개인정보위가 유출 사건 처리 기한을 12개월·6개월·3개월로 나눴다는데, 지금은 얼마나 걸리고 있을까?

01무슨 일인가

내 정보가 샜다는 문자를 받고 나서 회사가 어떤 처분을 받았는지 소식을 못 들은 적이 있다면, 조사가 어디쯤 가고 있는지 몰랐기 때문일 가능성이 커요. 개인정보보호위원회가 10월 2일 낸 보도자료 '개인정보 유출·침해사고, 더 빠르게 더 공정하게 더 투명하게 조사'는 그 기다림에 기한을 붙이는 내용이에요.

사건은 세 등급으로 나뉘어요. 100만 명 이상이 유출됐거나 사회적 관심이 큰 사건, 주요 공공시스템 해킹은 중요사건으로 12개월, 일반사건은 6개월, 경미사건은 3개월 안에 처리하는 것이 원칙이고, 중요사건에는 전담 조사단과 현장 대응반을 꾸려요.

조사가 길어지면 6개월 또는 12개월 단위로 진행 상황을 알리는 절차도 넣었어요. 경미사건은 중소·영세 사업자에게 최초 과태료를 면제하고, 처분을 앞당기려고 소위원회가 처리하는 사건 범위를 넓혀요.

02왜 이렇게 됐나

사건이 눈에 띄게 늘었어요. 개인정보위 자료에서 유출 신고는 2022년 167건, 2023년 318건, 2025년 447건이고, 올해는 상반기에만 432건이 들어왔어요. 아시아경제 보도에 따르면 지난해 유출 규모는 1억 355만 건으로 역대 최대였어요.

처분이 끝난 621건을 분석하니 유형도 갈려요. 민간에서는 해킹이 가장 많고, 공공에서는 업무 과실이 해킹보다 많았어요. 원인이 이렇게 다르면 사건마다 조사에 드는 시간도 다를 텐데, 등급을 나눠 기한을 따로 두는 방식이 나온 배경으로 읽혀요.

기다리는 시간은 오히려 늘었어요. 아시아경제가 전한 자료로는 조사를 시작해 처분하기까지 평균이 지난해 345일, 올해 상반기 369일이에요. 신고가 몰리는데 처리 속도가 따라가지 못한 흐름이에요.

함께 운영하는 곳

03이 숫자는 큰 건가

369일은 중요사건의 12개월 기한(약 365일)과 거의 맞닿아 있고, 일반사건의 6개월 기한(약 183일)과 견주면 약 2배예요. 다만 이 평균은 등급을 나누지 않고 낸 값이라서, 새 기한과 곧바로 맞대면 오해가 생겨요. 경미사건이 섞여 있는 평균이 이 정도라면, 일반사건 기한을 지키려면 속도가 크게 빨라져야 한다는 뜻이에요.

신고 건수로 보면 하루 약 2.4건이에요. 올해 상반기 432건을 181일로 나눈 값이고, 2022년 한 해 신고 167건의 약 2.6배가 반년 만에 들어온 셈이에요.

04지난번엔 어떻게 됐나

처분 건수는 이미 늘고 있었어요. 아시아경제 보도로는 지난해 처분이 421건으로 처음 400건을 넘었어요. 그런데도 평균 조사 기간은 올해 상반기에 369일로 길어졌으니, 처리 건수가 늘어도 신고 증가를 따라잡지는 못했어요.

새 기한이 적용된 사건의 결과는 아직 나오지 않았어요. 기한이 실제 처분을 앞당겼는지 견줄 앞선 사례는 없고, 다르게 읽는 해석도 이번에 확인하지 못했어요.

05나한테 뭐가 달라지나

내 정보가 유출됐다는 통지를 받았다면 그 사건이 어느 등급인지가 처분까지의 시계를 정해요. 100만 명 이상이면 중요사건이라 12개월이 목표이고, 작은 사업장의 일이라면 3개월 또는 6개월 안에 끝나는 것이 원칙이에요.

작은 가게나 중소 사업장을 운영한다면 이야기가 달라져요. 경미사건으로 분류되면 최초 과태료가 면제되고 기술 지원이 따라와요. 유출이 의심될 때는 개인정보침해 신고센터 118로 먼저 알리면 돼요.