HD현대 계열사·국가아동권리보장원, 개인정보 위반으로 9억6천만원 철퇴

---

개인정보보호위원회가 HD현대 계열 2개사와 국가아동권리보장원에 총 9억6,350만원의 과징금·과태료를 부과했다. 특히 실종아동·입양인 등 민감정보 117만건을 유출하고도 법정 의무를 이행하지 않은 국가아동권리보장원에 대한 중징계가 주목된다.

---

사건 개요

개인정보보호위원회는 최근 전체회의를 열고 HD건설기계, HD한국조선해양, 국가아동권리보장원 등 3개 기관에 대한 제재 처분을 의결했다.

HD현대 계열사: 안전조치 의무 위반

HD건설기계와 HD한국조선해양은 개인정보보호법상 안전조치 의무 위반 혐의를 받았다. 두 기업은 개인정보처리시스템에 대한 기술적·관리적 보호조치를 소홀히 한 것으로 조사됐다. 이는 대기업 계열사임에도 불구하고 정보보호 투자와 내부 점검 체계가 미흡했음을 보여준다.

국가아동권리보장원: 117만건 유출 후 '침묵'

더욱 심각한 것은 국가아동권리보장원의 사례다. 해당 기관은 실종아동 및 입양인 관련 개인정보 117만건이 유출되는 대규모 침해사고를 겪었다. 문제는 유출 규모만이 아니다.

개인정보보호법 제34조에 따르면 개인정보처리자는 유출 사실을 인지한 즉시 정보주체에게 통지하고, 대규모 유출 시 개인정보보호위원회에 신고해야 한다. 그러나 국가아동권리보장원은 이러한 법정 통지·신고 의무를 이행하지 않았다. 아동·입양인이라는 취약계층의 민감정보를 다루는 공공기관으로서 더욱 엄중한 책임이 요구됨에도 기본적인 법적 의무조차 방기한 것이다.

---

공통 패턴 분석

이번 사례들에서 드러나는 공통점은 크게 세 가지다.

첫째, 사전 예방 체계의 부재다. 안전조치 의무 위반은 침해사고 발생 전 기술적·관리적 보호조치가 미흡했음을 의미한다. 접근통제, 암호화, 접속기록 관리 등 기본적인 보안 체계가 제대로 작동하지 않았다.

둘째, 사후 대응의 실패다. 국가아동권리보장원 사례는 침해사고 발생 후 법적 의무 불이행이 제재 수위를 높이는 결정적 요인이 됐음을 보여준다. 유출 자체보다 은폐 시도가 더 무거운 책임을 초래할 수 있다.

셋째, 공공기관의 안일함이다. 민간 기업뿐 아니라 공공기관에서도 개인정보보호에 대한 경각심이 부족한 현실이 드러났다.

---

기업·기관 대응 방안

이번 제재를 반면교사 삼아 다음과 같은 대응이 필요하다.

• 정기적 보안 점검 체계 구축: 안전조치 기준 준수 여부를 자체 감사하고, 취약점을 선제적으로 보완해야 한다.

• 침해사고 대응 매뉴얼 정비: 유출 인지 즉시 72시간 내 신고, 정보주체 통지 등 법정 절차를 명확히 숙지하고 훈련해야 한다.

• 개인정보보호 거버넌스 강화: CPO(개인정보보호책임자)의 권한과 독립성을 보장하고, 경영진의 관심과 투자를 확대해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제34조(개인정보 유출 등의 통지·신고)

- 유출 인지 시 지체 없이 정보주체에게 통지 (유출 항목, 시점, 대응조치 등)

- 1천명 이상 유출 시 개인정보보호위원회·전문기관에 신고

- 통지·신고 의무 위반 시 과태료 부과 대상

>

ISMS-P 인증기준 2.9.7(침해사고 대응)과 연계하여 학습 필요

---

백남정 기자 (privacy@newsdesk.kr)