개인정보보호위원회와 한국인터넷진흥원(KISA), 무엇이 다르고 어떻게 연결되나

대규모 개인정보 유출 사고가 언론에 보도될 때마다 "개인정보보호위원회"와 "한국인터넷진흥원(KISA)"이라는 두 기관의 이름이 나란히 등장합니다. 두 기관 모두 개인정보 보호 업무를 다루다 보니 하는 일이 겹치는 것처럼 느껴져 실무에서도 역할을 혼동하기 쉽습니다. 그러나 두 기관은 법적 지위도, 맡은 역할도 분명히 다릅니다. 그러면서도 개인정보 보호라는 하나의 목표 아래 긴밀하게 맞물려 움직이는 관계이기도 합니다. 기업의 정보보안 담당자라면 개인정보 유출 사고가 발생했을 때 어느 기관에 무엇을 신고해야 하는지, 조사와 제재는 어디에서 이루어지는지를 정확히 알아 둘 필요가 있습니다. 이번 글에서는 두 기관의 성격과 역할, 그리고 두 기관이 어떻게 연결되어 있는지를 실무 관점에서 정리해 보겠습니다.

데이터 파기와 자산 폐기를 다루는 알테크코리아의 관점에서 보더라도, 개인정보 보호 거버넌스의 큰 그림을 이해하는 일은 매우 중요합니다. 매체의 물리적 파기나 인증 기반 영구삭제가 왜 필요한지, 그 근거가 되는 감독 체계는 누가 어떻게 운영하는지를 이해할 때 비로소 데이터 생애주기의 마지막 단계인 파기가 지니는 의미가 온전히 드러나기 때문입니다. 그런 의미에서 개인정보 보호를 총괄하는 두 축을 살펴보는 일은 정보보안 실무의 기본기라고 할 수 있습니다.

두 기관의 역할을 혼동하는 것이 단순한 오해에 그치지 않는다는 점도 미리 짚어 둘 필요가 있습니다. 어느 기관이 무엇을 담당하는지 정확히 알지 못하면, 정작 사고가 발생했을 때 신고 창구를 잘못 찾거나 대응이 지연되어 초기 대응의 골든타임을 놓칠 수 있습니다. 또한 규제와 처분의 흐름을 이해하지 못하면, 위원회의 제재가 어떤 절차를 거쳐 확정되는지 예측하기 어려워 사전 대비에도 허점이 생기기 마련입니다. 두 기관의 성격과 역할을 명확히 구분해 두는 일은 그래서 실무적으로 매우 실질적인 가치를 지닙니다.

개인정보보호위원회 — 정책과 감독을 총괄하는 중앙행정기관

개인정보보호위원회(약칭 개인정보위, 영문 명칭 PIPC)는 개인정보 보호에 관한 사무를 독립적으로 수행하는 대한민국의 중앙행정기관입니다. 위원장은 장관급, 부위원장은 차관급 정무직 공무원이 맡습니다. 한마디로 개인정보 보호 분야의 주무 부처에 해당하는 국가기관입니다. 흔히 위원회라고 하면 자문이나 심의만 담당하는 조직을 떠올리기 쉽지만, 개인정보위는 정부조직법상 중앙행정기관으로 명시되어 있어 독자적인 규제 권한과 집행력을 갖춘 기관이라는 점에서 성격이 다릅니다.

개인정보위는 2020년 8월, 그 이전까지 여러 부처에 흩어져 있던 개인정보 보호 감독 기능을 통합해 중앙행정기관으로 새롭게 출범했습니다. 종전에는 행정안전부가 공공과 민간 분야를 총괄하고, 방송통신위원회가 온라인 분야를, 금융위원회가 상거래기업의 개인신용정보 조사와 처분을 각각 나누어 맡고 있었습니다. 이렇게 분산되어 있던 감독 기능을 하나로 모아 이른바 컨트롤타워 역할을 수행하도록 만든 것이 지금의 개인정보위입니다. 감독 권한이 여러 부처로 쪼개져 있으면 사각지대가 생기고 규제의 일관성도 떨어지기 마련인데, 이러한 문제를 해소하기 위한 조직 개편이었다고 이해하시면 됩니다.

