개인정보 유출 신고 3년 새 2.7배…전문 조사인력 확충 '한계'

유출 신고 2022년 167건→2025년 447건

대형 사고에 조사 역량 집중…일부 기업 조사 수개월째 이어져

[사진=게티이미지뱅크]

쿠팡·SK텔레콤·KT 등 대규모 개인정보 유출 사고가 잇따르면서 개인정보보호위원회(개인정보위)의 사고조사 업무도 늘고 있다. 하지만 사고조사 담당 전문 인력은 턱없이 부족하다. 해외처럼 외부 전문가들과 공조하는 방안을 고민할 필요가 있다는 의견들이 나온다.

16일 개인정보위에 따르면 개인정보 유출 신고 건수는 2022년 167건에서 2023년 318건, 2024년 307건, 2025년 447건으로 증가했다. 올해는 상반기에만 432건이 접수됐다. 지난해 연간 신고 건수 대비 96.6%에 달하는 규모다.

반면 사고조사를 담당하는 조사 인력은 2022년 31명 수준에서 지난해 말 43명, 올해 8월 47명으로 증가하는 데 그쳤다. 늘어난 조사 인력 중 11명은 실태점검과 예방 업무를 담당한다. 전문 조사 인력은 6명에 불과하다. 총 37명이 국내에서 발생한 모든 해킹 사고들을 조사한다.

2022년에는 전체 조사인력 기준 1인이 한 해 동안 개인정보 유출 5.4건을 조사해야 했다. 2025년에는 10건으로 증가했다. 올해는 더 늘었다. 상반기에만 1인당 9건에 달하는 개인정보 유출건이 배정된 셈이다. 전문 조사 인력이 더 적다는 점을 감안하면 몇 안 되는 전문 조사 인력들이 한 달에 2건 이상 개인정보 유출건을 조사하고 있다.

개인정보위 관계자는 최근 사고조사 난도도 높아지고 있다고 설명했다. 과거보다 정보기술(IT) 환경이 복잡해지면서 단순히 개인정보 유출 여부를 확인하는 데 그치지 않고 유출 경로와 데이터 흐름, 위탁·재위탁 관계, 행태정보 처리 등 다양한 쟁점을 함께 살펴봐야 하는 사건이 늘었다는 것이다. 이에 따라 한 사건에 투입되는 조사 인력과 조사 기간도 길어지고 있다.

초대형 해킹 사고가 터지면 거의 모든 조사 일정이 밀릴 수 밖에 없는 이유다. 외부 기관 손도 빌려야 할 정도다. SKT 사고 당시 개인정보위는 조사관에 한국인터넷진흥원(KISA) 인력을 더해 전담팀을 꾸렸다. 대형 사건에 인력을 집중할수록 상대적으로 규모가 작은 사건은 조사 시간이 더 걸릴 수밖에 없는 구조다.

지난해 9월 개인정보 유출 사고가 발생한 SK쉴더스 역시 아직 조사 결과를 내지 못했다. 대규모 사고가 잇따르면서 제한된 조사인력을 주요 사건에 우선 투입하다 보니 다른 사건 조사까지 장기화되고 있는 것이다.

전문인력을 새로 확보하는 것도 쉽지 않다. 공무원 정원은 행정안전부 승인이 있어야 늘릴 수 있고, 정원이 확보되더라도 실제 채용까지는 시간이 더 필요하다. 개인정보보호와 IT 기술을 함께 이해하는 전문인력을 외부에서 찾기도 채용하기도 어렵다. 개인정보위는 한정된 인력의 조사 효율을 높이는 데 힘쓰고 있지만 쉽지 않다. 

해외에서는 외부 전문가를 활용해 감독기관의 전문성을 보완하고 있다. 유럽연합(EU) 개인정보보호위원회(EDPB)는 전문가기술지원풀을 운영해 디지털 포렌식·클라우드·암호학 등 전문가를 각국 개인정보 감독기관의 조사·집행 업무에 지원하고 있다. 

개인정보위는 해외 제도를 국내에 그대로 적용하기는 어렵다고 설명한다. 개인정보위 관계자는 “개인정보위는 처분을 내리는 조직이라 외부 도움을 받기가 조심스러운 구조”라고 말했다. 외부 전문가가 조사 과정에 참여하면 사건 정보에 대한 보안은 물론 이해충돌과 제재 판단의 독립성 등을 함께 고려해야 한다고 말했다.