개인정보유출 유형과 과징금

개인정보보호위원회는 2026년 상반기 동안 민간기업과 공공기관을 가리지 않고 개인정보 유출 사건에 대한 제재를 연이어 의결하였습니다. 유출 유형은 크게 세 가지로 나뉩니다. 첫째, 외부 해킹으로 인한 유출입니다. 락앤락은 2022년에 공개된 보안 취약점을 패치하지 않고 관리자 계정에 동일한 비밀번호를 사용하다 두 차례 해킹을 당해 약 130만 명의 개인정보가 유출되었고, 과징금 5억 300만 원과 과태료 540만 원을 부과받았습니다. 행정안전부가 운영하는 '정부24'는 해커 공격으로 57만 5,000여 건의 개인정보가 유출되어 과징금 2억 7,300만 원과 과태료 750만 원 처분을 받았습니다. 둘째, 내부자(전·현직 직원) 또는 불법 장치를 통한 유출입니다. KT는 불법 펨토셀을 통해 개인정보가 유출된 사건으로 안전조치 의무 위반이 인정되어 과징금 539억 7,900만 원을 부과받았습니다. 쿠팡은 중국인으로 추정되는 전직 내부 직원이 해외 서버를 통해 서버에 접근해 약 3,755만 명의 개인정보를 유출한 사건에서, 인증 서명키 관리 및 접근통제 소홀 등 안전관리 체계 미흡이 확인되어 역대 최대 규모인 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과받았습니다. 셋째, 유출 통지 지연 및 안전조치 미흡입니다. 결혼정보업체 듀오는 정회원 42만 7,464명의 개인정보(이혼 사유 등 민감 정보 포함)가 유출되었음에도 1년 3개월간 유출 사실을 통지하지 않아 과징금 11억 9,700만 원과 과태료 1,320만 원을 부과받았습니다. 한편, 공공기관과 민간기업 간 과징금 격차가 크다는 지적도 제기되고 있습니다. 공공기관에 부과된 최대 과징금은 7억 300만 원 수준인 반면 민간기업에는 수천억 원대 처분이 이루어져, 유출 건수와 피해 심각성을 연동한 법 개정이 필요하다는 의견이 나오고 있습니다. 개인정보보호위원회는 반복적·중대한 침해 행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하는 「개인정보 보호법」 시행령 개정안을 마련하여 2026년 9월부터 시행할 예정입니다.