개인정보보호법 과징금 최대 매출 10%로…티빙 3,954만 계정 유출 뒤 무엇이 달라지나

핵심 요약

국내 OTT 티빙에서 약 3,954만 개 계정의 개인정보가 유출된 사실이 정부 조사로 확인된 가운데, 2026년 9월 11일부터 강화된 개인정보 보호법이 시행됐다. 새 제도는 반복적이고 중대한 개인정보 보호 위반에 대해 과징금을 전체 매출액의 최대 10%까지 부과할 수 있도록 하고, 개인정보 보호책임자(CPO)의 독립성과 권한, 전문인력·예산 확보 책임도 강화한다.

시점이 겹치면서 관심은 단순히 “티빙이 얼마의 과징금을 받을까”에 그치지 않는다. 이번 변화의 핵심은 개인정보 유출을 사고가 난 뒤 수습하는 문제에서, 기업 경영진이 사전에 인력·예산·기술적 안전조치를 갖췄는지를 따지는 예방 중심 책임 체계로 옮겨가고 있다는 점이다. 티빙 사고에서 정부 조사단이 지적한 ‘이미 확인한 취약점을 고치지 않은 문제’는 새 제도가 왜 만들어졌는지를 보여주는 대표적인 사례가 됐다.

확인된 사실과 해석·전망 구분

확인된 사실: 과학기술정보통신부 민관합동조사 결과 티빙 침해사고에서는 중복 계정을 포함해 3,954만 개 계정과 361개 기술자산이 침해된 것으로 확인됐다. 이 가운데 로그인 가능한 활성 계정은 약 2,206만 개였고, 휴면·탈퇴 계정 등 비활성 계정도 약 1,737만 개 포함됐다. 유출 정보는 가입 방식에 따라 달랐지만 이름, 휴대전화번호, 이메일, 생년월일, 연결정보(CI) 등 다수 항목이 포함됐다.

조사 결과에서 특히 문제가 된 부분은 접근키 관리였다. 개발 편의를 위해 접근키가 소스코드 등에 노출돼 있었고, 정부 조사에 따르면 티빙은 2024년 모의해킹 과정에서 관련 취약점을 확인하고도 충분히 개선하지 못했다. 공격자는 개발환경 접근키를 확보한 뒤 여러 프로젝트에서 운영환경 접근키를 찾아 실제 이용자 데이터가 저장된 클라우드 저장소까지 접근한 것으로 조사됐다.

해석·전망: 새 개인정보 보호법이 시행됐다고 해서 티빙 사고에 곧바로 ‘매출의 10%’ 과징금이 적용된다고 단정할 수는 없다. 행위 시점과 적용 법령, 개인정보보호위원회의 별도 조사 결과, 위반의 반복성·중대성 등을 따져야 한다. 다만 이번 사고가 향후 대형 플랫폼과 데이터 보유 기업의 보안 투자 수준을 평가하는 중요한 사례가 될 가능성은 크다.

왜 중요한가

기존 개인정보 보호 논의는 사고 뒤 과징금과 사과, 피해자 통지에 초점이 맞춰지는 경우가 많았다. 하지만 데이터 규모가 커지고 AI·클라우드 이용이 확대되면서 한 번의 키 관리 실패가 수천만 계정과 핵심 소스코드까지 연결될 수 있게 됐다. 따라서 보안 문제를 IT 부서의 실무 과제로만 보는 방식으로는 위험을 줄이기 어렵다는 인식이 커지고 있다.

이번 법 개정은 그 책임을 경영 차원으로 끌어올린다. 최종 책임자는 개인정보 보호에 필요한 전문인력과 예산을 지원해야 하고, CPO는 개인정보 보호 조직과 예산을 관리하며 대표자나 이사회에 주요 위험을 보고하는 역할을 맡게 된다. CPO의 지정·변경·해제에도 이사회 의결과 개인정보보호위원회 신고 절차가 요구된다. 기업 입장에서는 보안 투자를 ‘비용’으로만 취급하기 어려워지는 구조다.

무엇이 달라졌나

첫째, 반복적이고 중대한 위반의 과징금 상한이 전체 매출액의 최대 10%까지 높아졌다. 모든 위반에 자동으로 10%가 적용되는 것은 아니지만, 대규모 사업자에게 기존보다 훨씬 큰 재무적 부담이 될 수 있다. 반대로 개인정보 보호 인력과 예산을 선제적으로 투자·운영한 경우 과징금의 필수 감경 요소가 신설됐다. 처벌만 키우는 것이 아니라 예방 투자에 경제적 유인을 주려는 구조다.

둘째, 개인정보 유출 통지 기준이 강화됐다. 실제 유출이 최종 확인된 뒤가 아니라 유출 가능성을 인지한 경우에도 일정 요건에 따라 72시간 이내 정보주체에게 통지하도록 했다. 초기 조사에 시간이 걸리는 대규모 침해사고에서 이용자가 뒤늦게 사실을 알게 되는 문제를 줄이려는 취지다.

셋째, CPO의 독립성과 권한이 강화된다. 보안 부서가 취약점을 발견했더라도 사업 일정이나 비용 문제로 개선이 뒤로 밀리는 상황을 줄이려면, 최고책임자와 이사회에 직접 위험을 전달할 수 있는 구조가 필요하다는 판단이 반영됐다. 대규모 개인정보처리자 등을 대상으로 한 ISMS-P 인증 의무화도 2027년 7월 1일부터 단계적으로 시행될 예정이다.

