중대 유출 시 '매출 10%' 과징금…개인정보보호법 개정안 11일 시행

본문

개인정보 침해에 대한 기업의 책임을 대폭 강화한 개정 개인정보보호법이 이달 11일부터 시행된다. 반복적이거나 중대한 개인정보 침해에 대해서는 전체 매출액의 최대 10%까지 과징금이 부과될 수 있고 최고경영자(CEO)를 비롯한 경영진의 개인정보 보호 책임도 한층 명확해진다.개정법은 사고 개정법은 사고가 발생한 뒤 제재하는 방식에서 벗어나 기업이 개인정보 보호에 선제적으로 투자하도록 유도하는 데 초점이 맞춰졌다. 개인정보보호위원회(개인정보위)는 10일 서울 종로구 정부 서울청사에서 미디어 브리핑을 열고 올해 3월 개정된 개인정보보호법 및 시행령이 11일부터 시행된다고 밝혔다. 개정법은 고의 또는 중대한 과실로 개인정보 침해를 반복하거나 1000만명 이상의 대규모 피해를 발생시키는 등 중대한 침해행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다.

개정법상 △3년 내 고의·중과실에 따른 반복적인 위반 △고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우 △시정명령을 위반해 같은 유출사고를 일으킨 경우 등 각각의 요건에 따라 최대 10%의 징벌적 과징금이 적용될 수 있다. 개인정보 보호 예산과 인력, 설비·장치에 대한 투자뿐 아니라 사업주·대표자·개인정보보호책임자(CPO)의 역할, 개인정보 보호 관리체계와 안전조치 수준 등을 종합적으로 평가해 과징금을 최대 40%까지 감경할 수 있다. 다만 △개인정보보호 관리체계(ISMS-P) 취득 최대 50% △자율규약 시행 시 최대 40% △보호 수준 평가 등 최대 30%였던 감경 비율을 각각 30%, 20%, 15%로 낮추고 주요 공공기관은 업무 형태·규모에 따른 감경을 적용하지 않도록 해 책임을 강화했다.

양 사무처장은 "투자 감경과 사고 발생 이후 신속 대응 감경까지 합치게 되면 80%가 넘는 금액이 감경된다"며 "보안을 형식적으로 하는 데 그치지 않고 실질적으로 관리체계를 만들고 자산과 위협을 식별해 경감 조치를 제도화하자는 취지"라고 설명했다. 개정법에는 유출이 확정되지 않았더라도 불법접근이나 개인정보 불법거래가 확인되면 72시간 내 정보주체에게 알리는 '유출 가능성 통지제'가 포함된다. 양 처장은 과기정통부의 개인정보 보호 공시제도를 통해 기업의 인적·물적 투자 관련 수치가 공개되고 있는 만큼 향후 공시 대상이 확대되면 업종별 투자 수준을 비교할 수 있는 자료도 축적될 것으로 내다봤다.

이번 개정법 시행에 관련해 내부적으로 정한 정량적 목표나 기준이 있는지를 묻는 질문에 양 처장은 "정량적 목표를 두는 것은 상당히 어려운 문제인데 AI 심화 시기 빈발하는 개인정보 유출 사고를 줄여나가고 안전한 관리체계 만들기 위한 기업과 기관의 선제적 투자, 관리체계 구축 등이 선결돼야 한다"고 말했다.

염흥열 순천향대 정보보호학과 교수는 "법 시행 후 유출사고 감소와 예방 투자 확대 등 정책 효과를 지속적으로 평가해야 한다"며 "기업도 개인정보 보호를 핵심 경영책임으로 인식하고 대응해야 할 것"이라고 말했다.