개인정보 유출과 침해 사건의 조사 기간이 중요도에 따라 3개월에서 12개월로 제한되고, 1억 원 이하 소액 과징금 사건은 소위원회에서 빠르게 결론을 내린다. 평균 1년 넘게 이어지던 조사 지연을 해소하고 피조사 기업의 절차적 방어권을 제도화하는 조치다.

개인정보보호위원회는 2026년 10월 2일 이 같은 내용을 담은 「개인정보 유출·침해 사건 신속 조사 및 조사역량 강화 방안」을 발표하고 즉시 시행에 들어갔다. 사건 착수부터 의결까지 평균 처리 기간이 2024년 362일, 2025년 345일, 2026년 상반기 기준 369일까지 늘어난 데 따른 개선책이다.

사건 중요도별 차등 처리

개인정보위는 접수 사건을 중요·일반·경미 3단계로 분류해 처리 기한을 못 박았다. 100만 명 이상 유출 사고나 사회적 관심이 집중된 사안, 주요 공공시스템 해킹 등 중요 사건에는 전담 조사단과 현장 대응반을 즉시 파견하고 12개월 이내에 처리를 끝낸다. 현장에서는 시스템 확인과 증적 보존, 유출 통지 및 2차 피해 방지 조치를 점검한다.

동종·유사 사건인 일반 사건은 제재 기준을 유형화해 안건을 묶어 처리하며 6개월 이내 종결을 원칙으로 삼았다. 단순 과실이나 자진 시정이 이뤄진 경미 사건은 불필요한 착수를 줄여 3개월 안에 정리한다. 중소·영세 사업자가 처음 저지른 경미 과실은 과태료를 면제하고 기술지원을 거쳐 재발 방지로 전환한다.

소위원회로 넘어가는 소액 과징금

전체회의로 쏠리던 심의 부담을 덜기 위해 소위원회 심의 범위도 넓혔다. 현행 과태료 중심이던 소위원회 심의 안건에 예상 과징금 1억 원 이하 사건을 즉시 포함했다. 2026년 6월 말 기준 부과된 과징금 200건 가운데 1억 원 이하는 107건으로 53.5%에 달해 과반의 사건이 소위원회 패스트트랙을 밟게 된다.

개인정보위는 운영 성과를 점검한 뒤 2단계 3억 원 이하(누적 68.0%), 3단계 10억 원 이하(누적 84.5%) 사건까지 소위원회 심의 위임을 순차 확대할 계획이다. 소규모 침해 사건을 안은 기업은 전체회의 의결을 기다리지 않고 처분 결과를 신속히 확정받을 수 있다.

피조사자 방어권과 조사 투명성

조사 과정의 불확실성을 줄이는 방어권 보장 절차도 마련됐다. 사건 지정일로부터 14일 이내에 조사 착수 여부를 결정하고, 미착수로 종결할 때는 당사자에게 공식 통지한다. 조사가 불가피하게 길어지면 6개월 또는 12개월 단위로 진행 상황과 연장 사유를 개별 안내한다.

대규모·복잡 사건은 처분 결과 통지 전 사실관계를 사전에 설명하고 공식 의견 제출 기회를 준다. 개인정보위 처분에 불복해 제기된 행정쟁송이 170건(진행 중 63건)에 이르는 만큼, 조사 통계와 과징금 산정 기준을 공개해 절차적 흠결을 줄이겠다는 취지다.

기업 실무와 향후 일정

기업은 유출 사고 직후 초동 대응에 따라 과징금 액수가 크게 갈린다. 2026년 9월 개정된 과징금 부과기준에 따르면 현장 증적 보존과 피해 확산 방지를 신속히 이행하면 기본금액의 최대 40%를 깎아주지만, 통지를 게을리하면 최대 30%까지 가산된다. 사고 인지 즉시 가동할 수 있는 내부 매뉴얼 정비가 필수적이다.

정부는 2026년 11월 공공부문 정보 유출 사고 시 감독자 책임을 명확화하는 「공무원 징계령 시행규칙」 개정을 마무리할 예정이다. 2027년에는 중소·영세 사업자의 보안 기술지원을 위한 정부 예산안 22억 원을 집행한다.