반복·대규모 개인정보 유출기업, 최대 매출 10% 과징금 부과한다

[산업일보]
사전 예방 중심으로 개인정보 보호 정책 패러다임을 전환하는 개인정보 보호법과 시행령이 11일부터 시행된다. 반복적·대규모 유출사고를 일으킨 기업에는 매출액의 최대 10%에 달하는 징벌적 과징금이 부과된다. 사전에 개인정보 보호에 충실히 투자하고 사고 후 신속히 대응한 기업은 과징금을 감경받는다.

개인정보보호위원회(이하 개보위) 양청삼 사무처장은 10일 서울정부종합청사에서 3월 개정된 개인정보 보호법 및 시행령의 시행을 앞두고 주요 내용을 발표했다.

우선 반복적이거나 중대한 개인정보 침해행위에 대한 제재를 대폭 강화한다. 고의·중과실로 3년 내 위반행위를 반복하거나, 1천만 명 이상의 대규모 피해를 발생시키면 전체 매출액의 최대 10%에 해당하는 과징금을 부과한다. 기업이 실질적으로 체감할 수 있는 수준의 책임을 묻겠다는 의지로 풀이된다,

개인정보 보호를 위한 노력은 과징금 감경 요소로 반영한다. 개인정보 보호 예산·인력·설비·장치에 대한 투자 내역 및 사업주와 개인정보 보호 책임자의 역할, 관리 체계와 안전조치 수준까지 종합적으로 고려해 과징금 부과 기준 금액의 최대 40%까지 감경한다.

이를 통해 개인정보 보호를 고객의 신뢰와 기업의 가치를 높이는 선제적 투자로 인식할 수 있게 하겠다는 구상이다.

경영진의 책임도 명확히 했다. 사업주·대표자를 개인정보 보호 최종 책임자로 명시해 개인정보 보호 관리·감독 의무를 부여했다.

또한 일정 규모 이상의 기업·기관은 개인정보 보호 책임자(CPO)의 지정·변경·해제 시 이사회 의결을 거쳐 6개월 이내에 개보위에 신고서를 제출해야 한다. CPO의 독립성을 강화하고, 기업·기관의 최고의사결정 과정에서 개인정보 보호가 논의될 수 있게 하겠다는 취지다.

개인정보 유출 통지 시점을 ‘최종 확인’에서 ‘유출 가능성’ 단계로 앞당긴다. 앞으로는 불법적 접근이나 개인정보 불법 거래 정황이 확인되는 등 유출 가능성이 객관적으로 높다고 판단되는 시점에서 72시간 이내에 정보 주체에 통지해야 한다.

통지 시에는 사고 발생 사실과 더불어 피해를 최소화하는 방법과 손해배상 청구, 분쟁조정 신청과 같이 실제로 활용할 수 있는 피해 구제 절차도 안내해야 한다. 렌섬웨어로 데이터가 위조·변조·훼손된 경우도 포함된다.

공공·민간 주요 기관을 대상으로 한 개인정보 보호(ISMS-P) 인증 의무화는 인증 취득을 위한 예산 확보 소요 기간을 고려해 내년 7월 1일부터 시행하며, 대상 기업·기관은 2028년 12월 31일까지 인증을 취득해야 한다.

양청삼 사무처장은 “이번 개정 법령 시행을 통해 중대 개인정보 침해에 엄정한 책임을 묻고, 사전 예방 중심의 개인정보 보호를 강화해 국민의 피해에 신속하게 대응하는 개인정보 보호체계를 확립하겠다”라고 밝혔다.