개인정보 보호체계 '예방 중심'에 방점…반복·중대 침해엔 매출 10% 과징금

양청삼 사무처장 "사후 제재만으로 한계…기업 인센티브 구조 재설계"

사전 투자·사고 후 신속대응 시 과징금 80% 이상 감경 가능

유출 확정 전 통지 기준 구체화…CEO·이사회 책임도 강화

양청삼 개인정보보호위원회 사무처장이 10일 서울 종로구 정부서울청사에서 중대·반복 개인정보 유출 등 위반 행위에 매출액의 최대 10%를 부과하는 개인정보보호법 시행령이 11일부터 시행된다고 밝히고 있다 [사진=안신혜 기자]

11일부터 사전 예방 중심의 개인정보 보호체계를 강화한 개정 개인정보 보호법이 시행된다. 중대한 침해에 대한 제재를 강화하는 한편 기업의 선제적 투자와 신속 대응에는 인센티브를 부여하고, 최고경영자(CEO)와 이사회의 개인정보 보호 책임도 강화한다.

이번 개정에서는 제재 강화와 함께 기업의 선제적 투자와 신속 대응을 끌어내기 위한 인센티브 구조도 강화됐다. 개인정보 보호 투자를 유도하기 위한 당근책으로, 사전 예방과 사고 이후 대응을 충실히 한 기업에는 과징금이 최대 80% 감경된다.

양청삼 개인정보보호위원회 사무처장은 10일 서울정부청사에서 열린 브리핑에서 “이번 법 개정의 핵심은 사후 제재를 넘어 사전 예방을 중심으로 하는 개인정보 보호 정책의 패러다임 전환”이라고 강조했다. 개인정보 보호를 사고 발생 이후 부담해야 하는 비용이 아니라 고객의 신뢰와 기업의 가치를 높이는 선제적 투자로 인식하도록 하겠다는 설명이다. 

개정법은 반복적이거나 중대한 개인정보 침해에 대한 과징금 상한을 기존 전체 매출액의 3%에서 최대 10%로 높였다. 고의·중과실로 위반행위를 반복하거나 1000만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 유출 사고가 발생한 경우 등이 적용 대상이다.

양 사무처장은 반복 사고가 아니더라도 고의·중과실이 인정되고 1000만명 이상 피해가 발생하면 최대 10% 과징금이 적용될 수 있다고 설명했다. 이들 요건은 모두 충족해야 되는 것이 아닌 각각 독립된 가중 사유로 적용된다.

반면 개인정보 보호를 위해 사전에 충분한 투자와 관리체계를 갖춘 기업에는 과징금을 최대 40% 감경한다. 사고 발생 뒤에도 이상 징후를 신속하게 탐지하고 정보주체와 관계 당국에 알린 뒤 피해 확산 방지와 취약점 개선 등에 적극 나서는 기업에 한해서다. 

개인정보위는 제재를 강화하는 만큼 기업의 예방 투자와 사고 이후 대응을 끌어내는 장치에도 무게를 뒀다. 사전 투자와 사고 이후 대응을 모두 충실히 한 경우 감경 폭이 80%까지 높아진다. 사고 이후 제재만으로 개인정보 유출을 줄이는 데 한계가 있는 만큼 기업이 평소 보호체계를 갖추고, 사고 발생 시 신속하게 공개·대응하도록 유도하겠다는 방침이다.

다만 투자액이 많다고 해서 감경 폭이 커지는 것은 아니다. 개인정보위는 투자 규모와 지속성, 개인정보 자산과 위험 식별, 안전조치 수준, 정보보호책임자(CPO)와 CEO의 역할 등을 종합적으로 살펴 감경 수준을 판단할 방침이다. 양 사무처장은 “업종별 특성이 달라 개인정보 보호 투자를 특정 숫자로 일률적으로 정하기 어렵다”고 말했다. 

경영진 책임도 한층 커진다. 개정법은 사업주 또는 대표자를 개인정보 처리와 보호의 최종 관리 책임자로 명시했다. 개인CPO는 개인정보 보호 현황과 주요 위험, 개선 필요 사항을 CEO나 이사회에 보고하고, 경영진은 필요한 예산과 인력을 지원해야 한다. 개인정보 보호를 실무 부서의 업무가 아닌 경영진의 주요 의사결정 사안으로 끌어올린 것이다. 

이에 따라 기업이 유출 사실을 알리는 시점도 빨라질 예정이다. 앞으로는 개인정보 유출이 최종 확인되지 않았더라도 객관적으로 유출 가능성이 높다고 볼 만한 정황이 있어야 한다는 설명이다.

개인정보위는 다크웹에서 실제 데이터베이스 구조와 일치하는 정보가 유통되거나, 침입 정황은 확인됐지만 피해 규모가 확정되지 않은 경우 등을 예로 들었다.

양 사무처장은 “단지 취약점이 있다거나 흔적이 있다는 막연한 의심만으로 통지하는 것은 아니다”라며 객관적으로 의심되는 정황이 명확해야 한다고 설명했다.

CPO 신고 의무는 내년 12월까지 계도기간을 두고 운영한다. 전문 CPO 지정 대상은 현재 약 600~700곳이다. 1년이 넘는 계도기간이 지나치게 긴 것 아니냐는 지적에 나온 가운데, 양 사무처장은 “신고 기한이 시행일부터 6개월이어서 실질적으로 위반 사례가 발생하는 것은 내년 3월 이후라는 점을 고려해 연말까지 계도기간을 뒀다”고 설명했다.