공공기관 개인정보 유출 901만 건 — 처분은 업무과실, 유출 규모는 해킹

공공기관이 개인정보 유출로 처분받은 사건은 2022년부터 2026년 8월까지 144건이었어요 처분서에 적힌 유출 규모는 901만 9,433건입니다

박성훈 의원(국민의힘, 정무위원회)이 10월 14일 개인정보보호위원회에서 받은 자료를 공개했어요 처분 건수로는 업무과실이, 유출된 개인정보 건수로는 해킹이 가장 많았습니다

공공기관 서류철과 서버에서 개인정보가 새어 나가는 장면을 표현한 개념 컷 — 출처: 개념 컷, agy 자가 생성

처분 144건의 원인

공공기관 유출 처분 144건의 원인별 건수 막대 차트 — 출처: 개인정보보호위원회 제출 자료 기반 자가 렌더

처분 144건 가운데 업무과실이 86건(59.7%)으로 가장 많았어요 해킹은 37건(25.7%), 시스템 오류 13건, 고의 유출 5건, 기타 3건입니다

박 의원은 공공기관에서 해킹보다 업무과실 유출이 훨씬 많다며 관리 체계를 점검해야 한다고 지적했습니다

해킹과 업무과실로 유출된 개인정보 건수 비교 막대 차트 — 출처: 개인정보보호위원회 제출 자료 기반 자가 렌더

처분 건수가 아닌 유출된 개인정보 건수로 비교하면 순위가 반대예요

해킹으로 유출된 정보가 600만 1,145건(약 66.5%)이에요 업무과실은 139만 3,766건(15.5%)입니다

이번 집계에서 업무과실은 처분이 더 많았지만 유출량은 해킹보다 적었어요 해킹은 처분 건수가 적었지만 유출된 정보량은 더 많았습니다

유출 규모 상위 세 기관의 합계는 약 546만 건으로 전체의 약 60%예요

2022년부터 2026년 8월까지 연도별 공공기관 유출 처분 건수 막대 차트 — 출처: 개인정보보호위원회 제출 자료 기반 자가 렌더

처분 건수는 2023년 47건으로 가장 많았어요 2026년은 8월까지 38건으로 2025년 한 해의 27건을 이미 초과했습니다

금전 제재는 과징금 33건 54억 265만 원, 과태료 97건 4억 6,400만 원이에요 합계는 약 58억 6,665만 원입니다

징계권고가 포함된 처분은 144건 중 9건(6.3%)이었어요

징계권고 비율은 개인정보위 처분서 기준이에요 기관이 자체적으로 내린 징계까지 포함한 집계는 아닙니다

같은 주 보건복지위원회 국정감사(10월 16일)에서는 국민건강보험공단 사례가 나왔어요

가입자와 피부양자 정보를 약 2년 6개월간 외부에 무단 제공하고 금품을 받은 직원이 7월 파면됐어요 석 달이 지나도록 피해자 통지는 없었습니다

공단은 수사가 진행 중이라 유출된 정보와 피해자를 특정하지 못했다고 밝혔어요 김기웅 의원은 조회 기록이 있는데도 피해자 통지를 지연하는 것을 납득하기 어렵다고 지적했습니다

개인정보 보호법 시행령 제39조는 유출을 알게 된 때부터 72시간 안에 정보주체에게 알리도록 정해요 늦출 수 있는 사유는 긴급한 차단과 회수 조치가 필요할 때와 천재지변 같은 부득이한 경우입니다

유출 항목이나 시점을 다 확인하지 못했어도 유출 사실과 그때까지 확인된 내용을 먼저 통지해야 해요 연락처를 모르면 홈페이지에 30일 이상 게시하는 것으로 통지를 대신할 수 있습니다

수사 중이라는 이유는 시행령에 적힌 지연 사유가 아니에요 개인정보위가 실제 처분에서 이 기준을 어떻게 적용할지는 아직 정해지지 않았습니다

72시간 통지와 유출 가능성 통지 제도는 9월 글에서 정리했어요

🔗 링크 첨부 - https://blog.naver.com/rottensweetpotato/224411377067

공공기관 유출 대상자가 지금 할 조치 네 가지 — 출처: KISA, 개인정보 보호법 시행령 기반 자가 렌더

유출 소식이 나오면 보상금을 준다며 기관을 사칭하는 문자가 발송되는 사례가 있어요 KISA는 정부 차원의 개별 보상 절차가 없고, 기관이 메신저로 피해보상을 접수하지 않는다고 안내했습니다

의심 문자는 카카오톡 채널 보호나라의 스미싱 확인 서비스에서 확인할 수 있어요

🔗 링크 첨부 - https://privacy.kisa.or.kr