개인정보 중대 침해시 '매출 10%' 철퇴…예방·신속대응엔 감경(종합)

(서울=뉴스1) 나연준 기자 = 개인정보를 고의 또는 중대한 과실로 반복 침해하거나 1000만명 이상의 대규모 피해를 일으킨 기업에는 전체 매출액의 최대 10%에 달하는 과징금이 부과될 수 있다. 반대로 개인정보 보호에 선제적으로 투자하고 사고 발생 이후 신속하게 대응한 기업에는 과징금을 적극 감경한다.

정부가 개인정보 유출 사고가 터진 뒤 책임을 묻는 '사후 제재'에서 기업의 선제적인 보안투자와 최고경영자(CEO)의 책임을 강화하는 '사전 예방' 중심으로 개인정보 보호정책의 무게중심을 옮긴다.

개인정보보호위원회는 이 같은 내용을 담은 개정 개인정보 보호법과 시행령·고시가 11일부터 시행된다고 10일 밝혔다.

양청삼 개인정보위 사무처장은 이날 브리핑에서 "이번 법 개정의 핵심은 사후제재를 넘어 사전예방을 중심으로 하는 개인정보 보호정책의 패러다임 전환"이라며 "개인정보 보호 투자를 비용이 아닌 고객의 신뢰와 기업 가치를 높이는 선제적 투자로 인식할 수 있도록 하겠다"고 말했다.

개정된 개인정보 보호법의 핵심은 반복적이거나 중대한 개인정보 침해에 대한 제재 강화다.

고의·중과실로 3년 이내 위반행위를 반복하거나 1000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.

실제 과징금은 위반행위의 내용과 정도, 경위, 피해 규모 등을 종합적으로 고려해 기준금액을 산정한 뒤 가중·감경 절차를 거쳐 결정된다.

반복 위반에 대한 과징금 가중 비율도 높인다. 기존에는 1회 위반 시 15%, 2회 이상 30%를 가중했지만 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%까지 늘어난다.

반면 기업이 개인정보 보호에 선제적으로 투자했다면 과징금을 깎아준다.

개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모와 지속성, CEO·개인정보보호책임자(CPO) 및 전문인력 등 보호체계 수준, 법적 의무를 넘어선 추가적인 안전조치 등을 고려해 과징금 부과 기준금액의 최대 40%를 감경할 수 있다.

단순히 보안에 얼마를 투자했는지만 보는 것은 아니다. 개인정보위는 기업이 보호해야 할 개인정보 자산과 위험을 제대로 식별하고 이에 적합한 보호체계를 구축·운영하는지, CPO가 위험과 대응책을 CEO와 이사회에 주기적으로 보고하고 후속 조치가 이뤄지는지 등도 함께 평가할 방침이다.

사고가 발생한 이후 대응도 과징금에 영향을 준다. 사고를 조기에 탐지하고 신속하게 신고·통지한 뒤 피해 확산 방지와 취약점 개선, 2차 피해 예방 등에 적극 나선 경우 별도로 최대 40%까지 감경할 수 있다.

양 사무처장은 "모범적인 개인정보 처리자가 사전에 투자하고 사후에 여러 조치를 모범적으로 잘했을 경우는 감경받을 수 있다"며 "모든 공공기관, 모든 기업이 이러한 마인드 셋을 갖고 개인정보 보호에 임해줬으면 하는 기대를 갖고 있다"고 말했다.

개인정보 보호를 보안 담당자만의 업무가 아닌 기업 경영의 문제로 끌어올리는 장치도 마련됐다.

개인정보 유출에 대한 CEO와 CPO의 책임도 강화한다. 개정법은 개인정보 보호에 대한 CEO의 최종 책임을 명시하고 CPO가 전문인력을 관리하고 관련 예산을 확보할 수 있도록 직무 권한을 강화했다. CPO의 이사회 보고 의무도 신설됐다.

일정 규모 이상의 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다. 대상은 연 매출액 또는 수입이 1800억 원을 넘으면서 5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 사업자와 재학생 2만 명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관 등이다.

개정법 시행 전에 이미 지정된 CPO는 별도 이사회 의결 없이 내년 3월 11일까지 개인정보위에 신고하면 된다. 개인정보위는 제도 안착을 위해 2027년 말까지 계도기간을 운영한다.

개인정보가 실제 유출됐는지 최종적으로 확인되기 전 이용자에게 위험을 알리는 '유출 가능성 통지제'도 도입된다.

기존에는 기업이 실제 개인정보 유출 사실을 확인한 뒤 이용자에게 통지했다. 해킹 사고가 발생하더라도 포렌식 등을 통해 개인정보 유출 여부와 규모를 확인하는 데 시간이 걸리면 그동안 이용자는 자신의 개인정보가 위험에 처했다는 사실을 알기 어려웠다.

앞으로는 불법적인 시스템 접근이나 개인정보 불법 거래 등 객관적인 정황을 토대로 개인정보 유출 가능성이 높다고 합리적으로 판단되면 해당 사실을 안 때부터 72시간 이내 이용자에게 알려야 한다. 단순히 보안 취약점이 발견됐거나 막연한 유출 가능성이 있다는 이유만으로 통지하는 것은 아니고 객관적인 의심 정황 등이 있어야 한다.

통지할 때는 유출이 의심되는 개인정보 항목과 시점·경위뿐 아니라 피해를 최소화하는 방법, 손해배상 청구와 분쟁조정 신청 등 피해구제 절차도 함께 알려야 한다. 랜섬웨어 등으로 개인정보가 위조·변조·훼손된 경우도 유출 신고·통지 대상에 포함된다.

한편 공공·민간 주요 개인정보처리자에 대한 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 의무화는 준비기간을 고려해 2027년 7월 1일부터 시행된다.

yjra@news1.kr