개인정보 중대 유출시 '매출 10%' 과징금 철퇴

'사후제재→사전예방' 전환…개인정보 보호 사전투자 최대 40% 감경

[프라임경제] 반복적이거나 고의·중과실로 1000만명 이상의 대규모 개인정보 유출 사고가 발생한 기업에 전체 매출액의 최대 10%를 부과할 수 있는 '징벌적 과징금' 제도가 오는 11일부터 시행된다. 개인정보 보호정책을 사후제재에서 사전예방으로 전환한다.

양청삼 개인정보보호위원회 사무처장이 10일 서울 종로구 정부서울청사에서 개인정보보호법 시행령 개정 브리핑을 하고 있다. ⓒ 개인정보보호위원회

개인정보보호위원회(이하 개인정보위)는 개정 개인정보 보호법과 시행령·고시가 11일부터 시행된다고 10일 밝혔다.

양청삼 개인정보위 사무처장은 이날 브리핑에서 "이번 법 개정의 핵심은 사후제재를 넘어 사전예방을 중심으로 하는 개인정보 보호정책의 패러다임 전환"이라며 "개인정보 보호 투자를 비용이 아닌 고객의 신뢰와 기업 가치를 높이는 선제적 투자로 인식할 수 있도록 하겠다"고 했다.

◆중대·반복 침해 '매출 10%'

먼저 반복적이거나 중대한 개인정보 침해행위에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 과징금 특례가 시행된다.

고의·중과실로 3년 이내 위반행위를 반복하거나 고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등이 해당된다.

개인정보위는 위반행위의 내용과 정도, 경위, 정보주체의 피해 규모 등을 종합적으로 고려해 기준금액을 정한 뒤 가중·감경 절차를 거쳐 전체 매출액의 10% 이내에서 과징금을 산정할 수 있다.

반면 기업이 개인정보 보호를 위해 사전에 적극 투자하고 보호체계를 강화했다면 과징금을 깎아준다.

개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모와 비율, 지속성 및 증가 정도와 최고경영자(CEO)·개인정보 보호책임자(CPO)·전문인력 등 개인정보 보호체계의 수준, 법상 의무사항 이외의 추가적인 안전성 확보 조치 등을 고려해 과징금 부과 기준금액의 최대 40%를 감경할 수 있다.

반복적인 법 위반에 대한 과징금 가중 비율도 높아진다.

기존에는 1회 위반 시 15%, 2회 이상이면 30%를 가중했으나, 앞으로는 △1회 20% △2회 40% △3회 이상은 80%를 가중한다.

유출 신고·통지를 법정기한 내 하지 않고 정보주체의 피해 확산을 막기 위한 조치도 하지 않은 경우에는 과징금을 최대 30% 가중한다.

ISMS-P 인증과 자율규약 등 개인정보 보호 노력에 따른 과징금 감경 비율은 각각 최대 50%에서 30%, 최대 40%에서 20%로 낮아지고, 보호수준 평가 등에 따른 감경 비율도 최대 30%에서 15%로 조정된다.

사고 발생에 대비한 대응체계를 구축·운영하고 사고가 발생했을 때 조기에 탐지해 신속히 신고·통지하거나 피해 확산 방지 조치를 한 경우에는 최대 40% 감경할 수 있다.

양 사무처장은 "투자 감경과 사고 발생 이후 신속 대응 감경까지 합치게 되면 80%가 넘는 금액이 감경된다"며 "보안을 형식적으로 하는 데 그치지 않고 실질적으로 관리체계를 만들고 자산과 위협을 식별해 경감 조치를 제도화하자는 것"이라고 설명했다. 

이어 "신속하게 대응하고 후속 조치를 하는 기업·기관에는 걸맞은 인센티브를 주겠다"고 덧붙였다.

◆개인정보 보호 경영진 책임 강화

개인정보 보호에 대한 CEO와 CPO의 책임도 강화한다. 

개정법은 개인정보 보호에 대한 CEO의 최종 책임을 명시하고 CPO의 전문인력 관리와 예산 확보 등 직무 권한을 강화했다.

주요 개인정보처리자가 CPO를 지정·변경·해제할 때는 이사회 의결을 거쳐 개인정보위에 신고해야 한다.

법 시행 이후 CPO를 지정·변경·해제하는 경우 이사회 의결을 거쳐 신고 사유가 발생한 날부터 6개월 이내에 개인정보위에 신고해야 한다.

법 시행 전에 지정된 CPO는 별도의 이사회 의결 없이 11일부터 6개월 이내에 개인정보위에 신고하면 된다.

개인정보위는 제도의 안정적인 정착을 위해 내년 12월31일까지 계도기간을 운영한다.

개인정보가 실제 유출됐는지 최종적으로 확인되기 전 이용자에게 위험을 알리는 '개인정보 유출 가능성 통지제'도 도입된다.

개인정보가 불법적으로 거래되는 등 일부 개인정보의 유출이 확인돼 다른 정보주체의 개인정보도 유출됐을 가능성이 있다고 인정되는 경우가 해당 사실을 안 때부터 72시간 이내에 정보주체에게 통지해야 한다. 이때 통지 항목은 유출등 통지에 준하는 수준으로 알려야 한다.

송경희 개인정보위 위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고 개인정보 보호를 위한 투자에 대한 인식이 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 전환될 것으로 기대한다"고 말했다.