위원회는 위원장 1명과 부위원장 1명을 포함한 총 9명의 위원으로 구성되며, 대통령이 임명하거나 위촉합니다. 상임위원인 위원장과 부위원장은 국무총리의 제청을 거쳐 대통령이 임명하고, 나머지 위원은 위원장의 제청과 국회 교섭단체의 추천 절차를 거쳐 위촉됩니다. 이처럼 위원 구성 과정에 여러 주체가 참여하도록 설계한 것은 특정 세력의 영향에서 벗어나 독립적이고 균형 잡힌 판단을 내릴 수 있도록 하기 위한 장치입니다. 개인정보 보호라는 업무의 특성상 정치적 중립성과 전문성이 함께 요구되기 때문입니다.

개인정보위의 주요 역할은 정책과 감독의 머리 역할이라고 요약할 수 있습니다. 개인정보 보호와 관련된 법령의 개선, 정책과 제도 및 기본계획의 수립과 집행, 정보주체의 권리침해에 대한 조사와 그에 따른 처분, 고충처리와 권리구제 및 개인정보 분쟁의 조정, 국제기구 및 외국 기관과의 교류와 협력, 그리고 조사와 연구, 교육, 홍보에 이르기까지 개인정보 보호 전반을 아우르는 사무를 담당합니다. 이러한 업무는 어느 하나 독립적으로 존재하지 않고 서로 맞물려 돌아갑니다. 예컨대 법령을 개선하려면 현장의 실태를 조사해야 하고, 조사 결과는 다시 정책과 제도에 반영되며, 그렇게 마련된 제도는 교육과 홍보를 통해 사회 전반에 확산됩니다. 개인정보위가 개인정보 보호의 컨트롤타워라고 불리는 이유는, 이처럼 정책의 수립부터 집행과 사후 관리에 이르는 전 과정을 하나의 기관이 일관되게 관장하기 때문입니다.

특히 눈여겨볼 부분은 개인정보위가 단순히 정책을 만드는 데 그치지 않고 실질적인 제재 권한을 가지고 있다는 점입니다. 개인정보 보호법을 위반한 사업자에 대해 과징금과 과태료를 부과하고, 시정조치를 명령하며, 필요한 경우에는 고발이나 징계 권고까지 할 수 있습니다. 언론에 크게 보도되는 대형 개인정보 유출·위반 사건에 대한 제재 처분이 바로 이 위원회의 심의와 의결을 통해 확정됩니다. 기업 입장에서 개인정보위의 의결이 중요한 이유가 여기에 있습니다. 위원회의 처분은 곧 실제 금전적 부담과 법적 책임으로 이어지기 때문입니다. 특히 최근 개인정보 유출 사고에 대한 과징금 규모가 과거에 비해 크게 늘어나는 추세를 보이면서, 기업의 정보보안 담당자에게 개인정보위의 제재 기준과 처분 사례를 이해하는 일은 선택이 아니라 필수가 되었습니다. 위원회가 어떤 위반 행위에 어느 수준의 제재를 내리는지를 파악하는 것은, 자사의 개인정보 처리 관행을 점검하고 위험을 사전에 줄이는 출발점이 됩니다.

또한 개인정보위는 개인정보 보호와 관련된 각종 기준과 가이드라인을 마련해 공개하는 역할도 수행합니다. 안전성 확보조치 기준을 비롯해 개인정보 처리 단계별로 사업자가 준수해야 할 세부 지침을 제시함으로써, 법률의 추상적인 조문을 실무에서 적용할 수 있는 구체적인 형태로 풀어냅니다. 정보보안 담당자가 실무에서 자주 참고하게 되는 각종 안내서와 고시가 대부분 개인정보위에서 나온다는 점을 떠올리면, 이 기관이 단순한 규제 집행자를 넘어 개인정보 보호의 기준을 설정하는 주체라는 사실을 실감할 수 있습니다.

