随着大规模个人信息泄露事件接连发生，韩国政府的预防、监管和处罚机制在国会国政监察中遭到集中质疑。多名议员指出，企业隐瞒泄露事实、妨碍调查的行为缺少有效制裁，而公共机构发生事故后的责任追究也明显偏弱。对此，韩国个人信息保护委员会表示，将以完善法律依据、强化调查执法和前端预防为重点，进一步补强现行制度。

13日，韩国国会政务委员会就个人信息保护委员会、国务调整室等机构开展国政监察。朝野议员围绕近期接连发生的个人信息泄露事件，集中追问政府的管理责任及应对成效。

国民力量党议员 Cho Jung-hoon 表示，过去5年，个人信息保护委员会预算增长45%，但泄露事故仍屡屡发生，政策效果值得怀疑。

他还指出，今年8月与政府24有关的信息泄露事件，从事发到向公众告知间隔超过一个月，说明即便是政府机构，也未能充分履行个人信息保护和损害告知义务。

Cho Jung-hoon 直言：“个人信息保护委员会到底发挥了什么作用？取得了什么成果？”他认为，仅靠对企业处以最高可达营业额10%的惩罚性罚款，难以从根本上遏制个人信息泄露问题。

个人信息保护委员会主席 Song Kyoung-hee 回应称，政府24事件的确存在告知延迟情况。她表示，与IT发展投入相比，长期以来安全领域投入明显不足，个人信息保护和管理体系滞后的问题因此不断累积。

除企业处罚问题外，公共机构泄露事件中的问责不足也成为本次国政监察的焦点之一。

国民力量党议员 Seo Il-jun 援引个人信息保护委员会提交的资料称，2022年至今年8月，韩国公共机构共发生128起个人信息泄露事件，约772万条个人信息外泄，但仅提出2起处分建议。

Seo Il-jun 表示，公共机构即便发生个人信息泄露，实际处分往往难以落实，民间企业与公共机构之间的制裁力度明显失衡。

对此，Song Kyoung-hee 解释称，另外，在委员会提出的20项处分要求中，已有7家机构予以采纳。她同时表示，与 Seo Il-jun 所引用的数据之间存在统计口径差异，后续将另行提交相关资料作进一步说明。

她还表示，由于公共机构没有营业额这一处罚基准，目前只能适用定额罚款。委员会正推动完善相关制度，进一步强化对责任人员的处分和对机构本身的责任追究。

在企业隐瞒泄露事实、妨碍调查方面，现行制度存在的制裁空白也在此次国政监察中被提出。

共同民主党议员 Kim Yong-man 表示，KT早在2024年3月就发现38台服务器感染恶意代码，却未及时申报，随后还出现删除部分受侵害服务器日志等疑似妨碍调查的情况。

Kim Yong-man 称，在个人信息保护委员会调查初期，KT一度表示没有可提交的保存资料；直到发现日志删除迹象后，才提交了另行保存的资料。他据此主张，应进一步加大对故意隐瞒泄露行为的处罚力度。

作为证人出席的KT首席信息安全官（CISO）承认，当时在事故应对和处置过程中确有不足。不过，对于是否存在组织性隐瞒，他表示相关调查仍在进行，暂难作出具体回应。

Song Kyoung-hee 也承认，如果证据隐匿或销毁等行为发生在正式立案调查之前，现行制度缺乏明确、独立的制裁依据。她表示，有必要修订《个人信息保护法》，对相关行为增设罚款等处罚措施，并进一步提升调查强制力。

个人信息保护委员会披露，截至今年8月，累计罚款金额已达7470亿韩元，显著高于去年全年的1678亿韩元。自今年9月起，韩国已针对重大、重复违法行为实施最高可达营业额10%的惩罚性罚款制度。

委员会还计划推动引入证据保全命令，并对拒不配合调查的行为征收履行强制金；对于涉及100万条以上个人信息的大规模泄露等重大案件，将组建专门调查组，加快案件处理进度。

此外，个人信息泄露事件的应对职责分散在多个政府部门，也被认为影响了初期处置效率。

共同民主党议员 Yoo Dong-soo 指出，个人信息、个人信用信息以及信息通信网络侵害事故分别适用不同法律，报送部门也各不相同，导致企业就同一事件往往需要向多个机构重复报送。

他举例称，近期7家金融公司中有5家同时向个人信息保护委员会和金融监管部门报送相关情况，因此建议建立“一次报送、信息共享”的一站式报送机制。

Song Kyoung-hee 表示，黑客攻击与个人信息泄露的识别时点可能并不一致，但对于共通的报送信息，有必要在相关机构之间实现联动共享。

她说，能否实现“一次报送即可同步至相应主管部门”，仍需有关部门协商并在系统层面加以落实，委员会将持续推动相关机制建设。

Song Kyoung-hee 当天在业务报告中还表示，针对近期接连发生的个人信息泄露事件，委员会深感责任重大，今后将与金融、安全等相关部门加强协作，推进事故调查，防止损害进一步扩大。

她还表示，将推动设立规模158亿韩元的统筹基金，用于受害者权利救济、事故预防，以及针对证据隐匿和销毁行为的举报奖励；同时，进一步强化对公共机构和处理大规模个人信息的经营主体的事前检查。