강준현 의원, 개인정보 유출 조사 전 자료 은닉·폐기 ‘제재 공백’ 지적

핵심 요약

국회에서 개인정보 유출 사고 발생 시 기업이 당국의 조사 착수 전에 관련 자료를 은닉하거나 폐기하는 행위에 대한 제재 근거가 부족하다는 지적이 제기되었습니다. 현행 개인정보보호법상 조사 전 자료 은닉·폐기에 대한 직접적인 제재 조항이 미비하여, 성실하게 신고하고 조사에 협조한 기업이 오히려 불이익을 받을 수 있다는 구조적 문제점이 지적되었습니다. IT 감사인은 이러한 제재 공백이 향후 법규 개정으로 이어질 가능성을 인지하고, 개인정보 유출 사고 발생 시 조사 협조를 위한 자료 보존 및 제출 절차의 적정성을 선제적으로 점검하고 강화해야 할 필요성을 시사합니다.

개선 권고안

• ✔기술적 조치개인정보 처리 시스템 및 관련 인프라에서 발생하는 모든 보안 로그, 시스템 설정 변경 이력, 백업 데이터 등에 대한 무결성 보장 및 장기 보존 정책을 수립하고, 위변조 방지 기술을 적용해야 함을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 개인정보보호위원회 등 감독기관의 조사에 대비하여 관련 자료의 보존, 제출 및 협조에 관한 명확한 내부 정책 및 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치사고 대응 계획(IRP)에 감독기관 조사 협조를 위한 구체적인 역할과 책임, 증거 보존 지침, 법무 검토 절차 등을 포함하여 주기적으로 검토하고 갱신할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 대응 및 감독기관 조사 협조와 관련된 임직원 교육을 정기적으로 실시하여, 자료 은닉·폐기 행위의 위험성과 법적 책임을 명확히 인지하도록 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기