앞으로 개인정보를 고의 또는 중대한 과실로 반복 유출하거나 1000만 명 이상의 대규모 피해를 일으킨 기업에 전체 매출액의 최대 10%에 달하는 과징금을 부과할 수 있게 된다.

개인정보보호위원회는 개인정보 유출 사고 예방과 피해구제를 강화하기 위해 지난 3월 개정된 개인정보 보호법과 시행령이 11일부터 시행된다고 10일 밝혔다.

개정된 개인정보 보호법의 핵심은 반복적이거나 중대한 개인정보 침해에 대한 제재 강화다.

고의·중과실로 3년 이내 위반행위를 반복하거나 1000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.

실제 과징금은 위반행위의 내용과 정도, 경위, 피해 규모 등을 종합적으로 고려해 기준금액을 산정한 뒤 가중·감경 절차를 거쳐 결정된다.

반복 위반에 대한 과징금 가중 비율도 높인다. 기존에는 1회 위반 시 15%, 2회 이상 30%를 가중했지만 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%까지 늘어난다.

반면 기업이 개인정보 보호에 선제적으로 투자했다면 과징금을 깎아준다.

개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모와 지속성, CEO·개인정보보호책임자(CPO) 및 전문인력 등 보호체계 수준, 법적 의무를 넘어선 추가적인 안전조치 등을 고려해 과징금 부과 기준금액의 최대 40%를 감경할 수 있다.

사후 신속 대응 노력도 과징금 감경에 반영된다. 사고 발생 이후 조기 탐지하고 신속하게 신고·통지하거나 피해 확산 방지 조치를 취하는 등 대응체계를 제대로 가동한 경우에도 최대 40%까지 감경할 수 있다.


개인정보 유출에 대한 CEO와 CPO의 책임도 강화한다. 개정법은 개인정보 보호에 대한 CEO의 최종 책임을 명시하고 CPO가 전문인력을 관리하고 관련 예산을 확보할 수 있도록 직무 권한을 강화했다. CPO의 이사회 보고 의무도 신설됐다.

일정 규모 이상 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다.

대상은 연 매출액 또는 수입이 1800억 원을 넘으면서 5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 사업자와 재학생 2만 명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관 등이다.

개정법 시행 전에 이미 지정된 CPO는 별도 이사회 의결 없이 내년 3월 11일까지 개인정보위에 신고하면 된다. 개인정보위는 제도 안착을 위해 2027년 말까지 계도기간을 운영한다.

개인정보 유출이 최종 확인되기 전 이용자에게 위험을 알리는 '유출 가능성 통지제'도 새롭게 도입된다.

개인정보처리시스템 등에 불법적인 접근이 발생해 개인정보 유출이 의심되지만 피해자를 특정하기 어렵거나, 일부 개인정보의 불법 거래가 확인돼 다른 이용자의 정보도 유출됐을 가능성이 있다고 인정되는 경우 해당 사실을 안 때부터 72시간 이내 이용자에게 통지해야 한다.

통지에는 유출이 의심되는 개인정보 항목과 시점·경위, 피해 최소화 방법, 피해구제 절차, 피해신고 연락처 등이 포함된다. 이후 실제 유출이 확인되면 추가 통지하고, 유출되지 않은 것으로 확인된 경우에도 이용자의 혼란과 불안을 해소하기 위해 정정 통지를 해야 한다.

개인정보의 위조·변조·훼손도 유출 신고·통지 대상에 포함된다. 이에 따라 랜섬웨어 공격 등으로 개인정보가 훼손된 경우에도 이용자 통지와 신고 의무가 적용될 수 있다. 유출 통지 시에는 분쟁조정 신청과 손해배상 청구 등 피해구제 방법도 함께 안내해야 한다.

송경희 개인정보위 위원장은 "개인정보 보호를 위한 투자를 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 인식이 전환될 것으로 기대한다"고 말했다.

한편 공공·민간 주요 개인정보처리자에 대한 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 의무화는 준비기간을 고려해 2027년 7월 1일부터 시행된다.

yjra@news1.kr