개인정보 반복 유출, ‘패가망신’ 한다…매출액의 최대 10% ‘징벌적 과징금’ 도입

1000만명 이상 유출·3년 내 반복 위반 시 적용…산정 기준도 ‘직전 연도 매출’ 반영
공공시스템 387개 등 고위험 1700곳 직접 점검…CEO 최종 책임 법에 명시

송경희 개인정보보호위원회 위원장이 12일 오후 서울 종로구 정부서울청사에서 예방 중심 개인정보 관리체계 전환 계획을 발표하고 있다. <출처=연합뉴스>

올해 9월부터 반복적이거나 중대한 개인정보 유출 사고를 낸 기업에 전체 매출액의 최대 10%까지 과징금을 부과하는 ‘징벌적 과징금’ 제도가 시행된다.

개인정보보호위원회 송경희 위원장은 12일 청와대에서 열린 제21회 국무회의에서 이 같은 내용을 담은 ‘예방 중심 개인정보 관리체계 전환 계획’을 보고했다.

9월 시행되는 개정 개인정보보호법에 따라 고의·중과실로 3년 내 반복된 위반이거나, 1000만명 규모 이상의 개인정보 유출 피해가 발생한 경우 매출액의 최대 10%까지 과징금을 부과할 수 있다.

과징금 산정 기준도 현행 ‘최근 3년 평균 매출액’에서 ‘직전 연도 매출액’과 ‘최근 3년 평균 매출액’ 중 높은 금액을 적용하는 방식으로 강화된다. 앞서 이재명 대통령이 시행령 개정을 지시한 데 따른 후속 조치다.

이행강제금과 신고포상금 제도도 새로 도입되며, 증거 은닉 행위에 대한 제재도 강화된다. 다만 영세기업의 경미한 위반에는 시정 기회를 우선 부여한다.

정부는 위험 수준에 따라 차등 관리하는 ‘위험기반 관리체계’도 구축한다. 주요 공공시스템 387개를 포함해 약 1700개 고위험 정보시스템을 개인정보위가 직접 점검하고, 클라우드 사업자·전문 수탁사·시스템 공급사 등 공급망 전반으로 점검 범위를 확대한다.

자발적 보호 투자를 유도하기 위해 법정 기준을 상회하는 보호조치, 보안 투자, 안전관리체계 운영 수준을 종합 평가해 과징금 감경 등 인센티브도 부여한다. 최고경영책임자(CEO)의 최종 책임은 법에 명시되고, 서비스 설계 단계부터 보호 요소를 반영하는 ‘개인정보 중심 설계’(PbD) 원칙도 제도화된다.

피해 구제 체계도 강화된다. 유출 사고 발생 시 입증 책임을 기업이 지도록 해 법정 손해배상(최대 300만원) 제도를 활성화하고, 민감정보가 유출되면 사회관계망서비스(SNS) 등에서의 불법 유통을 모니터링해 탐지·삭제를 지원한다.

송 위원장은 “개인정보는 한 번 유출되면 피해를 온전히 회복하기 어렵다”며 “사전 예방이 제대로 작동하는 체계를 구축해 국민이 신뢰할 수 있는 개인정보 활용 환경을 만들겠다”고 말했다.

[CEO스코어데일리 / 김동일 기자 / same91@ceoscore.co.kr]

심층분석

CEO's PICK