‘회복 탄력성’ 반영한 시행령... 개인정보 유출 과징금, ‘신속 회복’ 시 40% 감경

개정 ‘개인정보 보호법 시행령’ 11일부터 시행
반복적 중대 위반 매출 10%까지 과징금
유출 확정 전에도 가능성 있을 시 통지

반복적이거나 고의·중과실로 개인정보 유출 사고를 낸 기업은 전체 매출액의 최대 10%까지 과징금을 부여 받는다. 사전에 적극적인 개인정보 보호 투자를 시행하거나 사고 후라도 신속하게 회복한 기업데 대해서는 과징금 부과 기준금액의 최대 40%까지 감경한다. 사전예방 뿐 아니라 '회복 탄력성'의 중요성도 강조했다는 면에서 눈길을 끈다.

개인정보보호위원회(위원장 송경희)가 지난 3월 개정된 '개인정보 보호법'과 그 위임사항을 구체화한 개정 '개인정보 보호법 시행령'이 9월 11일부터 시행한다.

반복 및 1000만명 이상 피해에 과징금 최대 10%

개정안은 최근 연이어 발생하는 대규모 개인정보 유출 사고에 엄정히 대응하고, 기업들의 선제적 예방 투자와 정보주체 피해구제를 대폭 강화하기 위해 마련됐다고 개인정보위는 강조한다.

반복적이거나 중대한 개인정보 침해행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과하는 과징금 특례가 시행됨에 따라, 구체적인 부과 및 감경 절차가 정비됐다.

고의·중과실로 3년 이내 위반행위를 반복하거나 1000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 유출 사고가 난 경우 등이 중대성 판단 및 가중 대상이 된다. 특히 반복 위반에 대한 가중 비율이 상향(1회 +20%, 2회 +40%, 3회 이상 +80%)됐다. 유출 등 신고·통지를 법정기한 내에 하지 않고 피해 확산 방지 조치도 하지 않으면 최대 30%까지 과징금이 가중된다.

사전 예방적 투자를 유도하기 위한 감경 인센티브도 있다. 개인정보 보호를 위한 예산·인력·설비·장치 등의 투자 규모와 지속성, CEO·CPO 등 보호체계 수준, 법상 의무 외의 추가적 안전조치 노력 등이 인정될 경우 과징금 부과 기준금액의 최대 40%까지 감경받을 수 있다. 개인정보위는 현장 안착을 위해 '과징금 투자 감경제도 안내서'를 발간했다.

사고 발생 시 조기 탐지, 신속 신고·통지 및 피해 확산 방지 조치를 통해 신속히 회복한 경우에도 최대 40% 감경이 적용되며, 영세·중소기업의 경미한 위반은 기술지원을 받아 시정하는 경우 과징금이 면제될 수 있다.

ISMS-P 인증(최대 30%), 자율규약(최대 20%), 보호수준 평가등(최대 15%)의 감경 비율은 현실에 맞게 조정됐다. 높은 관리 책임이 요구되는 주요 공공기관은 업무 형태 및 규모에 따른 과징금 감경 대상에서 제외된다.

공공·민간 부문 중요 개인정보처리자에 대한 ISMS-P 인증 의무화 규정은 예산 확보 기간 등을 고려해 2027년 7월 1일부터 시행된다.

CPO 책임·권한 강화... 이사회 의결 및 신고 의무화

주요 개인정보처리자를 중심으로 개인정보 보호책임자(CPO)의 독립성과 책임성도 한층 강화된다. 연 매출액 1800억 원 초과이면서 100만 명 이상 개인정보(또는 5만 명 이상 민감·고유식별정보)를 처리하는 자, 재학생 2만 명 이상 대학, 상급종합병원, 공공시스템운영기관 등은 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다.

신고 대상 기관은 법 시행 후 CPO 변동 시 6개월 이내에 신고해야 하며, 기존 지정 CPO 역시 법 시행일(9월 11일)부터 6개월 이내에 신고를 마쳐야 한다. 개인정보위는 신규 제도 정착을 위해 2027년 12월 31일까지 계도기간을 운영하여 미지정 및 이사회 의결 위반 등에 대한 과태료를 유예한다. 아울러 'CPO 지정·신고 실무 매뉴얼'을 공개하고 한국CPO협의회 등과 협력해 현장 안내를 이어갈 방침이다.

유출 '가능성' 통지제 신설

정보주체의 신속한 대응을 보장하기 위해 유출 사실이 최종 확인되기 전이라도 객관적으로 유출 가능성이 높다고 판단되면 알리는 '유출 가능성 통지제'가 도입됐다.

불법 접근 등으로 유출이 의심되나 정보주체 특정마저 곤란하거나, 불법 거래 등으로 일부 유출이 확인되어 추가 유출 가능성이 인정되는 경우 사유를 안 때부터 72시간 이내에 통지해야 한다. 통지 항목에는 기존 내용 외에 분쟁조정 신청 및 손해배상 청구 방법 등 법적 피해구제 절차가 추가되었으며, 랜섬웨어 등으로 인한 개인정보의 위조·변조·훼손 사고 역시 유출 신고·통지 대상에 새롭게 포함됐다.

송경희 개인정보위 위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 보호 체계가 확립되고, 개인정보 보호 투자가 비용이 아닌 고객 신뢰와 기업 이익을 위한 선제적 투자로 인식 전환되기를 기대한다"고 밝혔다.