내년 예산 800억 쏟아붓는데···개인정보 털리고 신고부터 처벌까지 ‘1년5개월’ 걸린다

4일 서울 시내에 설치된 여러 은행 ATM기. 연합뉴스

은행 개인정보 유출 사고가 잇따르는 가운데 개인정보 유출 신고부터 과태료·과징금 부과까지 평균 약 1년 5개월이 걸리는 것으로 나타났다. 정부의 개인정보 보호 예산은 매년 증액 추세이며, 내년도에는 800억원이 넘는 것으로 집계됐다.

5일 국회예산정책처의 ‘개인정보 유출 사고 관련 재정사업의 효과성 분석과 개선과제’ 보고서를 보면, 2027년도 정부안에 편성된 개인정보 보호 주요 사업비는 800억9500만원으로 올해 예산현액(549억6700만원)보다 45.7% 증가했다.

관련 사업비는 2022년 347억1900만원에서 2023년 427억2100만원, 2024년 493억6400만원으로 늘었다. 2025년에는 489억9500만원으로 소폭 줄었으나 올해 다시 증가했다.

주요 사업에는 정책·교육·인증제 운영 등 개인정보 보호 기반 조성과 유출·침해사고 조사, 디지털 포렌식 랩(서버에 남은 기록으로 개인정보 유출 원인을 찾는 시설) 운영 등이 포함된다. 내년부터는 과징금 재원을 피해 회복에 활용할 수 있도록 ‘공익신고장려기금’이 만들어지면서 예산이 대폭 확충됐다.

사진 크게보기

개인정보 보호 관련 사업 예산. 국회예산정책처 제공 (크게 보려면 오른쪽 아래 확대보기 버튼을 누르세요.)

재정 투입이 확대되고 있지만 사고 처리 기간 단축 등 실질적인 성과 개선은 제한적이라는 게 예정처의 분석이다.

예정처는 2020년 11월부터 지난 4월까지 개인정보보호위원회 의결서가 공개된 사건 중 처리 일자를 확인할 수 있는 사고조사 사건을 분석했다. 그 결과 유출 신고부터 의결까지 평균 490.6일, 과태료·과징금 부과까지는 평균 520.2일이 걸렸다. 신고부터 제재 부과까지 약 1년 5개월이 소요된 셈이다.

유출신고 접수 건수는 2022년 167건에서 2025년 447건으로 약 2.7배 늘었다. 올해 상반기에만 유출신고는 432건으로 지난해 연간 신고 건수에 육박했다.

같은 기간 조사 인력은 34명에서 38명으로 4명 증가했다. 조사인력 1인당 연간 의결 건수는 2022년 4.8건, 2023년 7.4건, 2024년 8.6건, 2025년 9.5건이었다.

보고서는 “사건 조사와 처리 기간을 (법이) 규정하고 있음에도, 신고 이후 실제 조사 착수까지 상당한 기간이 소요되는 것으로 확인된다”며 “미의결·진행 중인 장기계류 사건을 포함할 경우 실제 소요기간은 더 길어질 가능성이 있다”고 설명했다.

조사 지원시설 활용에도 한계가 드러났다. 포렌식 랩은 지난해 12월 구축됐으나, 올해 9월까지 전담인력 채용이 진행되는 등 운영인력 확보가 지연됐다.

보고서는 공공기관과 민간기관의 개인정보 유출 원인이 다르다는 점도 짚었다. 지난해 공공기관 개인정보 유출 원인은 업무과실이 53.1%로 가장 많았고, 해킹 34.4%, 시스템 오류 4.7%, 원인 미상과 고의 유출 각각 3.9% 순이었다. 민간기관은 해킹이 72.7%를 차지했으며 업무과실 13.2%, 시스템 오류 5.6%, 원인 미상 5.0%, 고의 유출 3.4%가 뒤를 이었다.

보고서는 유출 규모·피해 확산 가능성과 사건 난이도에 따라 조사 우선순위를 설정하고, 포렌식 랩 전담 인력을 확보할 것을 제언했다. 공공기관에는 내부통제·접근 권한·처리 절차 점검을, 민간기관에는 침해경로 분석과 디지털 포렌식 등 기술적 조사역량 강화를 주문했다.