대규모 개인정보 유출, 집단소송제 도입 필요성 부각…CI·결제이력 등 20개 항목 70종 유출

핵심 요약

- 과기정통부가 2026년 9월 3일 공개한 개인정보 유출 사고에서 CI(연계정보), 결제이력 등 20개 항목 70종의 민감한 개인정보가 유출됨 - 주민등록번호를 대체하는 고유 식별값인 CI 유출로 개인정보 침해의 심각성이 더욱 부각 - 개인정보 침해 피해자 구제를 위한 집단소송제 도입 검토 필요성이 제기되며, 실효성 있는 피해 구제 방안 마련이 시급한 상황

주요 내용

2026년 9월 3일 과학기술정보통신부가 공개한 개인정보 유출 사고는 그 규모와 심각성 측면에서 주목할 만합니다. 이번 사고에서는 CI(Connecting Information, 연계정보), 결제이력을 포함해 총 20개 항목 70종에 달하는 대규모 개인정보가 유출된 것으로 확인되었습니다. 특히 CI는 주민등록번호를 대체하여 개인을 식별하기 위한 고유값으로, 한번 유출되면 회복이 어려운 민감정보라는 점에서 피해의 심각성이 더욱 큽니다.

CI는 개인정보보호법 시행령에 따라 주민등록번호 수집·이용을 최소화하기 위해 도입된 대체 식별수단입니다. 각 개인에게 부여되는 고유한 암호화된 값으로, 서로 다른 기관 간 동일인 확인이 필요할 때 주민등록번호 없이도 본인 식별이 가능하도록 설계되었습니다. 그러나 이러한 CI가 유출될 경우 여러 서비스에서 동일인으로 추적될 수 있으며, 주민등록번호처럼 변경이 불가능하다는 한계가 있습니다.

현행 개인정보보호법 체계에서는 개인정보 유출 피해자가 개별적으로 손해배상을 청구해야 하므로, 소송 비용과 시간, 입증 책임 등의 부담으로 인해 실질적인 피해 구제가 어려운 실정입니다. 특히 대규모 유출 사고의 경우 개인당 피해액은 크지 않지만 피해자 수가 많아, 집단소송제가 없는 상황에서는 기업의 책임 있는 대응을 이끌어내기 어렵습니다.

이에 따라 증권 관련 집단소송제에 이어 개인정보 침해 분야에도 집단소송제를 도입해야 한다는 주장이 힘을 얻고 있습니다. 집단소송제는 소수의 대표 당사자가 다수의 피해자를 대신하여 소송을 제기할 수 있는 제도로, 개인정보 유출과 같은 대규모 침해 사고에서 실효성 있는 피해 구제 수단이 될 수 있습니다. 또한 기업들이 개인정보 보호에 더욱 철저히 대응하도록 하는 예방적 효과도 기대할 수 있습니다.

전문가 시각

ISMS-P 선임심사원으로서 이번 사고를 분석하면, 가장 우려되는 부분은 CI와 같은 고유 식별정보의 유출입니다. 많은 기업들이 주민등록번호 수집을 줄이고 CI를 활용하는 것을 '개인정보 보호 강화'로 인식하지만, CI의 관리 수준이 주민등록번호와 동등하게 이루어지지 않는 경우가 많습니다. CI는 법적으로 고유식별정보는 아니지만, 실질적으로는 개인을 특정할 수 있는 민감한 정보이므로 암호화, 접근통제, 전송 시 보안 등 최고 수준의 보호조치가 필요합니다.

기업 입장에서는 집단소송제 도입 가능성을 고려하여 개인정보 보호 투자를 재검토해야 할 시점입니다. 현재는 과징금과 과태료, 개별 손해배상 정도가 위험 요소였다면, 집단소송제가 도입되면 수십억 원 이상의 배상 책임이 발생할 수 있습니다. 따라서 사후 대응보다는 사전 예방에 집중해야 하며, ISMS-P 인증 취득 및 유지를 통해 체계적인 개인정보 보호 관리체계를 구축하는 것이 비용 효율적인 위험 관리 전략이 될 것입니다.

ISMS-P 심사원 체크포인트

1. 2.8.1 개인정보 수집 시 보호조치 (필수)
- CI는 고유식별정보에 준하는 보호조치 적용 여부 확인
- 수집 시 암호화 전송(TLS 1.2 이상), 저장 시 일방향 암호화 또는 안전한 암호 알고리즘(AES-256 등) 적용 여부
- 개인정보보호법 제24조의2(고유식별정보의 안전성 확보조치) 수준의 보호 적용 권고
- 결제이력의 경우 신용정보법상 민감정보에 해당할 수 있으므로 별도 동의 및 암호화 저장 의무 준수 여부 점검

2. 2.9.3 개인정보 접근통제 (필수)
- CI 및 결제이력 등 민감정보에 대한 접근권한 최소화 원칙 적용 여부
- 업무 목적별 접근권한 분리, 2단계 인증, 접근 이력 로그 기록 및 주기적 검토
- 개인정보보호법 제29조(안전조치의무) 및 시행령 제30조에 따른 접근권한 관리 준수
- 특히 20개 항목 70종이라는 대규모 정보 유출은 내부자 접근통제 미흡 가능성 시사

3. 2.10.4 개인정보 유출사고 대응 (필수)
- 유출 사실 인지 후 5일 이내 정보주체 통지 및 과기정통부(개인정보보호위원회) 신고 이행 여부
- 개인정보보호법 제34조(개인정보 유출 통지 등) 준수 확인
- 유출 원인 분석, 재발 방지 대책 수립, 피해 최소화 조치의 적절성 평가
- CI 유출의 경우 연계된 다른 서비스에 대한 2차 피해 가능성 검토 및 통지 필요

CPPG·ISMS-P 연계 포인트

CI(연계정보)의 법적 성격과 보호 수준
CI는 개인정보보호법상 '고유식별정보'로 명시되지 않았으나, 실질적으로 개인을 식별할 수 있는 정보입니다. CPPG 시험에서는 고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인등록번호)와 구별되는 개념으로 출제되지만, 실무에서는 동등한 수준의 보호조치(암호화, 접근통제, 유출 통지)를 적용해야 합니다. ISMS-P 심사 시 CI 보호 수준이 고유식별정보에 준하는지를 중점적으로 확인합니다.

집단소송제와 손해배상 책임의 범위
현행 개인정보보호법 제39조는 개인정보처리자의 고의·과실에 의한 손해배상 책임을 규정하고, 제39조의2는 법정손해배상제도(최소 300만원)를 도입했습니다. 집단소송제가 도입되면 소액 다수 피해자의 청구권이 집단화되어 기업의 배상 책임 규모가 대폭 증가할 수 있습니다. ISMS-P 인증은 안전조치 의무 이행의 증거로 활용되어 과실 인정 범위를 줄이는 데 도움이 될 수 있으므로, 위험 관리 차원에서 인증 취득의 중요성이 더욱 커지고 있습니다.