- 대형 유출 19건 중 17건 위반…100만건 미만보다 15.7%p 높아
- 2025년 SKT 65.7%·2026년 상반기 쿠팡 75.9%... 단일 사고가 전체 유출 규모 좌우
- 2025년 처분 건수 9.7% 줄었지만 유출정보는 4816만개... 전년 대비 715% 증가
- “개인정보보호법 29조는 최소한의 방어선, 안전조치 의무 위반 추적관리해야”

김종민 의원(세종갑, 산업통상자원중소벤처기업위원회)이 개인정보 유출사고 처분 현황을 분석한 결과, 100만개 이상 대형 개인정보 유출사고 열에 아홉(89.5%)은 법으로 정한 안전조치 의무를 지키지 않은 것으로 드러났다.

김 의원이 개인정보보호위원회로부터 제출받은 「2021~2026년 6월 유출사고 처분 현황」에 따르면, 해당 기간 개인정보 유출로 처분된 525건 가운데 390건(74.3%)에서 개인정보보호법 제29조에 따른 안전조치 의무 위반이 확인됐다.

특히 100만개 이상 개인정보가 유출된 대형사고는 19건 중 17건(89.5%)에 달했다. 100만개 미만 유출사고의 위반 비율 73.8%보다 15.7%포인트 높은 수치다. 대형 유출사고일수록 개인정보를 보호하기 위한 기본적인 안전조치가 제대로 지켜지지 않은 비율도 높았던 것이다.

개인정보보호법 제29조와 관련 기준은 개인정보의 분실·도난·유출을 막기 위해 내부관리계획을 세우고, 개인정보에 대한 접근을 통제하며, 중요정보를 암호화하고 접속기록을 보관하도록 정하고 있다. 이러한 보호조치 가운데 하나 이상을 제대로 이행하지 않은 사실이 확인된 것이다.

최근에는 한 번에 수백만·수천만건의 개인정보가 유출되는 대형사고가 전체 유출 규모를 끌어올리고 있다. 2025년 처분된 사건에서 확인된 개인정보 유출은 총 4815만8734개로, 2024년 590만7863개의 약 8.2배였다. 같은 기간 처분은 103건에서 93건으로 9.7% 감소했지만 유출 규모는 715% 증가했다.

2025년에는 SK텔레콤 사건의 개인정보 유출 규모가 3164만4648개로 전체의 65.7%를 차지했다. 2026년 6월까지 처분된 사건에서도 쿠팡 한 곳의 유출 규모가 3322만2472개로, 전체 4374만3251개의 75.9%에 달했다. 2025년과 2026년 상반기 모두 단일 대형사고가 전체 개인정보 유출 규모의 3분의 2 이상을 차지한 것이다.

이번 통계는 사고 발생연도가 아닌 개인정보위의 처분연도를 기준으로 집계됐다. 따라서 해당 연도에 발생한 사고 규모를 의미하지 않는다. 유출 건수에는 동일인의 정보가 여러 번 포함될 수 있어 실제 피해자 수와도 차이가 있다.

김종민 의원은 “대형 유출사고 10곳 중 9곳에서 안전조치 의무 위반이 확인됐고, 그 비율도 전체 유출사고보다 높았다”며 “대형 유출을 피할 수 없는 해킹으로만 치부할 것이 아니라, 개인정보를 보유한 기업과 기관이 기본적인 보호조치를 제대로 이행했는지부터 따져봐야 한다”고 밝혔다.

이어 김 의원은 “개인정보보호법 제29조가 정한 안전조치는 대규모 개인정보 유출을 막기 위한 최소한의 방어선”이라며 “대규모 개인정보처리시스템을 중심으로 안전조치 이행 여부를 사전에 점검하고, 미비점이 확인된 기관과 기업은 개선이 완료될 때까지 엄중 관리해야 한다”고 강조했다. / 끝

※ 첨부 : 1. 대형 개인정보 유출, 열에 아홉 안전조치 의무 위반
             2. 단일 대형사고가 전체 유출의 3분의 2 이상