티빙 사고가 던진 질문

티빙 사고에서 가장 눈에 띄는 대목은 공격 기법의 화려함보다 기본적인 관리 실패다. 정부 조사에 따르면 접근키가 적절히 분리·관리되지 않았고, 이상행위 탐지와 로그 관리, 보안 전담 인력도 충분하지 않았다. 2024년 모의해킹에서 접근키 노출 위험을 확인했다는 점까지 고려하면 “취약점을 몰랐느냐”보다 “알고도 왜 조치가 늦었느냐”가 더 중요한 질문이 된다.

이재명 대통령도 9월 11일 수석보좌관회의에서 티빙 사고를 언급하며 보안 취약점을 사전에 확인하고도 필요한 조치를 하지 않았다는 점을 지적하고, 사건 경위를 신속하게 파악해 법과 원칙에 따라 엄정한 책임을 물어야 한다고 주문했다. 또 개인정보 보호를 국가 안보 관점에서 바라보고 공공·민간·국내외 기업을 막론한 종합적인 제도 개선을 주문했다.

현재 진행 상황

과기정통부의 침해사고 원인 조사는 이미 결과가 공개됐지만, 개인정보보호법 위반 여부와 행정처분은 개인정보보호위원회의 별도 조사 절차가 중요하다. 실제 과징금 규모는 유출된 계정 수만으로 결정되는 것이 아니라 안전조치 의무 위반, 통지·신고 적정성, 피해 규모, 개선 노력, 관련 매출 등을 종합적으로 판단하게 된다.

티빙은 보안 투자 확대와 조직 정비, 피해 이용자 지원 방안을 발표했으며 이용자가 본인의 개인정보 유출 여부와 항목을 확인할 수 있는 조회 페이지도 운영하고 있다. 현재까지 공개된 정부 조사에서는 유출 자료의 불법 거래 등 구체적인 2차 피해가 확인됐다고 단정할 단계는 아니지만, 이름·연락처·이메일 등 여러 정보가 결합될 경우 스미싱이나 피싱에 악용될 가능성은 계속 주의해야 한다.

주요 관계자와 쟁점

기업 측 쟁점은 보안 투자 수준과 책임 범위다. 시스템 규모가 커질수록 완전한 사고 방지는 어렵다는 현실이 있지만, 이미 파악한 위험을 방치했거나 최소한의 접근통제와 탐지체계를 갖추지 않았다면 책임이 더 무거워질 수 있다. 새 법은 이 차이를 과징금과 감경 체계에 반영하려 한다.

정부 측에서는 강한 제재가 실제 예방 효과로 연결되는지가 과제다. 매출액 기준 과징금은 대기업에는 실질적인 압박이 될 수 있지만, 처벌만으로 보안 인력 부족이나 복잡한 공급망 문제를 해결할 수는 없다. 중소기업에 대한 보안 컨설팅, 전문인력 확보, 클라우드·오픈소스 공급망 관리까지 함께 개선해야 한다.

앞으로 예상되는 전개

단기적으로는 개인정보보호위원회의 티빙 조사 결과와 행정처분이 가장 큰 관심사다. 이후에는 대형 플랫폼과 금융·통신·유통기업이 CPO 조직, 보안 예산, 접근키 관리, 이상징후 탐지 체계를 얼마나 빠르게 강화하는지가 관전 포인트다. 이사회 차원의 개인정보 보호 보고가 실제 경영 의사결정으로 이어지는지도 중요하다.

중장기적으로는 대규모 유출 때 피해 이용자에게 실질적인 보상을 제공하는 법정손해배상·집단소송 논의도 이어질 가능성이 있다. 정부는 예방 중심 개인정보 보호체계와 함께 과징금 수입을 피해회복에 활용하는 방안, 피해구제 절차 개선 등도 추진 방향으로 제시하고 있다.

한국 독자가 알아둘 점

티빙 이용자는 우선 공식 개인정보 유출 조회 페이지에서 자신의 계정별 유출 여부와 항목을 확인하는 것이 좋다. 같은 이메일 주소나 비밀번호를 다른 서비스에서 재사용했다면 비밀번호를 변경하고, 가능하면 2단계 인증을 켜는 것이 안전하다. 특히 ‘티빙 보상’, ‘유출 확인’, ‘환불’ 등을 사칭한 문자나 메일에서 링크를 누르거나 인증번호·금융정보를 입력하지 않는 것이 중요하다.

이번 사건을 단순히 한 OTT의 보안 사고로만 보면 핵심을 놓치기 쉽다. 새 법이 강조하는 방향은 사고가 발생한 뒤 누가 사과할 것인가보다, 사고 전에 누가 위험을 발견하고 예산을 집행하며 개선을 끝까지 확인할 것인가에 가깝다. 개인정보가 기업의 핵심 자산이 된 만큼 보안도 이제 기술 부서만의 문제가 아니라 경영 책임의 일부가 되고 있다.

참고 출처

대표 이미지: Winston Chen / Unsplash. 개인정보 보호와 데이터센터 보안을 설명하기 위한 자료 이미지이며 티빙의 실제 서버 시설 사진은 아닙니다.