PIS FAIR 2026 동시 개최 행사로 열려...서울시 산하 지자체 및 기관의 개인정보보호 역량 강화

[보안뉴스 원병철 기자] 서울시가 산하기관과 서울시 지자체의 개인정보보호 역량 강화를 위한 ‘서울시 개인정보보호 포럼’을 개최했다. 국내 최대 규모의 개인정보보호 행사인 ‘제15회 개인정보보호 페어 & CPO 워크숍’(PIS FAIR 2026)의 동시 개최 행사로 열린 이번 행사는 ‘생성형 AI 시대 개인정보 어떻게 지킬까’를 주제로 진행됐다.


▲서울시 개인정보보호 포럼 [출처: 보안뉴스]

행사의 시작은 강옥현 서울시 디지털도시국장이 열었다. 강옥현 국장은 “오늘 행사는 인공지능 변화의 시대에 개인정보보호와 과제, 전문성 나누고 의견을 나누는 자리”라면서, “AI 기술의 발전으로 산업 전반에 혁신이 일어났지만, 동시에 개인정보 수집과 이용 등에서 발생할 수 있는 위협 요소가 복잡해졌다”고 강조했다.

아울러 “이제 모든 기획 단계부터 사전 예방 중심으로 구축하는 것이 중요해졌으며, 개인정보보호가 디지털 신뢰를 확보하기 위한 핵심 경쟁력으로 자리 잡았다”면서, “오늘 실질적 지혜와 해법이 공유됨으로써 각 기관의 정보보호 역량이 높아졌으면 한다”고 말했다.

공공기관도 신경 써야 하는 개정 개인정보 보호법
첫 번째 강연에서는 최경진 가천대 교수가 ‘최근 개인정보 보호법 규제 환경 변화에 따른 AX 시대 바람직한 대응 방안’을 주제로 발표했다. 최 교수는 “개정된 법에서 강화된 내용은 공공보다는 민간기업에 좀 더 영향을 미치지만, 공공기관도 꼭 신경 써야 할 부분이 분명히 있다”고 설명했다.

“예를 들면, 개인정보 유출 가능성이 있으면 통지하라는 내용은 민간은 물론 공공에서도 주의 깊게 봐야 합니다. 여기서 핵심은 ‘유출 등’으로, 기존에는 기밀성만을 중요하게 봤다면 이제는 무결성까지 따져봐야 하게 됐습니다. 아울러 정보 유출에 미치는 영향력과 위험도 등을 고려해야 합니다. 또한 징벌적 과징금도 상향됐는데, 공공기관에서는 정액과징금 50억 상향이 큰 부담으로 다가올 것입니다.”

최근 흐름이 예방중심 보호체계로 개편되고는 있지만, 예방은 쉬운 일이 아니다. 실제로 최근 공공부문 개인정보 유출 신고 건수는 지속적으로 증가 추세다. 이에 정부는 2026년 공공기관 개인정보 보호 수준 평가에서 개인정보보호법 위반으로 처분을 받은 공공기관에 대한 감점을 10점에서 20점으로 대폭 확대해 처분에 대한 실효성을 높일 계획이다. 또한 개인정보보호 법규 위반에 대한 징계권도 기준을 고시로 격상한 것도 주목할 상황이다.

최 교수는 “이제 공공기관도 최종 책임자의 책임이 명확해졌고, 사건·사고에 대한 제재도 강해진 만큼 개인정보보호에 대한 확실한 대책 마련이 시급하다”고 강조했다.

랜섬웨어 감염으로 부과된 최초의 제재
김진환 법률사무소 웨일앤썬 변호사는 ‘개인정보보호위원회의 최신 주요 의결사항과 업무상 유의점’을 주제로 주목해야 할 사건·사고를 알기 쉽게 정리했다.

2025년 9월 개인정보보호법 위반으로 테라스타와 아이스트로가 각각 과징금 500만원과 과태료 480만원을 부과받았다. 이 두 기업은 랜섬웨어 감염으로 제재를 받은 최초의 사례로, 서버가 랜섬웨어에 감염돼 데이터가 암호화돼 서비스에 문제가 발생했다. 다만 테라스타는 별도의 백업이나 대책이 없어 시스템을 재구축했으며, 아이스트로는 백업된 자료를 바탕으로 신속하게 복구해 개인정보 효용에 침해가 발생하지 않았다. 이에 개인정보위는 테라스타가 ‘개인정보를 훼손했다’고 판단하고 과징금을 부과했고, 아이스트로는 과태료만을 부과했다.

김 변호사는 “랜섬웨어 감염으로 인한 첫 번째 제재 사건이 나온 만큼, 이를 기준으로 다른 피해 기업도 제재를 받을 수 있다”면서, “특히 백업을 하지 않아 신속한 복구도 못 한 기업의 경우 서비스 이용 및 계약상 의무를 다하지 못했고, 고시도 위반했기 때문에 과징금을 부과받았다”고 설명했다.

또 금융권 L사 사건을 “금융기관이 주민등록번호 처리 위반 행위로 인해 개인정보 보호법에 따라 제재를 받은 사건”이라고 설명했다. 그동안 금융 분야 관계기관은 신용정보를 처리하는 자로서 신용정보법과 전자금융거래법 등 특별법을 적용받아 왔는데, 주민등록번호는 개인정보 보호법에 의해서만 규제되기 때문에 그 위반은 개인정보 보호법에 따른 제재대상이라는 설명이다.

CS 업무를 서비스하는 K사는 해커에 의해 4만명의 직원 개인정보가 유출돼, 과징금 35억3700만원과 과태료 420만원을 부과받은 사건도 있었다. 이 사건은 임직원 등 내부 정보 유출 사건임에도 정률과징금을 부과받은 최초의 사례다.

김 변호사는 “과거 정통망법에는 ‘이용자 개인정보’라는 단어 때문에 내부자 정보는 큰 문제가 되지 않았다”면서, “하지만 이용자란 단어가 빠지면서 이제는 개인정보 유출시 기본적으로 과징금 부과가 가능하다”고 설명했다.

이어 강유민 김·장 법률사무소 고문이 ‘인공지능 프라이버시 규제 동향과 대응’을 주제로 강연을 진행했으며, 김범수 연세대 교수는 ‘안전하고 신뢰할 수 있는 공공 AI 거버넌스’ 강연을 이어갔다. 마지막 시간에는 염흥열 순천향대 명예교수가 ‘인공지능 시대 보안과 프라이버시를 위한 핵심 기술’ 강연을 진행했다.

[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>