HD현대 계열사·아동권리원, 개인정보 유출로 9.6억 철퇴…신고 의무 위반이 화 키웠다

개인정보보호위원회가 HD건설기계, HD한국조선해양, 국가아동권리보장원에 총 9억6,350만원의 과징금·과태료를 부과했다. 특히 국가아동권리보장원은 실종아동·입양인 등 민감정보 117만건 유출 후 법정 통지·신고 의무를 이행하지 않아 가중 제재를 받았다.

---

사건 개요: 대기업·공공기관 동시 제재

개인정보보호위원회(이하 개인정보위)는 최근 전체회의를 열고 HD현대 계열 2개사와 국가아동권리보장원에 대한 시정명령 및 과징금·과태료 부과를 의결했다.

HD건설기계와 HD한국조선해양은 개인정보 보호조치 의무 위반으로 제재를 받았다. 두 회사는 내부 시스템에 대한 접근통제 미흡, 개인정보 암호화 조치 부실 등 기술적·관리적 보호조치를 소홀히 한 것으로 확인됐다.

그러나 이번 제재에서 더욱 주목받는 것은 국가아동권리보장원 사례다. 해당 기관은 실종아동, 입양인, 보호대상아동 등 취약계층의 민감정보 117만여 건이 유출된 사실이 드러났다. 문제는 유출 사고 자체보다 사후 대응에 있었다.

핵심 쟁점: 통지·신고 의무 불이행이 제재 가중 요인

개인정보 보호법 제34조는 개인정보 유출 시 정보주체에게 지체 없이 통지하고, 1천 명 이상 유출 시 개인정보위에 신고하도록 규정하고 있다. 그러나 국가아동권리보장원은 이 법정 의무를 이행하지 않았다.

개인정보위 관계자는 "유출 사고 자체도 문제지만, 정보주체의 알 권리와 2차 피해 예방 기회를 박탈한 점이 더욱 중대한 위반"이라며 "특히 아동·입양인 등 사회적 약자의 민감정보라는 점에서 공공기관으로서의 책임이 더욱 무겁다"고 밝혔다.

실제로 신고·통지 의무 위반은 과징금 산정 시 가중 요소로 작용한다. 이번 사례에서도 보호조치 위반에 더해 사후 의무 불이행이 총 제재 금액을 크게 높인 것으로 분석된다.

공통 패턴: 예방 실패 + 대응 실패의 '이중 과실'

이번 제재 사례들에서 공통적으로 나타나는 패턴은 '사전 보호조치 미흡'과 '사후 대응 실패'가 결합된 이중 과실 구조다.

첫째, 사전 예방 단계에서 접근통제, 암호화 등 법령상 요구되는 안전성 확보 조치가 미흡했다. 둘째, 사고 발생 후에도 법정 기한 내 신고·통지를 이행하지 않아 피해 확산 방지 기회를 놓쳤다.

이는 많은 기업·기관이 개인정보보호를 '기술적 보안'에만 국한하고, 사고 발생 시 대응 절차를 체계화하지 않은 결과로 풀이된다.

기업·기관 대응 방안

1. 침해사고 대응 매뉴얼 수립: 유출 인지 시점부터 신고·통지까지의 타임라인과 담당자를 명확히 지정해야 한다.

2. 72시간 원칙 내재화: 개인정보 유출 인지 후 72시간 내 신고 의무를 조직 내 필수 프로세스로 정착시켜야 한다.

3. 정기 모의훈련 실시: 연 1회 이상 침해사고 대응 모의훈련을 통해 실제 상황 대응력을 점검해야 한다.

4. 민감정보 특별 관리체계 구축: 아동, 의료, 금융 등 민감정보를 처리하는 기관은 일반 개인정보보다 강화된 보호체계를 마련해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 유출 통지·신고 의무 (개인정보 보호법 제34조)

- 통지 대상: 유출된 정보주체 본인에게 지체 없이 통지

- 신고 대상: 1천 명 이상 유출 시 개인정보보호위원회 및 한국인터넷진흥원(KISA)에 신고

- 신고 기한: 정당한 사유 없는 한 72시간 이내

- 통지 항목: ①유출 항목 ②유출 시점·경위 ③피해 최소화 방법 ④대응조치 및 피해구제 절차 ⑤담당부서 연락처

- ISMS-P 연계: 2.12.1(침해사고 대응 절차), 2.12.2(유출사고 대응) 인증기준과 직결

---

백남정 기자 | 개인정보보호 전문