[종합] 개인정보 유출 '사후 제재→사전적 예방' 전환…반복기업 과징금 가중

선제적 보호 조치 ·투자 땐 인센티브

같은 사고 또 나면 징벌적 과징금

유출 과징금, 피해자 구제 활용 검토

최장혁 개인정보보호위원회 부위원장이 11일 서울 종로구 정부서울청사에서 '개인정보 안전관리체계 강화 방안' 에 대해 브리핑하고 있다. [사진=개인정보위]

개인정보위원회가 최근 잇따라 발생하고 있는 개인정보 유출 사건 예방을 위해 규제 시스템을 현행 ‘사후 제재’서 ‘사전적 예방’으로 전환한다. 사후 제재도 현행보다 강화한다. 그간 국고로 귀속되던 과징금을 피해자 구제에 활용하는 방안도 모색하기로 했다.
 
최장혁 개인정보위원회 부위원장은 11일 서울 종로구 정부청사에서 열린 간담회서 이러한 내용을 중심으로 한 ‘개인정보 안전관리체계 강화 방안’을 발표했다.
 
최 부위원장은 “단순 사후 땜질식 처방으론 급변하는 해킹 기술에 대응하기 어렵다는 문제의식에 근거해 이번 방안을 마련하게 됐다”고 설명했다.
 
개인정보위는 선제적 보호조치 정례화를 위해 보안 취약점 제거, 이상 징후 사전 탐지, 암호화 적용 확대 등을 실행키로 했다. 평소 선제적·적극적 보호조치를 한 기업에겐 과징금 감경 등 인센티브(혜택)를 제공한다. 기업‧기관이 개인정보 보호 인력, 예산 관련 투자를 활발히 한 경우에도 과징금 감경‧공공기관 평가 가점 등 혜택을 준다.
 

인력 측면에선 대규모 사업자는 개인정보보호책임자(CPO)를 제외하고 기관별 1명 이상 개인정보 전담인력을 배치해야 한다. 해당 기관은 일반 기업과 상급종합병원, 대학, 공공시스템 운영기관 등 700곳이다. 서울 외 지방 지역 정보보호 역량 강화를 위해 30억 규모 예산을 투입해 전문인력을 양성키로 했다.
 
‘개인정보보호 관리체계(ISMS-P)’ 인증제도 허가 기준도 높인다. 양청삼 개인정보정책국장은 “ISMS-P 심사에 대한 예비심사 절차를 마련해 핵심항목들을 중점 점검할 것”이라며 “(기준 미달 확인 시) 현재는 보완 계획 마련을 토대로 인증서를 발급해주고 있지만, 실체적 보완 후 발급하는 방식으로 바꿔나갈 것”이라고 말했다.
 
통신사와 주요 공공시설에 대한 ISMS-P 허가 의무화도 추진한다. 양 정책국장은 “현재 관련 연구를 진행 중이며, 내년까지 관련 법안이 제출될 수 있도록 할 예정”이라고 설명했다.
 
사후 제재를 위해선 특정 업체서 반복적 유출 사고가 발생할 경우, 과징금을 가중키로 했다. 중장기적으론 보호조치 위반으로 큰 피해를 내거나 개인정보를 남용한 경우 징벌적 과징금을 매기는 방안도 검토하기로 했다. 최고경영자(CEO)와 CPO 책임도 강화한다. CEO에게 개인정보 관련 최종 책임 의무가 있다는 사실을 명문화한다. CPO는 개인정보 보호 계획을 연 1회 이상 이사회에 보고하도록 한다.
 
최 부위원장은 “(이사회 보고 의무로) CPO에게 정보기술(IT)뿐 아니라 서비스 핵심망 전반에 폭넓게 접근할 실질적 권한이 부여될 것”이라며 “CPO 임명에 일정 절차를 두는 방안도 검토 중”이라고 말했다. CEO 책임과 관련해선 “CEO들이 형사벌보다 더 무서워하는 게 경제 벌”이라며 “이 때문에 현재 과징금을 전체 매출 중 3%로 가중하고 있는데, 중대 재해 처벌법과 같이 CEO를 직접 처벌하는 방식도 법률적 현안을 살피는 중”이라고 설명했다.
 
그간 국고에 귀속되던 과징금을 피해자 구제에 활용하는 방안도 모색한다. 피해자 구제를 위한 기금을 별도 설치하거나 개인정보보호법에 과징금 용도 한정 규정을 신설하는 방안 등을 논의하고 있다. 최 부위원장은 “(기금화 부분은) 기획재정부 등 타 부처와 굉장히 복잡한 관련성이 있고 협의를 봐야 하는 문제”라며 “과징금을 협의를 거쳐 미리 낼 경우 조금 감해 주는 그런 제도를 내부적으로 할 수 있게끔 하는 방안도 검토 중”이라고 말했다.