한국인터넷진흥원(KISA) — 실무를 집행하는 전문기관

한국인터넷진흥원(영문 명칭 Korea Internet and Security Agency, KISA)은 인터넷 진흥, 정보보호, 국제 협력 업무를 수행하는 과학기술정보통신부 산하의 위탁집행형 준정부기관입니다. 설립 근거는 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 이른바 정통망법 제52조에 두고 있으며, 2009년 7월 한국정보보호진흥원과 한국인터넷진흥원(NIDA), 그리고 정보통신국제협력진흥원(KIICA) 세 기관이 통합되어 출범했습니다. 본원은 전라남도 나주시 빛가람동에 자리하고 있습니다.

여기서 반드시 짚고 넘어가야 할 점은, KISA는 정책을 결정하고 제재를 내리는 기관이 아니라 실무를 집행하는 전문기관이라는 사실입니다. 개인정보위가 방향을 정하고 최종 판단을 내리는 두뇌라면, KISA는 현장에서 손발이 되어 실제 업무를 처리하는 조직에 가깝습니다. KISA는 침해사고 대응, 정보보호 및 개인정보보호 관리체계인 ISMS-P 인증, 인터넷 주소자원 관리, 스팸과 피싱 대응 등 광범위한 인터넷·보안 실무를 담당합니다. 이 가운데 개인정보 분야에서 특히 중요한 것은 개인정보침해 신고센터를 설치하고 운영하는 역할입니다. 국번 없이 118번으로 연결되는 이 신고센터는 국민이 개인정보 침해를 당했을 때 가장 먼저 찾게 되는 창구입니다.

KISA가 수행하는 업무 가운데 기업 실무자에게 특히 친숙한 것은 ISMS-P 인증일 것입니다. 정보보호 및 개인정보보호 관리체계 인증은 기업이 정보보호와 개인정보보호를 위한 관리 체계를 적절히 갖추고 운영하고 있는지를 심사해 인증을 부여하는 제도입니다. 일정 규모 이상의 정보통신서비스 제공자 등은 이 인증을 의무적으로 받아야 하며, 그 외의 기업도 대외 신뢰도를 높이기 위해 자발적으로 인증을 취득하는 경우가 많습니다. 인증 심사와 부여 과정의 실무를 담당하는 것이 바로 KISA입니다. 이처럼 KISA는 개인정보 침해에 대한 사후 대응뿐 아니라, 기업이 사전에 보호 체계를 갖추도록 유도하는 예방적 역할까지 함께 수행합니다.

침해사고가 실제로 발생했을 때 KISA의 역할은 더욱 두드러집니다. 해킹이나 악성코드 감염과 같은 침해사고가 접수되면 KISA는 사고의 원인을 분석하고 피해 확산을 막기 위한 기술적 지원을 제공합니다. 정보통신서비스 제공자에게 개인정보 유출이 발생한 경우에는 개인정보 유출 신고와 침해사고 신고를 각각 접수받아 처리하는 창구 역할도 담당합니다. 이러한 실무는 고도의 기술적 전문성을 요구하기 때문에, 정책 판단을 담당하는 개인정보위가 아니라 현장 대응 역량을 갖춘 KISA가 맡는 것이 자연스럽습니다.

