 |
| ▲ 송경희 개인정보보호위원회 위원장이 9일 서울 종로구 정부서울청사에서 열린 제19회 위원회 전체회의에서 발언하고 있다 2026.9.9 [연합뉴스 제공] |
[매일안전신문=이상훈 기자]
고의·중과실로 개인정보 침해를 반복하거나 1000만명 이상 대규모 피해를 일으킨 개인정보처리자에게 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 제도가 11일부터 시행된다. 개인정보 유출이 확정되기 전이라도 유출 가능성이 높으면 정보주체에게 알리는 제도도 함께 도입된다.
개인정보보호위원회는 지난 3월 개정된 개인정보 보호법과 법에서 위임한 사항을 구체화한 시행령·고시를 9월 11일부터 시행한다고 10일 밝혔다. 이번 개정은 개인정보 유출에 대한 제재를 강화하는 동시에 사전 예방 투자와 기업·기관의 개인정보 관리책임을 확대하고 피해구제 절차를 보완하는 데 초점을 맞췄다.
가장 큰 변화는 반복적이거나 중대한 개인정보 침해에 대한 과징금 특례 도입이다. 현행 일반 과징금은 전체 매출액의 최대 3% 범위에서 부과할 수 있지만, 개정법은 일정한 중대 위반에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 별도 근거를 마련했다. 개인정보위는 지난 3월 법 개정 당시 기존 제재만으로는 반복적·대규모 침해에 대한 억지력을 확보하는 데 한계가 있다는 점을 개정 배경으로 제시했다.
강화된 과징금은 고의 또는 중대한 과실로 과징금 처분 후 3년 안에 같은 위반행위를 다시 하거나, 고의·중과실로 1000만명 이상의 대규모 피해를 일으킨 경우 등에 적용된다. 시정명령을 이행하지 않아 개인정보 유출사고가 발생한 경우도 대상에 포함된다. 위반 내용과 정도, 경위, 피해규모 등을 종합해 기준금액을 정한 뒤 가중·감경 절차를 거쳐 최종 과징금을 산정한다.
반대로 개인정보 보호에 선제적으로 투자한 기업에는 과징금 감경 제도가 적용된다. 개인정보 보호를 위한 예산과 인력, 설비·장치의 투자 규모와 지속성, CEO·CPO를 포함한 개인정보 보호체계의 수준, 법정 기준을 넘어선 추가 안전조치 등을 고려해 과징금 기준금액의 최대 40%까지 감경할 수 있도록 했다. 다만 고의 또는 중과실에 따른 위반행위는 투자 감경 대상에서 제외된다.
기존 과징금 가중·감경 기준도 조정된다. 반복 위반 시 가중률은 종전 1회 15%, 2회 이상 30%에서 1회 20%, 2회 40%, 3회 이상 80%로 높아진다. 유출 신고·통지를 법정기한 안에 하지 않고 피해 확산 방지 조치도 취하지 않을 경우에는 최대 30%까지 과징금을 가중할 수 있다.
사고 이후 신속한 대응도 감경 요소에 반영된다. 평소 사고 대응체계를 구축하고 개인정보 침해 발생 시 조기 탐지와 신고·통지, 피해 확산 방지 조치를 이행하는 등 보호체계를 신속하게 복구·개선하면 최대 40%까지 감경할 수 있다. 위반 정도와 피해규모 등을 고려한 추가 감경은 최대 50%까지 가능하며, 영세·중소기업의 경미한 위반은 기술지원을 받아 시정할 경우 과징금을 면제할 수 있도록 했다.
개인정보 보호책임자(CPO)의 권한과 책임도 강화된다. 일정 규모 이상의 개인정보처리자가 CPO를 새로 지정하거나 변경·해제하려면 이사회 의결을 거쳐 개인정보위에 신고해야 한다. 적용 대상은 연 매출액 또는 수입이 1800억원을 넘으면서 5만명 이상의 민감정보·고유식별정보 또는 100만명 이상의 개인정보를 처리하는 사업자와 재학생 2만명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관 등이다.
법 시행 이후 CPO를 지정·변경·해제하는 대상 기관은 신고 사유가 발생한 날부터 6개월 이내 개인정보위에 신고해야 한다. 시행 전에 이미 지정된 CPO도 9월 11일부터 6개월 안에 신고해야 하지만 별도의 이사회 의결은 요구되지 않는다. 부득이한 사유가 인정되면 신고 기간을 최대 1년까지 연장할 수 있다. 신고는 개인정보 포털의 ‘CPO 신고’ 메뉴를 통해 할 수 있다.
개인정보위는 새 CPO 제도의 현장 정착을 위해 2027년 12월 31일까지 계도기간을 운영한다. 이 기간에는 CPO 미지정이나 자격요건 미비, 이사회 의결 의무 위반, 신고 지연 등에 대해 과태료를 부과하지 않을 예정이다.
개인정보 유출 통지 기준도 확대된다. 기존에는 개인정보가 실제로 유출됐다는 사실을 알았을 때 정보주체에게 통지했지만, 앞으로는 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 단계에서도 통지해야 한다. 개인정보처리시스템 등에 불법적인 접근이 발생해 유출이 의심되지만 피해 정보주체를 특정하기 어렵거나 일부 개인정보의 불법 거래가 확인돼 다른 이용자의 정보까지 유출됐을 가능성이 있는 경우 등이 대상이다.
이 경우 해당 사실을 알게 된 때부터 72시간 이내에 개인정보 항목과 의심 시점·경위, 피해 최소화 방법, 피해구제 절차, 피해 신고 연락처 등을 알려야 한다. 이후 실제 유출이 확인되면 정식 유출 통지로 전환하고, 유출되지 않은 것으로 확인되면 정보주체의 혼란을 줄이기 위한 정정 통지를 해야 한다.
통지·신고 대상이 되는 사고 범위에는 랜섬웨어 등에 따른 개인정보의 위조·변조·훼손도 새로 포함된다. 유출 통지 내용에는 손해배상 청구와 분쟁조정 등 법적 피해구제 절차가 추가되고, 사고 발생 후 개인정보 회수·삭제 등 피해 확산을 막기 위한 구체적인 조치도 요구된다. 개정 개인정보 보호법 제34조에도 유출 가능성 통지와 손해배상·분쟁조정 등 피해구제 정보 제공 의무가 반영됐다.
다만 공공·민간 주요 개인정보처리자에 대한 개인정보보호 관리체계(ISMS-P) 인증 의무화는 이번에 바로 시행되지 않는다. 기업과 기관의 인증 취득 준비와 예산 확보에 필요한 기간을 고려해 해당 규정은 2027년 7월 1일부터 시행될 예정이다.
송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 ‘비용’이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 ‘선제적 투자’로 인식이 전환될 것으로 기대한다”고 밝혔다.
[ⓒ 매일안전신문. 무단전재-재배포 금지]
