HD현대 계열사·아동권리보장원, 민감정보 117만건 유출로 9.6억 철퇴

개인정보보호위원회가 HD건설기계, HD한국조선해양, 국가아동권리보장원 3개 기관에 총 9억6,350만원의 과징금·과태료를 부과했다. 특히 실종아동·입양인 등 민감정보 117만건을 유출하고도 법정 통지·신고 의무를 이행하지 않은 국가아동권리보장원에는 가중 제재가 적용됐다.

---

사례별 상세 분석

HD현대 계열사: 대기업 보안 관리체계의 허점

HD건설기계와 HD한국조선해양은 이번 제재를 통해 대기업 그룹사의 개인정보보호 관리체계에 구조적 취약점이 있음을 드러냈다. 두 계열사 모두 기술적·관리적 보호조치 미흡으로 인한 유출 사고가 발생했으며, 그룹 차원의 통합 보안 거버넌스 부재가 원인으로 지목된다.

개인정보보호위원회는 두 기업에 대해 접근통제 미비, 암호화 조치 부족 등 「개인정보 보호법」 제29조(안전조치의무) 위반 사항을 적시했다.

국가아동권리보장원: 민감정보 유출 후 의무 불이행으로 '가중 제재'

가장 심각한 사안은 국가아동권리보장원의 사례다. 실종아동, 입양인 관련 정보 등 민감정보 117만건이 유출됐음에도 불구하고, 해당 기관은 다음 두 가지 법정 의무를 이행하지 않았다.

위반 의무	근거 조항	내용
유출 통지	제34조 제1항	정보주체에게 지체 없이 유출 사실 통지
유출 신고	제34조 제3항	개인정보보호위원회 또는 전문기관 신고

특히 아동·입양인 정보는 「개인정보 보호법」상 민감정보에 해당해 유출 시 2차 피해 우려가 크다. 개인정보보호위원회는 의무 불이행에 대해 가중 제재를 적용, 엄중한 경고 메시지를 전달했다.

---

공통 패턴: 반복되는 '사후 대응 실패'

이번 3개 기관 사례에서 공통적으로 나타난 문제점은 다음과 같다.

첫째, 예방적 보안체계의 부재다. 접근권한 관리, 암호화, 이상행위 탐지 등 기본적인 안전조치가 미흡했다.

둘째, 침해사고 대응체계의 작동 실패다. 유출 인지 후 72시간 내 신고, 정보주체 통지 등 법정 절차를 준수하지 않아 제재가 가중됐다. 이는 단순 기술 실패가 아닌 거버넌스 실패를 의미한다.

셋째, 공공기관의 안일한 인식이다. 국가아동권리보장원은 취약계층 정보를 다루는 공공기관임에도 민간 기업보다 낮은 보안 의식을 보였다.

---

기업·기관 대응 방안

1. 침해사고 대응 매뉴얼 재정비
유출 인지 즉시 가동되는 비상대응체계를 구축하고, 72시간 내 신고·통지 프로세스를 명문화해야 한다.

2. 정기적 모의훈련 실시
연 1회 이상 침해사고 대응 모의훈련을 통해 실제 상황 대응 역량을 점검해야 한다.

3. 민감정보 특별 관리체계 도입
아동, 의료, 금융 등 민감정보를 취급하는 기관은 별도의 강화된 접근통제 및 암호화 정책을 적용해야 한다.

4. 그룹사 통합 보안 거버넌스 구축
대기업 그룹은 계열사별 분산 관리가 아닌, 그룹 차원의 개인정보보호 컨트롤타워를 운영해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 유출 통지·신고 의무 (법 제34조)

- 통지 대상: 1,000명 이상 유출 시 정보주체에게 지체 없이 통지

- 신고 대상: 개인정보보호위원회 또는 한국인터넷진흥원(KISA)

- 신고 기한: 정당한 사유 없으면 72시간 이내

- 가중 제재 사유: 통지·신고 의무 불이행 시 과징금 산정 시 가중 요소로 작용

>

ISMS-P 인증 심사 시 '침해사고 대응 절차'의 실효성이 핵심 점검 항목임을 기억하자.

---

[백남정 기자 / privacy@newsroom.kr]