오늘부터 중대·반복 개인정보 유출 ‘매출 10%’ 징벌적 과징금

[베이비타임즈=김복만 기자] 중대·반복 개인정보 유출 사고 등 개인정보보호법 위반 행위에 매출액의 최대 10%를 부과할 수 있는 ‘징벌적 과징금제도’가 11일부터 시행된다.

아울러 개인정보 보호에 적극적으로 투자한 기업의 과징금을 최대 40% 감경하는 제도도 도입된다.

최근 대규모 개인정보 유출 사고가 이어진 데 따라 개인정보 유출에 대한 기업·기관의 책임을 강화하는 한편으로 집단소송과 징벌적 손해배상 등 피해구제 수단을 보완하기 위한 취지다.

개인정보보호위원회는 지난 3월 개정된 개인정보 보호법과 위임 사항을 구체화한 이런 내용의 개인정보 보호법 시행령 및 관련 고시가 11일부터 시행된다고 10일 밝혔다.

이에 따라 고의·중과실로 3년 이내 위반 행위를 반복하거나 1000만명 이상의 대규모 개인정보 유출·침해 사고를 일으킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등 대상 기업에 전체 매출액의 최대 10%까지 ‘징벌적 과징금’을 부과한다.

반복적인 법 위반에 대한 과징금 가중 수준도 높였다.

기존에는 1회 위반 시 15%, 2회 이상이면 30%를 가중했지만, 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%를 가중한다.

개인정보 유출 신고·통지를 법정기한 내 하지 않고 정보 주체의 피해 확산을 막기 위한 조치도 하지 않은 경우에는 과징금을 최대 30% 가중한다.

개인정보위는 위반 행위의 내용과 정도, 경위, 정보 주체의 피해 규모 등을 종합적으로 고려해 기준금액을 정하고, 가중·감경 절차를 거쳐 전체 매출액의 10% 이내에서 과징금을 산정한다.

다만 감경제도를 통해 개인정보 보호를 위해 사전에 적극적으로 투자하고 보호 체계를 강화한 기업의 노력에 대해서는 사고 발생 시 과징금을 낮춰준다.

기업이 개인정보 보호를 위해 사고 발생 전부터 예산과 인력을 투입하고 보호 체계를 강화한 경우 개인정보 보호법 위반에 따른 과징금 부과 기준금액의 최대 40%를 감경받도록 한다는 것이다.

또 대응체계를 구축·운영하다 사고가 발생했을 때 조기에 탐지해 신속히 신고·통지하거나 피해 확산 방지 조치를 한 경우에도 최대 40% 감경받는다.

감경 여부는 개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모와 비율, 지속성 및 증가 정도, 최고경영자(CEO)·개인정보 보호책임자(CPO)·전문인력 등 보호 체계의 운영 수준, 법상 의무사항 이외의 추가적 안전조치 등을 종합적으로 고려해 판단한다.

ISMS-P 인증과 자율규약 등 개인정보 보호 노력에 따른 과징금 감경 비율은 각각 최대 50%에서 30%, 최대 40%에서 20%로 낮아지고, 보호 수준 평가 등에 따른 감경 비율도 최대 30%에서 15%로 조정된다.

고의 또는 중과실에 의한 위반 행위는 투자 감경 대상에서 제외된다.

개인정보위는 투자감경 여부와 수준을 구체적으로 판단하는 기준을 담은 ‘과징금 투자 감경제도 안내서’를 마련했다.

개정법은 개인정보 보호에 대한 CEO의 최종 책임을 명시하고 CPO의 전문인력 관리와 예산 확보 등 직무 권한을 높이는 등 개인정보 보호에 대한 경영진의 책임도 강화했다.

주요 개인정보처리자가 CPO를 지정·변경·해제할 때는 이사회 의결을 거쳐 개인정보위에 신고해야 한다.

법 시행 이후 CPO를 지정·변경·해제하는 경우 이사회 의결을 거쳐 신고 사유가 발생한 날부터 6개월 이내에 개인정보위에 신고해야 한다. 법 시행 전에 지정된 CPO는 별도의 이사회 의결 없이 11일부터 6개월 이내에 개인정보위에 신고하면 된다.

개인정보위는 제도의 안정적인 정착을 위해 2027년 12월 31일까지 계도기간을 운영한다.

개인정보 유출 사실이 최종적으로 확인되기 전이라도 객관적으로 유출 가능성이 크다고 합리적으로 판단하는 경우, 정보 주체에게 이를 알리는 ‘개인정보 유출 가능성 통지제’도 도입된다.

개인정보처리시스템이나 개인정보취급자는 일부 개인정보의 유출이 확인돼 다른 정보 주체의 개인정보도 유출됐을 가능성이 있다는 사실을 안 때부터 72시간 이내에 개인정보 항목과 의심 시점·경위, 피해 최소화 방법, 피해구제 절차 등을 정보주체에게 알려야 한다.

개인정보의 위조·변조·훼손도 유출 신고·통지 대상에 새롭게 포함돼 랜섬웨어 등으로 개인정보가 훼손된 경우에도 신고·통지 의무가 적용된다.

송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자에 대한 인식이 ‘비용’이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 ‘선제적 투자’로 전환될 것으로 기대한다”고 말했다.