earticle

영어

In 2024, South Korea faced 307 data breaches, with the public sector accounting for a significant 104 cases (34%). Hacking, constituting 56% of incidents, revealed critical vulnerabilities in the nation's data protection frameworks. This study analyzes the effectiveness of South Korea's public sector data protection system through a comparative analysis with the US, UK, China, and Japan, proposing key legislative improvements. The analysis found that leading countries have robust systems: the U.S. mandates 72-hour breach reporting under a multi-layered oversight system; the UK enforces high fines equally on public and private sectors; and Japan operates a unified legal framework with mandatory public disclosure. In contrast, South Korea's public sector suffers from weak deterrents, with fines averaging only 1.3% of those in the private sector. The system also lacks accountability and transparency due to inadequate breach notification duties and limited application of security requirements like Personal Information Impact Assessments (PIA). To address these issues, this study proposes strengthening accountability through progressive fines for repeat violations, legislating a 72-hour breach reporting and notification duty, and mandating regular external audits based on the NIST Cybersecurity Framework (CSF). These measures are expected to enhance the transparency and resilience of South Korea's national data security framework.

한국어

디지털 전환의 가속화로 인해 공공기관이 보유·처리하는 개인정보 규모와 민감성이 크게 증가하였으나, 2024년 기준 공공·민간을 합쳐 307건의 개인정보 유출 사고가 발생했고, 그 가운 데 공공부문이 104건(34%)을 차지하며 국가적 위기의식이 고조되고 있다. 특히 해킹이 전체 사 고의 56%를 차지해 기술적·관리적 보호체계 전반의 한계가 드러났다. 이러한 배경에서 본 연 구는 한국 공공기관 개인정보 보호 법·제도의 실효성을 규명하고, 주요국 사례를 비교 분석하 여 개선방안을 제시하는 것을 목적으로 한다. 연구 방법으로 국내외 침해사고 통계 및 관련 법 령, 주요국 보고서 등을 분석하였으며, 법령 이행률, 사고 통지 의무, 과징금, 개인정보 영향평가, 감독기구 독립성을 핵심 지표로 삼고, 공공과 민간의 유출 사례를 비교하였다. 분석 결과, 미국 은 법적으로 연방기관 대상 PIA·72시간 이내 사고 보고 의무 등을 제도화하고, OMB·GAO· CISA의 다중 감독체계로 실효성을 담보하였으며 영국은 민·관 동일 책임 원칙을 적용하고, 위 반 시 최대 1,750만 파운드 또는 전 세계 매출 4%의 과징금을 부과해 강력한 억지 효과를 확보 했다. 중국은 중앙집중형 통제체계를 구축했으나 ‘중요정보인프라‘ 정의와 범위가 불명확해 법 적용의 탄력성이 크다는 한계가 발견됐다. 또 일본은 법 개정으로 공공·민간 단일 법체계를 완 성하고, 1,000명 이상 유출 시 PPC 신고·피해자 통지를 의무화해 투명성을 제고했다. 이에 비 해 한국은 공공기관에 대한 과징금 상한(20억 원)과 실제 부과액이 민간 대비 1.3% 수준으로 낮아 억지력이 미흡하고, 사고 통지·공시 의무가 민간에만 부분 적용되어 책임성과 투명성이 부 족하며, PIA·보안인증(ISMS-P) 적용 범위가 제한적이라는 한계가 확인되었다. 이에 본 연구는 반복 위반 시 과징금 가중 및 기관장 징계, 72시간 내 사고 보고·통지 법제화, 공공-민간 위협 정보 공유(ISAC) 확대, NIST CSF 기반 정기 외부감사 도입 등을 제안하며, 공공부문의 책임성과 투명성을 강화해 국가 보안 체계의 회복탄력성을 높이는 데 기여할 것으로 기대된다.