[뉴스토마토 신상민 기자] 개인정보 유출 사고를 반복하거나 고의·중과실로 개인정보를 유출한 기업에 전체 매출액의 최대 10%까지 과징금을 부과하는 제도가 시행됩니다. 아울러 이와 관련해 이재명 대통령은 최근 대규모 개인정보 유출 사고가 발생한 티빙에 대해 사건 경위를 신속하게 파악하고 법과 원칙에 따라 엄정한 책임을 물어야 한다며, 기업의 강력한 개인정보 유출 차단에 나설 것을 촉구했습니다.
11일 개인정보보호위원회에 따르면 지난 3월 개정된 '개인정보 보호법'이 이날부터 시행됩니다. 반복적이거나 고의·중과실로 개인정보를 유출한 기업·기관에는 전체 매출액의 최대 10%까지 징벌적 과징금이 부과됩니다.
개인정보 유출이 최종적으로 확인되지 않았더라도 유출 가능성을 인지했다면 72시간 이내 정보 주체에게 알려야 합니다. 법정 기한 내 통지하지 않으면 과징금 산정 과정에서 최대 30%까지 가중될 수 있습니다. 반면 사전 개인정보 보호 투자와 관리체계를 갖춘 기업은 과징금을 최대 40%까지 감경 받을 수 있습니다. 사고 이후 신속하게 대응하고 복구에 나선 경우에도 추가로 최대 40%까지 감경이 가능합니다.
기업 경영진의 책임도 강화됩니다. 개인정보 보호에 대한 최종책임자를 사업주·대표이사(CEO)로 명확히 하고, 개인정보 보호책임자(CPO)가 전문인력을 관리하고 관련 예산을 확보할 수 있도록 권한을 강화했습니다. CPO의 이사회 보고 의무도 포함됐습니다.
때문에 최근 티빙의 개인정보의 유출 사고도 재부각됐습니다. 이재명 대통령은 이날 수석보좌관 회의에서 "최근 한 온라인동영상서비스 기업에서 4000만개가 넘는 개인정보가 유출되는 사고가 발생해 국민 불안과 우려가 커지고 있다"며 "관계 기관에 사건 경위를 신속하고 정확하게 파악하고 법과 원칙에 따라 엄정한 책임을 물어야 한다"고 주문했습니다.
또 "티빙이 보안 취약점을 사전에 확인하고도 필요한 조치를 하지 않았다"고 지적하고 "유출된 개인정보를 악용한 2차 범죄 예방에도 만전을 기할 것"을 당부했습니다. 다만 티빙 사고에는 이날부터 시행된 전체 매출액 최대 10%의 징벌적 과징금 기준이 소급 적용되지는 않습니다. 개정 기준이 이날 이후 발생하는 위반행위부터 적용되기 때문입니다.
강화된 제재와 감경 기준은 기업의 정보보호 투자에도 영향을 줄 전망입니다. 과학기술정보통신부의 2025년 정보보호 공시 분석에 따르면 공시기업 773곳의 기업당 평균 정보보호 투자액은 약 32억원, 정보통신업은 62억원입니다.
한 보안업계 관계자는 "경영진 입장에서는 사고 발생 이후 큰 규모의 과징금을 부담하는 것보다 사전에 일정 규모의 예산을 투입해 사고 가능성을 낮추는 방향으로 판단할 가능성이 크다. 이미 현장에서는 개인정보 보호 담당자를 별도로 두거나 관련 시스템을 분리하는 경우가 많다"며 "CEO의 최종 책임이 명확해진 만큼 사전 예방 차원에서 개인정보 보호 예산을 별도로 확보하려는 움직임도 커질 수 있다"고 설명했습니다.
이어 72시간 통지 의무에 대해서는 "기업이 유출 가능성을 인지한 시점부터 계산되는 만큼, 인지 이후 얼마나 신속하게 대응했는지가 중요해질 것"이라고 덧붙였습니다.
양청삼 개인정보보호위원회 사무처장이 지난 10일 오전 서울 종로구 정부서울청사에서 개인정보 보호법 시행령 개정 브리핑을 하고 있다. 정부는 개인정보 유출 사전예방 및 피해 구제 강화를 위한 개인정보 보호법 시행령을 11일부터 시행한다. (사진=뉴시스)
신상민 기자 lmez0810@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지