정보보안 담당자 입장에서 KISA의 역할을 이해할 때 놓치기 쉬운 부분이 있습니다. KISA가 담당하는 업무의 범위가 워낙 넓다 보니, 마치 KISA가 개인정보 보호 정책의 최종 결정권까지 가진 것처럼 오해하는 경우가 있다는 점입니다. 그러나 KISA는 어디까지나 법령에 따라 지정되고 위탁받은 범위 안에서 실무를 수행하는 집행 기관입니다. 신고를 접수하고 상담을 제공하며 사실관계를 조사하는 실무는 KISA가 담당하지만, 그 결과를 바탕으로 한 최종 제재는 개인정보위의 몫이라는 구분을 명확히 이해하는 것이 중요합니다.

두 기관은 어떤 관계인가 — 지정과 위탁으로 연결된 협력 구조

두 기관의 관계를 이해하는 핵심 키워드는 전문기관 지정과 업무 위탁입니다. 두 기관은 상하 관계라기보다, 법에 근거한 지정과 위탁을 통해 역할을 나누어 맡은 협력 구조로 연결되어 있습니다.

개인정보 보호법 제62조와 같은 법 시행령 제59조에 따라, 개인정보보호위원회는 개인정보 침해 사실 신고의 접수와 처리 업무를 효율적으로 수행하기 위한 전문기관으로 한국인터넷진흥원을 지정합니다. 다시 말해 개인정보 침해 신고를 받는 창구인 KISA 개인정보침해 신고센터는 임의로 운영되는 조직이 아니라, 법률에 근거를 두고 위원회로부터 정식으로 지정받아 운영되는 기관이라는 뜻입니다. 이 지정은 법적 효력을 가지므로, 신고센터가 수행하는 업무 역시 법적 정당성을 확보하게 됩니다.

여기서 한 걸음 더 나아가면 위탁의 개념이 등장합니다. 개인정보위는 개인정보 보호법의 근거에 따라 KISA 개인정보침해 신고센터에 자료제출 요구권과 검사권까지 위탁하고 있습니다. 이 위탁 덕분에 신고센터는 단순히 민원을 접수하고 안내하는 데 그치지 않고, 개인정보 보호법과 행정조사기본법에 근거하여 직접 행정조사를 수행할 수 있습니다. 즉 KISA 신고센터는 위원회로부터 지정받은 위상 위에, 조사에 필요한 실질적인 권한까지 위탁받아 실무를 수행하는 구조인 셈입니다. 지정이 신고센터의 법적 지위를 부여하는 절차라면, 위탁은 그 신고센터가 실제로 조사를 진행할 수 있도록 권한을 넘겨주는 절차라고 이해하시면 됩니다.

실제 업무 흐름을 따라가 보면 두 기관의 역할 분담이 한층 명확하게 드러납니다. 개인정보를 침해당한 국민은 먼저 KISA 개인정보침해 신고센터, 즉 118번으로 신고하거나 상담을 신청합니다. 신고센터는 접수된 사안이 법규 위반에 해당하는지 여부를 검토한 뒤, 신속한 고충 해결과 침해행위 시정 등의 행정지도를 실시하고 그 결과를 신고자에게 통보합니다. 대다수의 사안은 이 단계에서 정리됩니다. 그러나 사업자의 법 위반이 확인되거나 시정 요구에 응하지 않는 경우에는 절차가 행정조사로 전환됩니다. 그리고 그 조사 결과는 개인정보보호위원회로 통보됩니다. 이후 과징금이나 시정명령과 같은 최종적인 제재 처분은 위원회가 심의와 의결을 거쳐 결정합니다. 신고 접수와 초기 조사는 KISA가, 최종 제재는 개인정보위가 담당하는 이 흐름을 기억해 두면 실무에서 두 기관의 역할을 헷갈릴 일이 없습니다.

