HD현대그룹 2개 계열사, 안전조치 의무 위반으로 과징금 5.7억 원 부과

핵심 요약

- 개인정보보호위원회가 HD현대일렉트릭과 HD현대머티리얼즈에 총 5억 7,100만 원의 과징금과 2,760만 원의 과태료 부과 - HD현대일렉트릭은 퇴직자 등 1,098명의 불필요한 접근권한을 최장 10년간 방치하여 4억 8,400만 원 과징금 - HD현대머티리얼즈는 개인정보처리시스템에 보안프로그램 미설치로 8,700만 원 과징금 및 시정명령

주요 내용

개인정보보호위원회(위원장 고학수)는 2026년 8월 27일, 개인정보 안전조치 의무를 위반한 HD현대그룹 소속 2개 사업자에 대해 제재를 의결했다고 밝혔다.

HD현대일렉트릭(구 HD현대중공업)은 개인정보처리시스템에 대한 접근권한 관리를 소홀히 한 것으로 드러났다. 조사 결과, 이 회사는 2013년 10월부터 2023년 9월까지 약 10년간 퇴직자 등 불필요한 계정 1,098개의 접근권한을 방치했다. 특히 해당 계정들은 임직원 약 32만 명의 성명, 주민등록번호, 주소, 전화번호 등 민감한 개인정보에 접근 가능한 상태였다. 개보위는 이에 대해 4억 8,400만 원의 과징금과 2,310만 원의 과태료를 부과하고 시정명령을 내렸다.

HD현대머티리얼즈는 개인정보처리시스템에 필수적인 보안프로그램을 설치하지 않은 것으로 확인됐다. 2021년 9월부터 2023년 9월까지 약 2년간, 임직원 약 6만 8천 명의 성명, 주민등록번호 등이 저장된 시스템에 악성프로그램 등을 탐지·차단할 수 있는 보안프로그램을 설치하지 않아 개인정보 유출 위험에 노출됐다. 개보위는 8,700만 원의 과징금과 450만 원의 과태료를 부과하며 시정명령했다.

개보위는 "대규모 개인정보를 처리하는 기업일수록 안전조치 의무를 철저히 이행해야 한다"며, "특히 접근권한 관리와 보안프로그램 설치는 개인정보 보호의 기본"이라고 강조했다.

전문가 시각

이번 사례는 ISMS-P 인증을 받은 대기업에서도 기본적인 안전조치가 장기간 방치될 수 있다는 점을 보여준다. 특히 HD현대일렉트릭의 경우 10년간 퇴직자 계정을 방치했다는 점은 심각한 내부통제 실패를 의미한다. 실무적으로 인사시스템과 정보시스템 간 연동이 제대로 이루어지지 않았거나, 주기적인 접근권한 검토 프로세스가 형식적으로 운영되었을 가능성이 크다. 기업들은 퇴직·전보·휴직 등 인사 변동 시 실시간 권한 회수 체계를 구축하고, 최소 분기 1회 이상 전수 점검을 수행해야 한다.

HD현대머티리얼즈의 보안프로그램 미설치 사례는 더욱 기초적인 문제다. 개인정보보호법 시행령 제30조는 악성프로그램 방지 조치를 명시하고 있으며, ISMS-P 인증심사에서도 필수 점검 항목이다. 클라우드 전환, 레거시 시스템 운영 등 다양한 이유가 있을 수 있으나, 보안프로그램 미설치는 어떠한 경우에도 정당화될 수 없다. 기업들은 전체 개인정보처리시스템 목록을 작성하고, 각 시스템별 보안프로그램 설치 현황을 매핑하여 관리해야 한다.

ISMS-P 심사원 체크포인트

1. 접근권한 관리 (ISMS-P 2.8.2 / 개인정보보호법 제29조)
- 인증심사 시 인사DB와 개인정보처리시스템 계정 목록을 대사(對査)하여 퇴직자·장기휴직자 계정 존재 여부 확인
- 접근권한 부여·변경·말소 절차의 실제 이행 증적(이메일, 결재문서, 시스템 로그) 샘플링 검증
- 최소 분기 1회 이상 접근권한 전수 점검 기록 및 부적절한 권한 발견 시 조치 이력 확인
- 특히 관리자 권한, DB 직접 접근 권한 등 고위험 권한에 대한 별도 관리 체계 존재 여부 점검

2. 악성프로그램 방지 (ISMS-P 2.6.3 / 개인정보보호법 시행령 제30조 제1항 제2호)
- 모든 개인정보처리시스템(서버, PC, 모바일 등)에 백신 등 보안프로그램 설치 현황 전수 확인
- 보안프로그램 패턴 업데이트 주기 및 실제 업데이트 로그 점검
- 가상화·컨테이너 환경, 리눅스 서버 등 특수 환경에서도 적절한 보안 통제 적용 여부 확인
- 보안프로그램 예외 설정 목록 및 승인 근거 검토

3. 개인정보처리시스템 현황 관리 (ISMS-P 2.3.2)
- 전사 개인정보처리시스템 목록의 완전성·정확성 검증 (숨겨진 시스템, 그림자 IT 존재 가능성)
- 각 시스템별 보안 통제 적용 현황 매트릭스 작성 및 관리 실태 확인

위반 조항

HD현대일렉트릭
- 개인정보보호법 제29조(안전조치의무): 개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 해야 함
- 개인정보보호법 시행령 제30조 제1항 제3호: 개인정보처리시스템에 대한 접근권한의 관리
- 과징금: 4억 8,400만 원 (제34조의2 제1항 제4호)
- 과태료: 2,310만 원 (제75조 제2항 제5호)

HD현대머티리얼즈
- 개인정보보호법 제29조(안전조치의무)
- 개인정보보호법 시행령 제30조 제1항 제2호: 컴퓨터바이러스 등 악성프로그램 방지·치료 조치
- 과징금: 8,700만 원 (제34조의2 제1항 제4호)
- 과태료: 450만 원 (제75조 제2항 제5호)

CPPG·ISMS-P 연계 포인트

1. 안전조치 의무의 기술적 조치
개인정보보호법 제29조 및 시행령 제30조는 기술적 조치로 ①암호화 ②접근통제 ③접속기록 보관 ④악성프로그램 방지 ⑤물리적 접근 방지를 규정한다. 특히 접근권한 관리는 '최소권한 원칙', '직무분리 원칙', '정기적 재검토'가 핵심이며, CPPG 시험에서 자주 출제되는 영역이다. 퇴직자 계정 방치는 '불필요한 개인정보 접근 가능성'을 의미하므로 안전조치 의무 위반의 전형적 사례로 분류된다.

2. 과징금과 과태료의 병과
개인정보보호법은 제34조의2(과징금)와 제75조(과태료)를 별도로 규정하여 동일 위반행위에 대해 병과가 가능하다. 과징금은 위반행위로 인한 경제적 이득 환수 및 제재 목적이며, 과태료는 의무 불이행에 대한 행정질서벌이다. 이번 사례처럼 안전조치 의무 위반 시 두 제재가 모두 부과될 수 있음을 이해해야 한다. ISMS-P 인증심사에서도 법적 제재 이력은 중요한 참고 사항이 된다.

---

작성: 백남정 박사 (ISMS-P 선임심사원 30회, 공학박사)
PrivacyNews.kr AI Editor