중대·반복 개인정보 유출, 매출 10% 과징금…별도 민간 위원회가 기준 판단

[이데일리 안유리 기자] 반복적이거나 고의·중과실로 1000만명 이상의 대규모 개인정보 유출 사고가 발생한 기업에 전체 매출액의 최대 10%를 과징금으로 부과하는 제도가 11일부터 시행된다. 신고를 제때하지 않거나 피해 확산 방지 조치를 하지 않는 경우 과징금을 최대 30% 가중한다. 가중·감경 폭 기준을 판단하는 전문위원회는 올해 하반기 구성된다.

양청삼 개인정보보호위원회 사무처장이 9월 10일 목요일 정부서울청사에서 브리핑을 하고 있다. (사진=개인정보보호위원회)

개인정보보호위원회는 10일 브리핑을 열고 이 같은 내용을 담은 개정 개인정보 보호법과 시행령, 관련 고시를 11일부터 시행한다고 밝혔다. 양청삼 개인정보위 사무처장은 “이번 법 개정의 핵심은 사후 제재를 넘어 사전 예방을 중심으로 하는 개인정보 보호 정책의 패러다임 전환”이라고 강조했다.

개정법에 따라 고의·중과실로 3년 이내에 위반행위를 반복한 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다. 고의·중과실로 1000만명 이상의 피해를 발생시키거나 시정명령을 이행하지 않아 개인정보 유출사고가 발생한 경우도 대상이다.

사고 발생 전 개인정보 보호에 투자한 기업에는 과징금 부과 기준금액의 최대 40%를 감경한다. 감경 여부를 판단할 때는 위반행위 발생 전 3개 사업연도의 투자 실적을 살핀다. 사업을 시작한 지 1년이 되지 않은 기업 등은 위반행위가 발생한 사업연도의 조치도 고려할 수 있다.

평가 항목은 크게 세 가지다. 개인정보 보호 관련 예산과 인력, 설비 등에 대한 투자 규모와 비율, 지속성과 증가 정도를 살핀다. 최고경영자(CEO)와 개인정보 보호책임자(CPO), 관련 조직·인력으로 구성된 보호체계의 운영 수준도 평가한다. 법에서 정한 의무를 넘어 추가적인 안전조치를 했는지도 반영한다.

세부적으로는 정보기술(IT) 투자액 대비 개인정보 보호 예산 비율과 관련 예산 증가율, 집행 내역 등이 고려된다. CEO가 실효적인 관리체계를 구축했는지, CPO가 업무를 충실하게 수행했는지 등도 살핀다. 개인정보 담당 인력의 전문성 강화와 처우 개선 노력도 평가 대상이다.

“반복·중대 유출에는 엄정 대응, 예방 노력은 적극 반영”

법정 기준을 넘어 적용한 안전조치도 감경 요소가 된다. 계정과 접근권한 통합 관리, 강화된 인증수단 적용, 공격표면 관리, 암호화 대상 확대, 암호키 유출 방지 기술 도입 등이 예시로 제시됐다. 로그의 실시간 통합 관리와 소프트웨어 자재명세서(SBOM) 관리도 포함됐다.

기존 과징금 가중 체계도 달라진다. 반복 위반에 따른 가중률은 현행 1회 15%, 2회 이상 30%에서 1회 20%, 2회 40%, 3회 이상 80%로 높아진다. 유출 신고와 통지를 법정기한 안에 하지 않고 피해 확산 방지 조치도 이행하지 않으면 과징금을 최대 30% 가중한다.

사고 이후의 대응은 감경 요소로 반영한다. 사전에 사고 대응 체계를 구축하고 사고를 조기에 탐지한 경우가 해당한다. 신속하게 신고·통지하고 피해 확산을 막은 뒤 개인정보 보호체계를 회복·개선한 경우에도 최대 40%를 감경한다.

개인정보 보호·정보보호 관리체계(ISMS-P) 인증에 따른 감경 상한은 50%에서 30%로 낮아진다. 자율규약은 40%에서 20%, 개인정보 보호수준 평가 등에 따른 감경은 30%에서 15%로 조정된다.

위반행위의 구체적인 내용과 정도, 피해 규모와 영향을 고려한 추가 감경도 가능하다. 최종 부과 과징금을 결정하는 단계에서 최대 50%까지 추가로 감경할 수 있다. 영세·중소기업의 경미한 위반은 기술지원을 받아 시정하면 과징금을 면제할 수 있다.

기업 경영진의 개인정보 보호 책임도 강화된다. 일정 규모 이상의 개인정보처리자는 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐야 한다. 개인정보위는 새로운 CPO 제도에 대해 2027년 말까지 계도기간을 운영한다. 이 기간에는 CPO 미지정이나 자격요건 미비, 이사회 의결 의무 위반, 신고 지연 등에 과태료를 부과하지 않는다.

유출 통지 범위도 확대된다. 개인정보가 실제로 유출됐다고 확정되기 전이라도 객관적으로 유출 가능성이 높다고 판단되면 72시간 안에 정보주체에게 알려야 한다. 개인정보처리시스템이나 업무용 기기에 불법적인 접근이 발생한 경우 등이 해당한다.

랜섬웨어 등으로 개인정보가 위조·변조·훼손된 경우도 신고·통지 대상에 포함된다. 정보주체에게는 손해배상 청구와 분쟁조정 신청 등 피해구제 절차도 함께 안내해야 한다. 제도 전반에 대한 설명과 신고 방법, 주요 FAQ를 담은 ‘CPO 지정·신고 실무 매뉴얼’도 마련했다.

별도 민간 위원회 꾸려 과징금 투자 감경 판단

가중·감경 기준에 대한 판단은 유출 조사와는 별도로 전문 민간 위원회가 맡는다. 이재형 개인정보위 조사조정국장은 브리핑 이후 기자들과 만나 “조사 프로세스와 별개로 투트랙으로, 기업의 투자 환경에 대해 판단하는 전문위원회를 관련 산업계 전문가 위주로 하반기에 구성하려 한다”면서 “필요한 운영 예산 비용을 내년 예산에 반영해 놓았다”고 말했다.

양 사무처장은 “내년부터 정보보호 공시 제도가 외부 감사 대상 기관으로 확대돼 기존 700~800개에서 2000개 이상으로 확대될 전망으로, 업종별로 적정 투자 규모와 관련된 숫자들이 구체적으로 확인될 것으로 기대하고 있다”면서 “그전까지는 기본적으로 정성·정량적인 방식을 병합해 종합 평가하는 이런 방식을 쓸 수밖에 없다”고 말했다.