또 하나 눈여겨볼 만한 관계가 있습니다. KISA 역시 방대한 개인정보를 처리하는 하나의 공공기관이기 때문에, 개인정보 보호법 제11조의2에 따라 매년 개인정보보호위원회가 실시하는 개인정보 보호수준 평가를 받는 대상이기도 합니다. 이 평가는 공공기관이 개인정보 보호와 관련된 법령상 의무를 제대로 이행하고 있는지, 그리고 기관 차원에서 개인정보 보호를 위해 얼마나 충실히 노력하고 있는지를 종합적으로 점검하는 제도입니다. KISA는 2024년도 평가에서 A등급을 획득한 바 있습니다. 흥미로운 점은, 감독기관인 개인정보위와 실무를 위탁받아 수행하는 KISA 사이에 지정과 위탁이라는 협력 관계만 있는 것이 아니라, 평가하는 쪽과 평가받는 쪽이라는 또 다른 층위의 관계도 동시에 존재한다는 사실입니다. 개인정보 보호 체계가 그만큼 촘촘하게 짜여 있음을 보여 주는 대목입니다.

머리와 손발의 관계

지금까지 살펴본 두 기관의 관계는 정책과 감독을 맡는 머리, 그리고 실무 집행을 맡는 손발의 관계로 요약할 수 있습니다.

개인정보보호위원회는 법령과 정책을 만들고, 조사 결과를 바탕으로 최종 제재를 결정하는 중앙행정기관입니다. 규제의 방향을 정하고 위반 사업자에 대한 처분을 확정하는 최종 판단의 주체입니다. 반면 한국인터넷진흥원은 그 아래에서 신고 접수와 상담, 사실 조사, 인증, 침해 대응과 같은 실무를 담당하는, 법으로 지정된 전문기관입니다. 위원회가 규제의 큰 틀과 최종 결론을 담당한다면, KISA는 현장에서 국민과 기업을 직접 마주하며 구체적인 실무를 처리하는 구조입니다. 두 기관은 지정과 위탁이라는 법적 장치로 연결되어 하나의 개인정보 보호 체계를 함께 떠받치고 있습니다.

기업의 정보보안 담당자 입장에서 실무적으로 정리하면 다음과 같습니다. 개인정보 유출 사고가 발생하면 법령상 신고 절차에 따라 개인정보보호위원회와 한국인터넷진흥원 등 관계기관에 신속히 신고해야 합니다. 이때 침해 신고의 접수와 초기 조사는 KISA 개인정보침해 신고센터를 통해 이루어지고, 최종적인 제재 처분은 개인정보보호위원회를 통해 확정된다는 점을 기억해 두면 됩니다.

신고의 흐름을 두 기관의 역할과 함께 머릿속에 정리해 두면, 실제 사고 상황에서 어느 창구에 무엇을 알려야 하는지 망설임 없이 판단할 수 있습니다. 참고로 은행과 증권, 보험 등 금융기관의 개인신용정보 침해는 별도 창구인 금융위원회로 신고하도록 안내되고 있으며, 관련 문의는 금융 분야 대표 상담번호를 통해 확인할 수 있습니다. 개인정보 침해라 하더라도 그 성격이 일반 개인정보인지 금융 분야의 개인신용정보인지에 따라 소관 창구가 달라진다는 점 역시 실무에서 놓치기 쉬운 부분이므로 함께 유의할 필요가 있습니다.

이러한 감독과 집행의 체계는 결국 개인정보가 안전하게 처리되고 최종적으로 안전하게 파기되도록 하는 데 목적이 있습니다. 개인정보 보호법이 규정하는 여러 의무 가운데 보관 기간이 지나거나 처리 목적이 달성된 개인정보의 파기는 특히 중요한 부분입니다. 아무리 정교한 접근권한 관리와 암호화 체계를 갖추었다 하더라도, 수명이 다한 저장매체에 개인정보가 복원 가능한 형태로 남아 있다면 그동안의 모든 보호 노력이 마지막 순간에 무너질 수 있기 때문입니다. 실제로 폐기된 하드디스크나 서버에서 데이터가 복원되어 유출로 이어진 사례는 국내외에서 끊이지 않고 있으며, 이는 데이터의 확실한 파기가 왜 개인정보 보호의 마지막 관문인지를 분명하게 보여 줍니다.

