획을 제출한 에스케이텔레콤이 포함됐다.
다만 이행계획 제출만으로 보호 수준이 개선됐다고 판단하기는 어렵기 때문에, 실제 시스템 적용 여부와 운영 과정의 지속성을 확인하는 후속 점검이 필요하다는 지적도 나온다. 특히 EDR 설치, 인증범위 확대, 공공기관 시스템 개선처럼 예산과 시간이 필요한 조치는 계획 단계에서 끝나지 않도록 완료 시점까지 관리해야 한다.
댓글
0