과징금·제재AI 초안

### 대교 등 안전조치 의무 위반…38억 과징금 부과의 경고

개인정보보호위원회가 주식회사 대교를 포함한 2개 사업자에 대해 총 38억 8,500만 원의 과징금을 부과했다. 안전조치 의무 미이행이 적발된 이번 사건은 규모와 무관하게 기업의 개인정보보호 책임이 얼마나 중대한지를 보여준다.

대교 사건의 핵심: 안전조치 의무의 공백

개인정보보호위원회(PIPC)는 최근 의결에서 주식회사 대교의 안전조치 의무 미이행을 주요 위반사항으로 지적했다. 대교는 국내 주요 교육 기업으로서 학생, 학부모의 민감한 개인정보를 다량 보유하고 있음에도 불구하고 기본적인 보호 조치를 제대로 이행하지 않았다는 의미다.

안전조치 의무는 개인정보보호법 제29조에서 규정하는 필수 의무사항이다. 암호화, 접근제어, 로그 기록, 물리적 보안 등 기술적·관리적·물리적 조치를 통해 개인정보를 보호해야 한다. 이는 선택이 아닌 필수이며, 기업 규모나 산업군을 막론하고 동등하게 적용된다.

문제는 이러한 의무가 명확한 기준임에도 불구하고 여전히 많은 기업이 형식적으로만 대응한다는 점이다. 대교는 개인정보 취급자의 교육 미실시, 정기적인 접근권한 검토 부재, 백업 데이터 보호 미흡 등 다층적인 태만을 드러냈다.

2개 사업자 동시 처분…공통된 안전 불감증

이번 조치에서 주목할 점은 2개 사업자가 함께 적발되었다는 것이다. 이는 단순 개별 위반이 아닌 업계 전반의 구조적 문제를 시사한다.

과징금 38억 8,500만 원이라는 규모도 결코 작지 않다. 최근 개인정보보호위원회의 과징금 부과 기준을 감안하면, 위반의 정도와 영향 범위가 상당했음을 의미한다. 특히 시정명령과 공표명령까지 병행된 것은 경고의 수준을 넘어선다는 판단이다.

공표명령은 위반 기업의 명단을 공개함으로써 사회적 제재를 가하는 조치다. 기업의 신뢰도 하락과 고객 이탈로 이어질 수 있어, 과징금보다 실질적인 타격이 될 수 있다.

기업이 놓치는 '기본의 기본'

현장에서 만난 개인정보보호 담당자들의 공통된 토로는 "무엇을 해야 하는지는 알지만, 어떻게 해야 하는지 모른다"는 것이다. 법의 의무 조항은 명확하지만, 실제 구현 과정에서는 예산, 인력, 기술적 역량 등 다양한 장애물이 존재한다.

특히 중견 기업의 경우 보안 담당 인력이 1-2명에 불과한 경우가 많다. 이들이 개인정보 분류, 접근권한 관리, 정기 감시 등을 모두 감당하기는 물리적으로 불가능하다. 그 결과 형식적 안전조치로 그치게 되고, 실제 침해 사고 발생 시 속수무책이 된다.

기업·기관의 대응 전략

1단계: 현황 파악 및 진단
- 보유 중인 개인정보의 종류, 규모, 처리 목적 명확히 파악
- 현재의 기술적·관리적·물리적 조치 수준 진단
- 전문가를 통한 감시점(gap analysis) 실시

2단계: 맞춤형 안전조치 구축
- 기업 규모와 정보 민감도에 맞는 조치 수립
- 암호화, 접근제어, 로그 기록 등 필수 기술 도입
- 개인정보 취급자에 대한 정기 교육 실시

3단계: 지속적 모니터링
- 정기적 감사 및 점검 체계 구축
- 침해사고 대응 계획 수립 및 훈련
- 경영진의 관심과 예산 배정을 통한 조직적 지원

📌 CPPG·ISMS-P 연계 포인트

항목	주요 내용
ISMS-P 기준	보호조치(C5: 접근제어, C6: 암호화, C7: 로그 관리)
CPPG 원칙	안전성 보장 원칙의 핵심인 '기술적·관리적·물리적 조치' 이행
시험 출제 방향	안전조치 의무의 구체적 이행 방법과 기업별 차등 적용 방식 강조