article_right_top
대규모 개인정보 유출사고가 잇따르면서 기업과 공공기관의 개인정보 관리 책임이 한층 무거워진다. 개인정보가 실제로 유출됐다는 사실이 최종 확인되기 전이라도 유출 가능성이 높다고 판단되면 국민에게 먼저 알려야 하고, 반복적이거나 고의·중과실에 따른 대규모 유출에는 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있게 된다. 개인정보보호위원회는 지난 3월 개정된 ‘개인정보 보호법’과 법률에서 위임한 사항을 구체화한 개정 ‘개인정보 보호법 시행령’이 9월 11일부터 시행된다고 밝혔다.
이번 제도 개편은 개인정보 유출사고가 발생한 이후 수습하는 방식에서 벗어나 사고 가능성을 사전에 차단하고, 예방투자와 신속한 대응 여부까지 기업·기관의 책임을 묻는 방향으로 개인정보 보호체계를 전환하는 데 초점이 맞춰졌다. 가장 큰 변화는 중대하고 반복적인 개인정보 침해에 대한 제재 강화다. 고의 또는 중대한 과실로 3년 이내 위반행위를 반복하거나, 고의·중과실로 1천만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출사고가 발생한 경우 등이 징벌적 과징금 대상이 된다.
개인정보위는 위반행위의 내용과 정도, 발생 경위, 정보주체 피해 규모 등을 종합해 기준금액을 산정한 뒤 가중·감경 절차를 거쳐 전체 매출액의 10% 이내에서 부과할 수 있도록 세부 기준을 마련했다. 반복 위반에 대한 제재 수위도 높아진다. 과징금 가중 비율은 기존 1회 위반 시 15%, 2회 이상 30%에서 개정 후 1회 20%, 2회 40%, 3회 이상 80%로 상향된다. 유출사고가 발생한 뒤 법정기한 내 신고·통지를 하지 않거나 피해 확산을 막기 위한 조치를 하지 않은 경우에도 과징금을 최대 30%까지 가중할 수 있다.
반면 개인정보 보호를 위한 사전 투자와 사고 이후 신속한 대응에는 감경을 적용한다. 개인정보 보호를 위해 투입한 예산과 인력, 설비·장치의 규모와 지속성, 개인정보 보호체계의 수준, 법적 의무를 넘어선 추가적인 안전조치 등을 종합적으로 고려해 기준금액의 최대 40%까지 과징금을 감경할 수 있다. 사고 대응체계를 사전에 마련하고 실제 사고가 발생했을 때 조기에 탐지한 뒤 신속하게 신고·통지하고 피해 확산을 막는 등 안전관리체계를 신속하게 회복·개선한 경우에도 최대 40%의 감경이 가능하다.
기존 개인정보 보호 노력에 대한 감경 기준은 일부 조정된다. ISMS-P 인증에 따른 감경은 최대 50%에서 30%로, 자율규약은 최대 40%에서 20%로, 보호수준 평가 등은 최대 30%에서 15%로 각각 조정된다. 개인정보 보호 수준이 높은 기관에 대한 책임도 보다 명확해진다. 높은 수준의 관리 책임성이 요구되는 주요 공공기관은 업무 형태나 규모를 이유로 과징금을 감경하지 않도록 규정했다.
과징금 산정 과정에서 위반행위의 구체적인 내용과 피해 규모, 사회적 영향 등을 추가로 고려해 최대 50%까지 감경할 수 있도록 하는 등 제재의 비례성도 강화했다. 영세·중소기업이 경미한 위반사항을 기술지원을 받아 시정하는 경우에는 과징금을 면제할 수 있도록 했다. 개인정보 보호를 책임지는 CPO의 권한과 독립성도 강화된다. 개정법에 따라 일정 규모 이상의 주요 개인정보처리자가 개인정보 보호책임자(CPO)를 지정·변경·해제할 경우 이사회 의결을 거치고 개인정보위에 신고해야 한다.
대상은 현행법상 전문 CPO 지정 의무 대상과 동일하다. 연 매출액 또는 수입이 1,800억원을 초과하면서 5만명 이상의 민감정보·고유식별정보 또는 100만명 이상의 개인정보를 처리하는 사업자, 재학생 2만명 이상인 대학, 상급종합병원, 주요 공공시스템을 운영하는 공공시스템운영기관 등이 해당한다. 법 시행 이후 CPO를 새로 지정하거나 변경·해제하는 경우에는 이사회 의결을 거쳐 신고 사유가 발생한 날부터 6개월 이내 개인정보위에 신고해야 한다. 법 시행 전에 지정된 CPO도 별도의 이사회 의결 없이 9월 11일부터 6개월 이내 신고하면 된다.
경영상의 이유 등 불가피한 사유가 있다고 개인정보위가 인정하면 요청에 따라 신고기간을 최대 1년까지 연장할 수 있다. 개인정보위는 제도 초기 기업과 기관의 부담을 고려해 2027년 12월 31일까지 계도기간을 운영한다. 이 기간에는 CPO 미지정, 자격요건 미비, 이사회 의결 의무 위반, 신고 지연 등에 대해 과태료를 부과하지 않는다.
개인정보 유출에 대한 국민 통지 방식도 달라진다. 이제는 실제 유출 사실이 최종 확정될 때까지 기다리지 않고, 개인정보처리시스템이나 개인정보취급자 기기에 불법적인 접근이 발생해 유출이 의심되거나 일부 개인정보의 불법 거래가 확인돼 다른 정보주체의 개인정보까지 유출됐을 가능성이 높다고 합리적으로 판단되는 경우 정보주체에게 통지해야 한다.
이 경우 해당 사실을 알게 된 때부터 72시간 이내 통지하는 것이 원칙이다. 통지 내용도 구체화됐다. 유출이 의심되거나 가능성이 있는 개인정보 항목과 의심 시점·경위, 피해를 최소화하는 방법, 피해구제 절차와 피해신고 연락처 등을 알려야 하며, 실제 유출이 확인되면 추가 통지한다는 사실도 함께 안내해야 한다. 다만 유출 가능성을 통지한 이후 실제 유출이 발생하지 않은 것으로 확인되면 정보주체의 불필요한 불안과 혼란을 줄이기 위해 정정 통지를 해야 한다.
개인정보 보호체계 자체를 사전에 강화하는 제도도 마련됐다. 공공·민간 부문의 중요 개인정보처리자에 대한 ISMS-P 인증 의무화 규정은 기업과 기관의 준비기간을 고려해 2027년 7월 1일부터 시행된다. 관련 시행령 개정은 법 시행 전에 별도로 추진될 예정이다. 개인정보위는 제도 변화에 맞춰 ‘과징금 투자 감경제도 안내서’, ‘CPO 지정·신고 실무 매뉴얼’, ‘개인정보 유출등 대응 안내서’ 등을 마련해 현장 적용을 지원할 계획이다.
송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 ‘비용’이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 ‘선제적 투자’로 인식이 전환될 것으로 기대한다”고 밝혔다.
-이정직기자
이정직기자
<저작권자 © 재난포커스 무단전재 및 재배포금지>
