[뉴스토마토 전연주 기자] 오는 11일부터 반복적이거나 중대한 개인정보 유출 사고를 낸 기업에는 전체 매출액의 최대 10%까지 과징금이 부과됩니다. 반대로 사고 예방을 위해 개인정보 보호에 선제적으로 투자한 기업은 과징금을 최대 40%까지 감경 받을 수 있습니다. 개인정보 보호 정책의 무게중심을 사후 제재에서 사전 예방으로 옮기겠다는 취지입니다.
10일 개인정보보호위원회(개보위)에 따르면 이 같은 내용을 담은 개정 개인정보 보호법과 시행령, 관련 고시가 11일부터 시행됩니다. 최근 유통·통신 등 국민 생활과 밀접한 분야에서 대규모 개인정보 유출 사고가 잇따르면서 중대한 침해에 대한 기업 책임을 강화하는 동시에 예방 투자를 유도하기 위해 제도를 손질했습니다.
송경희 개인정보보호위원회 위원장이 지난 9일 정부서울청사에서 개최된 제19회 전체회의를 진행하고 있다. (사진=개인정보보호위원회)
가장 큰 변화는 과징금입니다. 고의·중과실로 개인정보 침해를 반복하거나, 1000만명 이상의 대규모 피해를 일으킨 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있습니다. 시정명령을 이행하지 않아 다시 유출 사고를 낸 경우도 대상입니다.
이들 요건을 모두 충족해야 하는 것은 아닙니다. 개보위 관계자는 "다 '앤드(AND) 조건'이 아니라 각각 최대 10%까지 과징금이 부과될 수 있는 요건"이라며 "1000만명 이상의 대규모 피해가 발생한 경우에는 반복성 요건 없이 고의·중과실이 인정되면 적용될 수 있다"고 설명했습니다.
반면 사고 발생 전 개인정보 보호에 기울인 노력은 과징금 감경에 반영됩니다. 개인정보 보호 예산과 인력, 설비·장치 투자 규모와 지속성뿐 아니라 개인정보보호책임자(CPO)의 역할, 개인정보 보호 관리체계와 안전조치 수준 등을 종합적으로 평가해 과징금을 최대 40%까지 감경할 수 있습니다.
단순히 투자액이 많다고 감경 폭이 커지는 구조는 아닙니다. 개보위 관계자는 "단지 투자하는 수치가 중요한 게 아니다"라며 "업종별 기업·기관의 특성에 따른 투자 규모와 지속성, 개인정보 관리체계가 실질적으로 운영되는지가 중요하다"고 말했습니다. 보호해야 할 개인정보를 제대로 식별하고 처리 단계별 위험을 관리하는지, CPO와 경영진이 이를 주기적으로 점검하는지 등도 함께 평가합니다.
기업 경영진의 책임도 강화됩니다. 사업주와 대표자의 개인정보 보호 관리·감독 의무를 법률에 명시하고, 일정 규모 이상의 주요 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개보위에 신고해야 합니다. CPO는 필요한 전문인력과 예산을 확보하고 개인정보 보호 현황을 최고경영자(CEO)와 이사회에 보고해야 합니다.
개인정보 유출 통지 시점도 빨라집니다. 기존에는 실제 유출 사실을 확인한 뒤에야 이용자에게 알렸었는데요. 앞으로는 불법 접근이나 개인정보 불법 거래 등 객관적으로 유출 가능성이 높다고 판단되는 경우 최종 확인 전이라도 정보주체에게 통지해야 합니다. 아울러 손해배상 청구와 분쟁조정 신청 등 피해구제 절차도 함께 안내해야 합니다.
랜섬웨어 등으로 개인정보가 위조·변조·훼손된 경우도 유출 신고·통지 대상에 포함됩니다. 공공·민간 주요 개인정보처리자에 대한 개인정보보호 관리체계(ISMS-P) 인증 의무화는 준비 기간을 거쳐 내년 7월부터 시행되며, 대상 기업·기관은 2028년 말까지 인증을 취득해야 합니다.
개보위는 이번 개정을 통해 중대한 개인정보 침해에는 책임을 강화하는 동시에, 예방에 적극적으로 투자한 기업에는 인센티브를 부여해 개인정보 보호를 기업의 상시적인 경영 책임으로 정착시킨다는 방침입니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지