개인정보 유출·침해 사건 조사에 평균 8개월이 걸리는 것으로 나타났다. 국회예산정책처는 대형 사건에 조사 인력이 집중되면서 일반 사건 처리가 지연될 수 있다며 사건별 우선순위와 인력 배분 기준을 마련해야 한다고 지적했다.
26일 국회예산정책처의 결산 분석 보고서에 따르면 개인정보보호위원회의 평균 조사 소요 기간은 처분 연도 기준 ▲2021년 216.3일 ▲2022년 195.7일 ▲2023년 291.9일 ▲2024년 259.4일 ▲2025년 239.4일 등으로 평균 200일을 웃돌았다.
이는 개인정보위가 연도별로 처분한 사건을 기준으로 조사 착수부터 조사 완료까지 걸린 기간을 평균한 수치다. 조사 완료 이후에도 사전통지와 위원회 의결 등 후속 절차가 남아 있어 실제 처분까지는 추가 시간이 소요될 수 있다.
예산정책처는 조사 장기화가 단순히 개인정보 유출 사고 증가 때문만은 아니라고 분석했다. 개인정보위 조사조정국 현원은 2022년 말 48명에서 올해 4월 60명으로 늘었고, 정원도 같은 기간 57명에서 75명으로 확대됐다.
반면 사회적 파장이 큰 대형 개인정보 유출 사고는 상대적으로 신속하게 처리됐다. 예산정책처가 분석한 주요 사건 처리 현황에 따르면 지난해 발생한 SK텔레콤 개인정보 유출 사고는 조사 착수부터 처분까지 127일, 쿠팡 개인정보 유출 사건은 201일이 걸렸다.
SK텔레콤 사건에는 개인정보위 조사관 4명과 한국인터넷진흥원(KISA) 기술지원 인력 7명 등을 포함한 총 14명 규모의 전담 태스크포스(TF)가 투입됐다. 사고 조사는 약 3개월 만에 끝났고, 처분 절차까지 포함해 약 4개월 만에 마무리됐다. 쿠팡 개인정보 유출 사건에도 개인정보위 조사관 4명과 KISA 기술지원 인력 7명 등 총 14명이 투입됐다.
예산정책처는 이처럼 조사관과 KISA 기술지원 인력이 대형 사건에 집중되면 다른 개인정보 유출·침해 사건의 조사 착수와 처리도 지연될 가능성이 있다고 분석했다. 이에 따라 개인정보위가 사고조사 단계별 소요 기간과 장기 계류 사건 현황을 체계적으로 관리하고, 개인정보 유출 규모와 정보의 민감도, 사건의 중대성 및 처리 난이도 등을 고려한 우선순위와 처리 기준을 명확히 마련할 필요가 있다고 제언했다.