그런데 데이터를 파기한다는 것은 단순히 파일을 삭제하거나 초기화하는 것과는 전혀 다른 개념입니다. 운영체제에서 파일을 지우거나 저장장치를 포맷하더라도 실제 데이터는 물리적으로 남아 있어 복구 도구로 얼마든지 되살릴 수 있습니다. 따라서 개인정보를 진정으로 안전하게 파기하려면, 매체의 특성에 맞는 검증된 방식으로 복원이 불가능한 상태를 만들어야 합니다. 자기 저장매체인 하드디스크나 자기테이프의 경우에는 강력한 자기장으로 데이터를 지우는 디가우징이나 매체 자체를 물리적으로 뚫고 부수는 천공·파쇄가 확실한 방법이며, SSD나 eMMC, USB와 같이 자기장으로는 완전히 지워지지 않는 비자성 매체의 경우에는 블랑코(Blancco) 기반의 인증된 영구삭제가 신뢰할 수 있는 해법이 됩니다. 매체의 종류를 구분하지 않고 하나의 방식만 고집하면 파기가 불완전해질 수 있으므로, 매체별 특성에 맞는 파기 방식을 적용하는 것이 핵심입니다.

알테크코리아는 바로 이 마지막 관문을 책임지는 데이터 파기 및 IT 자산 처분 전문 기업입니다. 자기 매체에 대한 디가우징과 천공·파쇄, 비자성 매체에 대한 블랑코 기반 인증 영구삭제를 매체 특성에 맞게 수행하여, 개인정보가 어떤 형태로도 복원되지 않도록 확실하게 처리합니다. 또한 파기 후에 남는 저장매체와 IT 자산은 그대로 폐기물이 되는 것이 아니라, 생산자책임재활용(EPR)과 도시광산 자원순환 체계를 통해 자원으로 다시 순환됩니다. 데이터를 확실하게 지우는 일과 자원을 낭비하지 않는 일을 함께 실현하는 셈입니다. 이러한 파기 과정에는 DieHDD™를 비롯한 검증된 장비와 절차가 활용되며, 처리 결과에 대한 신뢰를 담보하기 위한 인증 체계가 뒷받침됩니다.

정교한 수집·저장·이용 단계의 보호 조치가 아무리 훌륭해도, 파기 단계에서 데이터가 복원 가능한 형태로 방치된다면 개인정보 유출의 위험은 결코 사라지지 않습니다. 개인정보위와 KISA가 만들어 온 감독 체계의 취지를 실무 현장에서 완성하는 일은 결국 개인정보를 다루는 모든 기업의 몫이며, 그 마지막 완성이 바로 데이터의 확실한 파기입니다. 알테크코리아는 이 마지막 단계를 책임짐으로써, 기업이 개인정보 보호의 전 과정을 온전히 매듭지을 수 있도록 함께하고 있습니다. 가지 덧붙이자면, 이러한 감독과 집행의 체계는 결국 개인정보가 안전하게 처리되고 최종적으로 안전하게 파기되도록 하는 데 목적이 있습니다.

개인정보 보호법이 규정하는 여러 의무 가운데 보관 기간이 지난 개인정보의 파기는 특히 중요한 부분입니다. 저장매체를 물리적으로 완전히 파기하거나 복원이 불가능한 방식으로 영구삭제하는 절차는 개인정보 보호의 마지막 관문이라고 할 수 있습니다. 기업이 개인정보 보호 체계를 제대로 갖추려면, 감독기관의 역할을 이해하는 것과 함께 데이터 생애주기의 마지막 단계인 안전한 파기까지 빈틈없이 관리하는 일이 필요합니다. 개인정보위와 KISA가 만들어 온 감독 체계의 취지를 실무 현장에서 완성하는 일은, 결국 개인정보를 다루는 모든 기업의 몫이기 때문입니다.