개인정보 유출, 왜 '직원 실수'가 아니라 구조적 실패라고 봤을까요

영국 정보위원회(ICO)에 따르면, 런던 경찰청(Metropolitan Police Service)이 스토킹 피해자 새 주소를 가해자에게 전달한 사건 등으로 지난 8월 7일 시정명령과 견책을 받았다. ICO는 이를 개별 직원의 실수가 아니라 취약한 거버넌스·감독·교육 체계가 낳은 구조적 실패로 판단했다.

두 건의 사건, 하나의 공통된 원인

이번 ICO 조치의 배경에는 두 건의 개인정보 유출 사건이 있다. 첫째는 스토킹 피해자가 이사한 새 주소가 적힌 문서를, 비식별 처리(redact)하지 않은 채 가해자인 스토커 본인에게 그대로 전달한 사건이다. 둘째는 고위험 형사사건 관련자들의 신원이 드러나는 대량 이메일을 잘못된 수신자에게 발송한 사건이다. ICO는 조사 끝에 이 두 사건이 우연이 아니라 데이터보호법(Data Protection Act 2018) 제40조가 요구하는 적절한 기술적·조직적 보호조치가 전반적으로 미비했던 결과라고 결론 내렸다.

• 사건 1 — 스토킹 피해자의 새 주소 문서를 비식별 처리 없이 가해자에게 전달
• 사건 2 — 고위험 형사사건 관련자 신원이 드러나는 대량 이메일 오발송

조치 내용 정리

항목	내용
대상 기관	런던 경찰청(Metropolitan Police Service, MPS)
법 위반 조항	데이터보호법 2018 제40조(적절한 기술적·조직적 보호조치 미비)
ICO 조치	시정명령(enforcement notice) + 견책(reprimand), 금전 벌금 없음
시정 요구	3개월·12개월 내 데이터보호 교육·모니터링·거버넌스 체계 개선 이행

표에서 보듯 이번 조치는 금전적 벌금이 아니라 행정적 개선 명령이다. ICO는 공공기관인 경찰청에 대해 벌금보다 실질적인 체계 개선을 우선시하는 방식을 택했다. 다만 3개월·12개월이라는 구체적 이행 기한을 제시해, 개선이 실제로 이뤄지는지 추적할 수 있도록 했다.

왜 '직원 실수'가 아니라 '구조적 실패'라고 봤을까

이번 사례에서 가장 눈여겨볼 지점은 ICO가 두 사건을 개별 직원의 부주의가 아니라 조직 전체의 구조적 문제로 판단했다는 점이다. 스토킹 피해자의 새 주소를 가해자에게 보낸 것은 단순 실수처럼 보일 수 있지만, 이런 사고가 반복적으로 발생했다는 것은 애초에 비식별 처리를 누락하기 어렵게 만드는 시스템이나, 발송 전 교차 확인하는 절차 자체가 조직 차원에서 마련돼 있지 않았다는 뜻으로 해석된다. 개인정보 유출 사고가 발생했을 때 "담당자 한 명의 실수"로 결론 내리면, 그 직원을 교체하거나 경고하는 선에서 대응이 끝날 수 있다. 하지만 "거버넌스·감독·교육 체계의 구조적 실패"로 규정하면, 조직 전체의 프로세스와 시스템을 점검해야 하는 더 근본적인 대응이 요구된다. ICO가 이번에 후자의 판단을 내린 것은, 같은 유형의 사고가 다시 발생할 위험을 더 심각하게 봤다는 의미로 볼 수 있다. 특히 스토킹 피해자처럼 신변 안전이 직결된 개인정보가 유출됐을 때, 그 피해는 단순한 프라이버시 침해를 넘어 생명·신체의 위협으로 이어질 수 있다. 이번 사건은 법 집행기관조차 다루는 정보의 민감도에 비례하는 보호조치를 항상 갖추고 있지는 않다는 것을 보여주는 사례이기도 하다. 국내에서도 공공기관의 개인정보 유출 사고가 발생했을 때, 이번 ICO의 판단 기준처럼 "이것이 일회성 실수인지, 반복 가능한 구조적 문제인지"를 구분해서 보는 시각이 재발 방지에 도움이 될 수 있다.

이 글이 다루지 않는 것

이 글은 2026년 8월 7일 영국 ICO가 발표한 런던 경찰청 시정명령 내용만 다룬다.

1. 국내 경찰청·기관 사례로 단정하지 않는다 — 영국 ICO·데이터보호법 체계에 한정된 사건이다
2. 피해자의 신원을 추정하거나 특정하지 않는다

이 정보, 지금도 유효할까

이 자료는 2026년 8월 7일 발표된 내용으로, 이미 시정명령이 내려진 종결 사안이다. 확인 시점(2026년 10월 12일) 기준으로는 발표 66일 뒤로, 3개월 시정 기한이 임박했거나 지났을 수 있는 시기다.

자주 묻는 질문

Q. 런던 경찰청은 무엇으로 시정명령을 받았나?
A. 스토킹 피해자의 새 주소를 가해자에게 비식별 처리 없이 전달한 사건과, 고위험 형사사건 관련자 신원이 드러나는 이메일 오발송 사건 때문이다.

Q. 벌금도 부과됐나?
A. 아니다. 금전 벌금 없이 시정명령과 견책이 내려졌으며, 3개월·12개월 내 체계 개선이 요구됐다.

Q. 왜 '직원 실수'가 아니라고 판단했나?
A. ICO는 이런 사고가 반복됐다는 점에서, 개별 직원의 부주의가 아니라 거버넌스·감독·교육 체계의 구조적 실패로 판단했다.

Q. 피해자는 실제로 위험에 처했나?
A. 스토킹 피해자의 새 주소가 가해자에게 전달된 것으로 확인되며, 구체적인 2차 피해 여부는 원문에 명시되지 않았다.

Q. 이 사건이 국내에도 적용되나?
A. 아니다. 영국 ICO·데이터보호법 2018 체계에 한정된 사건으로, 국내 개인정보보호위원회 체계와는 법·절차가 다르다.

같이 보면 좋은 글: 「"여드름 짜기" 장난감에 주사기가 들어있다면 어떻게 하나요」와 「영국 주소까지 적힌 투자업체, 왜 미인가로 경고됐을까요」에서 비슷하게 공식 발표 내용을 과장 없이 그대로 읽어야 하는 소식을 확인할 수 있다. 개인정보 유출 사고를 접할 때는 일회성 실수인지 구조적 문제인지 구분해서 읽는 습관이 필요하다.

정리하면, 영국 ICO는 런던 경찰청의 스토킹 피해자 주소 유출·대량 이메일 오발송 사건에 대해 데이터보호법 제40조 위반으로 시정명령과 견책을 내렸다. 금전 벌금은 없었지만, ICO는 이를 개별 실수가 아닌 구조적 실패로 규정하고 3개월·12개월 내 체계 개선을 요구했다.

출처: 영국 정보위원회(ICO) 「Metropolitan Police Service issued with enforcement notice and reprimand following data protection failures」(2026-08-07) · ico.org.uk 보도자료 · ico.org.uk 집행 조치 목록