고의·중과실 반복 위반·1000만명 이상 피해 시 징벌적 과징금
예산·인력·보호체계 등 예방 투자 반영…CEO·CPO 책임도 강화

양청삼 개인정보보호위원회 사무처장이 10일 서울 종로구 정부서울청사에서 중대·반복 개인정보 유출 등 위반 행위에 매출액의 최대 10%를 부과할 수 있는 징벌적 과징금제도 등이 담긴 개인정보보호법 시행령이 11일부터 시행된다고 밝히고 있다. <출처=연합뉴스>

개인정보를 고의 또는 중대한 과실로 반복 침해하거나 1000만명 이상의 대규모 피해를 일으킨 기업에 전체 매출액의 최대 10%에 달하는 과징금을 부과하는 제도가 시행된다. 반대로 개인정보 보호를 위해 사고 발생 전부터 예산과 인력을 투입하고 보호체계를 강화한 기업은 과징금 부과 기준금액을 최대 40%까지 감경받을 수 있다.

개인정보보호위원회는 이 같은 내용을 담은 개정 개인정보 보호법과 시행령·고시가 11일부터 시행된다고 10일 밝혔다. 개인정보 침해에 대한 제재를 강화하는 동시에 기업의 선제적인 보호 투자와 사고 발생 이후 신속한 대응을 유도하는 것이 핵심이다.

개정법에 따라 고의·중과실로 3년 이내 위반행위를 반복하거나 1000만명 이상의 대규모 개인정보 피해를 발생시킨 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다. 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우도 대상이다.

반복 위반에 대한 과징금 가중 폭도 커진다. 기존에는 1회 위반 시 15%, 2회 이상 30%를 가중했지만 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%까지 가중할 수 있다.

기업의 선제적인 개인정보 보호 투자에 대해서는 별도 감경제도가 도입된다. 사고가 발생하기 전 개인정보 보호를 위해 적극적으로 투자하고 보호체계를 강화한 경우 과징금 부과 기준금액의 최대 40%를 감경한다.

개인정보위는 제도 시행에 맞춰 구체적인 판단 기준을 담은 ‘과징금 투자 감경제도 안내서’도 마련했다. 원칙적으로 위반행위 발생 전 3개 사업연도 동안 기업이 취한 개인정보 보호 조치를 평가한다. 다만 사업을 시작한 지 1년이 되지 않은 기업 등 개인정보위가 필요하다고 인정하는 경우에는 위반행위가 발생한 사업연도의 조치도 고려할 수 있다.

감경 여부를 판단하는 기준은 크게 개인정보 보호 투자 규모와 지속성, 보호체계 운영 수준, 법정 의무를 넘어선 추가 안전조치 등 세 가지다.

먼저 개인정보 보호 관련 예산을 얼마나 편성·집행했는지와 투자가 일회성에 그치지 않고 지속됐는지 등을 살펴본다. 정보기술(IT) 투자액 대비 개인정보 보호 투자 예산 비율, 개인정보 보호 투자금액 증가율과 집행 내역, 매출액 대비 투자 규모 등이 주요 지표다.

최고경영자(CEO)와 개인정보 보호책임자(CPO)를 중심으로 한 개인정보 보호체계도 평가한다. CEO의 개인정보 보호에 대한 관심과 실천 의지, CPO의 전문성과 실질적인 업무 권한, 기업 내 최상위 의사결정기구 참여 여부 등이 포함된다. 개인정보 전담 인력의 전문성 강화와 처우 개선 노력도 고려한다.

법에서 요구하는 수준을 넘어 상시적인 위험관리체계를 구축하거나 계정·접근권한을 통합 관리하고 안전한 인증수단을 확대 적용한 경우에도 감경 요소가 될 수 있다. 공격표면 관리와 취약점 점검·조치 등 추가적인 안전조치도 평가 대상이다.

다만 일정 금액이나 매출액 대비 일정 비율 이상을 투자하면 자동으로 과징금을 감경해주는 방식의 획일적인 기준은 두지 않는다. 업종과 기업 규모 등에 따라 적정 개인정보 보호 투자 수준이 달라질 수 있다는 판단에서다.

양청삼 개인정보위 사무처장은 이날 브리핑에서 “개인정보와 관련된 적정 투자는 숫자 하나로 딱 나오기가 상당히 힘들다”며 “공공과 민간이 다르고 민간에서도 유통이나 IT, 게임, 제조 등 산업별 특성이 다르기 때문에 숫자를 특정할 수 없다”고 말했다.

이어 “제대로 된 개인정보 관리체계를 구축하고 운영하는지 등을 종합적으로 판단하겠다”고 설명했다.

다만 고의 또는 중과실에 따른 개인정보 보호법 위반은 투자 감경 대상에서 제외된다. 개인정보위는 유출 사고에 대한 조사와 별도로 평소 기업의 예방적 투자 수준을 판단하기 위한 전문위원회도 하반기 중 구성할 예정이다.

사고 발생 이후 기업의 대응 수준에 따른 감경도 강화된다. 개인정보 유출을 조기에 탐지하고 신속하게 신고·통지한 뒤 피해 확산 방지와 취약점 개선, 2차 피해 예방 등에 적극적으로 나선 경우 최대 40%까지 별도로 감경할 수 있다.

개인정보 보호에 대한 CEO와 CPO의 책임도 강화된다. 개정법은 개인정보 보호에 대한 CEO의 최종 책임을 명시하고 CPO가 전문인력을 관리하고 관련 예산을 확보할 수 있도록 권한을 강화했다. CPO의 이사회 보고 의무도 새로 도입된다.

일정 규모 이상의 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다. 연 매출액 또는 수입이 1800억원을 넘으면서 5만명 이상의 민감정보·고유식별정보 또는 100만명 이상의 개인정보를 처리하는 사업자 등이 대상이다. 개인정보위는 제도 안착을 위해 2027년 말까지 계도기간을 운영한다.

개인정보가 실제로 유출됐는지 최종 확인되기 전 이용자에게 위험을 알리는 ‘유출 가능성 통지제’도 시행된다. 불법적인 시스템 접근이나 개인정보 불법 거래 등 객관적인 정황을 토대로 개인정보 유출 가능성이 높다고 합리적으로 판단되면 해당 사실을 안 때부터 72시간 이내 이용자에게 알려야 한다.

양 사무처장은 “이번 법 개정의 핵심은 사후 제재를 넘어 사전 예방을 중심으로 하는 개인정보 보호정책의 패러다임 전환”이라며 “개인정보 보호 투자를 비용이 아닌 고객의 신뢰와 기업 가치를 높이는 선제적 투자로 인식할 수 있도록 하겠다”고 말했다.

[CEO스코어데일리 / 김동일 기자 / same91@ceoscore.co.kr]