개인정보 유출 대비 손해배상책임보험 가입 의무대상 기관도 확정 못해
2021년~2024년 9월 내 개인정보 유출 기관 총 377개...민간 기관이 311개로 82.5% 차지
강민국 의원, “책임보험 제도 실효성 확보 위한 정책연구 및 영세업자 지원방안 검토해야”

[보안뉴스 김영명 기자] 개인정보보호위원회(이하 개인정보위)가 출범한 이래 4년여간 유출된 개인정보 건수가 공공기관에서 634만건, 민간에서 7,101만건 등 총 8,000만건에 육박하고 있는 가운데, 개인정보위는 개인정보 유출 대비 손해배상책임보험에 가입해야 할 의무대상 기관조차 확정하지 못하고 있는 것으로 확인됐다.


[이미지=gettyimagesbank]

국회 정무위원회 소속 강민국 의원실(국민의힘, 경남 진주시을)이 개인정보위에 자료요구를 통해 받은 ‘개인정보 유출 기관 및 유출 규모 현황’을 살펴보면, 개인정보위가 중앙행정기관으로 출범한 다음 해인 2021년~2024년 9월에 개인정보가 유출된 기관은 377개인 것으로 조사됐다. 개인정보위는 2020년 8월 중앙행정기관으로 출범했다.


▲최근 5년간 공공기관 및 민간 개인정보유출 기관 현황[자료=강민국 국회의원실]

유출기관을 민간과 공공기관으로 분류해 살펴보면, 민간은 311개로 82.5%를 차지했으며, 공공기관은 66개(17.5%)로 유출기관 10개 중 8개는 민간기관이었다. 연도별 유출 기관 수를 살펴보면 2021년 60개, 2022년 84개, 2023년 153개로 매년 급증하고 있다. 올해는 9월까지 80개 기관에서 개인정보가 유출됐다.

같은 기간 공공기관에서 유출된 개인정보의 수는 무려 7,735만 5,098건이었다. 세부적으로는 공공기관에서 634만 3,896건으로 8.2%를 차지했으며, 민간에서는 7,101만 1,202건으로 91.8%를 차지했다. 연도별 공공기관 및 민간 개인정보 유출 건수를 살펴보면, 2021년 4,724만 8,899건, 2022년 1,038만 4,064건, 2023년 1,463만 8,282건, 2024년 9월 508만 9,922건이었다.


▲최근 5년간 공공기관 및 민간 개인정보유출 건수 현황[자료=강민국 국회의원실]

특히 민간과 달리 공공기관에서의 개인정보 유출이 급증하고 있다. 공공기관 개인정보 유출은 2020~2021년에는 단 한 건도 없었지만, 2022년에는 1만 6,753건, 2023년 469만 2,414건으로 급증했다. 올해도 1월부터 9월까지 163만 4,729건의 개인정보가 공공기관에서 유출됐다.

개인정보 유출 사고가 급증한 만큼 유출 관련 과징금 규모도 상당한 수준이다. 2021년부터 2024년 9월까지 개인정보위가 의결한 개인정보 유출 관련 과징금은 총 254억 971만 3,000원으로 이 가운데 공공기관은 8억 5,775만원(3.4%), 민간기관 245억 5,196만 3,000원(96.6%)이었다. 연도별로는 2021년 15억 2,548만 6,000원, 2022년 15억 2,548만 6,000원, 2023년 148억 1,984만 1,000원, 2024년(9월말) 250억 3,496만 4,000원으로 급증하고 있다.


▲최근 5년간 공공기관 및 민간 개인정보유출 과징금 현황[자료=강민국 국회의원실]

개인정보위는 개인정보 유출로 인한 손해배상책임을 이행할 때 자금 조달이 어려운 사업체를 위해 2020년부터 개인정보 보호법(법률 제19234호) 제39조(손해배상책임)와 제39조의2(법정손해배상의 청구)에 따른 개인정보 손해배상 책임보험 가입을 의무화하고 있다. 가입 의무 대상은 전년도 매출액 등이 10억원 이상, 정보주체 수가 1만명 이상인 기업을 대상으로 한다.


▲연도별 개인정보 손해배상책임보험 현황[자료=강민국 국회의원실]

하지만 그러나 손해배상책임보험 계약 건수는 2020년 9,195건(152억 9,700만원)에서 올해 8월말 현재 8,651건(169억 600만원)으로 오히려 줄어들었다. 이는 결국 개인정보위의 손해배상 책임보장제도 추진에 대한 의지 부족에 따른 것으로밖에 볼 수 없다.

개인정보 손해배상 책임보험 제도가 도입된지 5년이 됐지만, 아직 손해배상책임 보장제도 의무이행 대상 기관조차 파악하지 않고 있고, 미이행 시 처벌 규정조차 마련되어 있지 않기 때문이다.

또한 개인정보위는 출범 이래 지난 4년간 개인정보 손해배상 책임보험이 지급된 건수가 고작 9건에 불과(동일기간 유출 건 대비 0.00001%)함에도 아직 보험 신청 규모도 파악하지 않고 있다.


▲연도별 개인정보 손해배상 책임보험 지급 내역[자료=강민국 국회의원실]

정무위 강민국 의원은 “개인정보보호위원회 출범 5년째 유출된 개인정보가 8,000만건을 육박하고 있음에도 손해배상 책임보장제도 의무이행 대상조차 파악 못 하고 있는 것은 개인정보위의 책임이 크다”고 지적했다. 이어 “손해배상 책임보장제도 실효성 확보를 위한 정책연구를 조속히 마무리하고 미이행 시 처벌 규정 마련과 연 최대 150만원에 달하는 개인정보 손해배상 책임보험료가 부담스러운 소상공인 등 영세업자에 대한 지원방안도 검토해야 할 것”이라고 밝혔다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>