고의·중과실로 3년 내 반복 위반하거나 1000만명 이상 피해 시 특례 적용
개인정보 보호 사전투자하면 과징금 기준금액 최대 40% 감경
[더파워 류동우 기자] 개인정보를 고의나 중대한 과실로 반복 유출하거나 1000만명 이상의 대규모 피해를 일으킨 기업·기관에는 전체 매출액의 최대 10%까지 과징금이 부과될 수 있다. 실제 유출이 최종 확인되지 않았더라도 유출 가능성이 높다고 판단되면 72시간 안에 정보주체에게 알리는 제도도 새로 시행된다.
개인정보보호위원회는 개인정보 유출 사고의 사전 예방과 피해구제를 강화하기 위해 지난 3월 개정된 개인정보 보호법과 개정 시행령·고시가 오는 11일부터 시행된다고 10일 밝혔다.
이번 개정의 핵심은 반복적이거나 중대한 개인정보 유출에 대한 제재를 강화하는 것이다. 고의·중과실로 3년 이내에 위반행위를 반복하거나 고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출사고가 발생한 경우 등이 과징금 특례 대상이 된다.
개인정보위는 위반행위의 내용과 정도, 발생 경위, 피해 규모 등을 종합적으로 고려해 기준금액을 산정한 뒤 가중·감경 절차를 거쳐 전체 매출액의 10% 이내에서 최종 과징금을 결정할 수 있도록 했다.
반복 위반에 대한 가중률도 높아진다. 기존에는 과거 위반이 1회이면 15%, 2회 이상이면 30%를 가중했지만 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%까지 가중한다.
개인정보 유출 사실을 법정기한 내 신고·통지하지 않고 피해 확산을 막기 위한 조치도 하지 않은 경우에는 과징금을 최대 30% 가중한다. 유출사고가 발생한 뒤 신속하게 신고하고 피해를 줄이려는 기업과 그렇지 않은 기업을 제재 단계에서 구분하겠다는 취지다.
반대로 사고가 발생하기 전에 개인정보 보호에 적극적으로 투자한 기업에는 과징금을 감경한다. 개인정보 보호 관련 예산과 인력, 설비·장치에 대한 투자 규모와 비율, 투자의 지속성과 증가 정도 등을 평가해 과징금 기준금액의 최대 40%까지 감경할 수 있다.
최고경영자(CEO)와 개인정보 보호책임자(CPO)의 관심과 역할, 개인정보 전담조직과 전문인력 수준도 평가한다. 법에서 요구하는 수준을 넘어 추가적인 안전조치를 실시했는지도 감경요소가 된다.
기업이 사고 발생 이후 신속하게 대응한 경우에도 최대 40% 감경할 수 있다. 평소 사고 대응체계를 구축·운영하고 실제 사고가 발생했을 때 이를 조기에 탐지한 뒤 신고·통지하고 피해 확산을 막은 경우가 대상이다.
최종 과징금을 결정할 때는 위반행위의 구체적인 내용과 피해 규모 등을 고려해 추가로 최대 50%까지 감경할 수 있다. 영세·중소기업의 경미한 위반은 기술지원을 받아 시정한 경우 과징금을 면제할 수 있도록 했다.
기존 개인정보 보호 노력에 따른 감경률은 조정된다. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증에 따른 감경률은 최대 50%에서 30%로, 자율규약은 40%에서 20%, 보호수준 평가 등은 30%에서 15%로 각각 낮아진다.
공공·민간 부문의 중요 개인정보처리자에 대한 ISMS-P 인증 의무화도 법에 포함됐지만 이 규정은 기업과 기관의 예산 확보 등에 필요한 시간을 고려해 내년 7월1일부터 시행할 예정이다.
CPO의 권한과 책임도 강화된다. 일정 규모 이상의 개인정보처리자는 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐야 하고 개인정보위에 신고해야 한다.
대상은 연 매출액 또는 수입이 1800억원을 넘으면서 5만명 이상의 민감정보·고유식별정보나 100만명 이상의 개인정보를 처리하는 사업자다. 재학생이 2만명 이상인 대학과 상급종합병원, 주요 공공시스템을 운영하는 기관도 포함된다.
새로 CPO를 지정·변경·해제하는 경우에는 이사회 의결을 거친 뒤 신고 사유가 발생한 날부터 6개월 안에 개인정보위에 신고해야 한다.
법 시행 전에 이미 지정된 CPO는 별도의 이사회 의결 없이 오는 11일부터 6개월 안에 신고하면 된다. 이사회 소집이 어려운 등 불가피한 사정이 개인정보위에서 인정되면 신고기간을 최대 1년까지 연장할 수 있다.
다만 새 제도가 현장에 안착할 수 있도록 2027년 12월31일까지 계도기간을 운영한다. 이 기간에는 CPO 미지정이나 자격요건 미비, 이사회 의결 의무 위반, 신고 지연 등에 과태료를 부과하지 않는다.
개인정보 사고가 발생했을 때 이용자에게 통지하는 시점도 앞당겨진다. 지금까지는 개인정보가 실제 유출됐음을 확인한 뒤 통지하는 것이 원칙이었지만 앞으로는 객관적으로 유출 가능성이 높다고 합리적으로 판단되면 확정 전이라도 정보주체에게 알려야 한다.
개인정보처리시스템이나 직원이 이용하는 기기에 불법적인 접근이 발생해 개인정보 유출이 의심되지만 피해자를 특정하기 어려운 경우가 대표적이다.
일부 개인정보가 불법적으로 거래된 사실이 확인돼 다른 이용자의 개인정보까지 유출됐을 가능성이 있다고 판단되는 경우에도 통지 대상이 된다. 해당 사실을 알게 된 때부터 72시간 이내에 통지해야 한다.
통지할 때는 유출이 의심되는 개인정보 항목과 시점·경위, 피해를 줄이기 위한 방법, 피해구제 절차와 신고 연락처 등을 알려야 한다. 이후 실제 유출이 확인되면 추가 통지를 하고, 반대로 유출되지 않은 것으로 확인되면 이용자의 혼란과 불안을 줄이기 위해 정정 통지를 해야 한다.
개인정보 사고의 범위도 넓어진다. 기존 분실·도난·유출뿐 아니라 랜섬웨어 공격 등에 따른 개인정보 위조·변조·훼손도 신고·통지 대상에 포함된다.
피해구제 관련 통지내용에는 손해배상 청구와 분쟁조정 신청 등 법적 절차가 추가되고, 사고 발생 뒤 개인정보를 회수하거나 삭제하는 등 구체적인 피해 확산 방지조치도 강화된다.
개인정보위는 이번 법령 시행을 통해 기업과 기관이 유출 사고가 발생한 뒤 대응하는 방식에서 벗어나 평상시 예방투자를 늘리고 CEO와 CPO를 중심으로 상시적인 개인정보 안전관리 체계를 갖추도록 유도한다는 방침이다.
송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고 개인정보 보호를 위한 투자를 ‘비용’이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 ‘선제적 투자’로 인식이 전환될 것으로 기대한다”고 밝혔다.
류동우 더파워 기자 rdw2026@thepowernews.co.kr
이미지 확대보기
