개인정보 유출 사전예방 강화…중대 유출 과징금 최대 매출액 10%

[한국금융신문 마혜경 기자] 대규모 개인정보 유출사고에 대한 기업과 기관의 책임이 한층 강화된다. 반복적이거나 고의·중과실에 따른 대규모 개인정보 유출에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 되고, 개인정보 보호를 위한 사전 투자와 사고 발생 이후 신속한 대응 노력은 과징금 감경 요소로 반영된다.

개인정보보호위원회는 개정된 「개인정보 보호법」과 「개인정보 보호법 시행령」 및 관련 고시가 오늘(11일)부터 시행된다.

이번 제도 개편은 최근 국민 일상생활과 밀접한 분야에서 대규모 개인정보 유출사고가 잇따르면서 개인정보 침해에 대한 국민들의 불안이 커진 데 따른 것이다. 개인정보위는 유출사고가 발생한 이후 대응하는 방식에서 벗어나 사고를 사전에 예방하고, 피해 발생 가능성이 있는 초기 단계부터 정보주체를 보호하는 방향으로 제도를 강화했다.

우선 반복적이고 중대한 개인정보 침해행위에 대한 제재가 강화된다. 고의·중과실로 3년 내 위반행위를 반복하거나, 고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우, 또는 시정명령을 이행하지 않아 개인정보 유출사고가 발생한 경우 등이 중대한 위반행위에 해당한다.

이 경우 위반행위의 내용과 정도, 발생 경위, 정보주체 피해 규모 등을 종합적으로 고려해 기준금액을 산정한 뒤 가중·감경 절차를 거쳐 전체 매출액의 10% 이내에서 과징금을 부과할 수 있다.

반면 개인정보 보호를 위해 기업이 사전에 적극적으로 투자한 경우에는 과징금을 감경받을 수 있다. 개인정보 보호 관련 예산·인력·설비·장치 등에 대한 투자 규모와 지속성, 증가 정도는 물론 CEO와 CPO 등 개인정보 보호체계의 수준, 법적 의무사항을 넘어선 추가적인 안전성 확보조치 등이 감경 여부를 판단하는 요소가 된다.

사전 예방 투자에 대해서는 과징금 부과 기준금액의 최대 40% 범위에서 감경할 수 있다. 사고에 대비한 대응체계를 구축하고 조기 탐지, 신속한 신고·통지, 피해 확산 방지 등의 조치를 신속하게 이행한 경우에도 감경이 가능하다.

반복적인 법 위반에 대한 가중 비율도 높아진다. 기존에는 1회 위반 시 15%, 2회 이상 30%를 가중했지만 앞으로는 1회 20%, 2회 40%, 3회 이상 80%로 가중 비율이 상향된다. 유출사고가 발생했음에도 법정기한 내 신고·통지를 하지 않거나 피해 확산 방지조치를 하지 않은 경우에도 과징금이 최대 30% 가중될 수 있다.
개인정보 보호책임자(CPO)의 권한과 책임도 강화된다. 일정 규모 이상의 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐야 하며 개인정보위에도 신고해야 한다.

대상은 연 매출액 또는 수입이 1800억원을 초과하면서 100만명 이상의 개인정보 또는 5만명 이상의 민감정보·고유식별정보를 처리하는 사업자, 재학생 수 2만명 이상인 대학, 상급종합병원, 주요 공공시스템 운영기관 등이다.

CPO 지정·변경·해제 신고는 개인정보 포털에서 할 수 있다. 법 시행 이후 새롭게 CPO를 지정·변경·해제하는 경우 사유가 발생한 날부터 6개월 이내에 신고해야 한다. 다만 법 시행 전에 이미 지정된 CPO는 별도의 이사회 의결 없이 9월 11일부터 6개월 이내 신고하면 된다.

제도 도입에 따른 현장의 부담을 고려해 계도기간도 운영된다. 개인정보위는 2027년 12월 31일까지 계도기간을 두고 이 기간에는 CPO 미지정, 자격요건 미비, 이사회 의결 의무 위반, 신고 지연 등 일부 법령 위반에 대해 과태료를 부과하지 않을 예정이다.

개인정보 유출사고에 대한 국민 통지 방식도 달라진다. 앞으로는 실제 유출이 최종 확인되지 않았더라도 객관적으로 개인정보 유출 가능성이 높다고 합리적으로 판단되는 경우 정보주체에게 이를 알려야 한다.

개인정보처리시스템이나 개인정보취급자가 사용하는 기기에 불법적인 접근이 발생해 개인정보 유출이 의심되지만 정보주체를 특정하기 어려운 경우, 일부 개인정보가 불법적으로 거래되는 사실이 확인돼 다른 정보주체의 개인정보까지 유출됐을 가능성이 인정되는 경우 등이 대상이다. 해당 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지해야 한다.

통지 내용도 구체화됐다. 유출된 것으로 의심되는 개인정보 항목과 의심 시점·경위, 피해를 최소화할 수 있는 방법, 피해구제 절차, 피해 신고 연락처 등을 안내해야 하며, 향후 실제 유출이 확정될 경우 추가 통지한다는 사실도 알려야 한다.

특히 개인정보가 단순히 분실·도난·유출된 경우뿐 아니라 위조·변조·훼손된 경우까지 신고·통지 대상에 포함된다. 랜섬웨어 등으로 개인정보가 훼손된 경우도 해당한다. 개인정보위는 유출사고 발생 시 개인정보 삭제·회수 등 피해 확산 방지조치도 보다 구체적으로 마련하도록 했다.

다만 개인정보 보호 관련 ISMS-P 인증 의무화 규정은 이번 시행 대상에서 제외된다. 공공·민간 부문의 중요 개인정보처리자에 대한 ISMS-P 인증 의무화는 기업과 기관이 예산을 확보하는 데 필요한 기간 등을 고려해 2027년 7월 1일부터 시행될 예정이다.

개인정보위는 이번 개정 법령 시행을 통해 기업과 기관의 개인정보 보호 책임을 명확히 하고, 개인정보 보호를 위한 투자를 사후 처벌을 피하기 위한 비용이 아닌 고객 신뢰와 기업 경쟁력을 높이기 위한 선제적 투자로 전환한다는 방침이다.

송경희 개인정보위 위원장은 이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호와 강화된 안전관리 체계가 확립될 것으로 기대한다며 개인정보 보호 투자를 고객 신뢰 확보와 기업 이익 확대를 위한 선제적 투자로 인식하는 전환이 필요하다고 밝혔다.

개인정보위는 새롭게 시행되는 제도가 현장에서 안정적으로 정착될 수 있도록 관련 안내서와 실무 매뉴얼을 제공하고 기업·기관 등을 대상으로 지속적인 안내를 이어갈 계획이다.

마혜경 한국금융신문 기자 human0706@fntimes.com