반복·중대 개인정보 유출 땐 매출 10% 과징금…11일부터 개보법 강화

고의·중과실 대규모 사고 엄정 제재

유출 가능성만 높아도 72시간 내 통지해야

CPO 이사회 의결·신고 의무화

송경희 개인정보보호위원회 위원장이 9일 수요일 정부서울청사에서 개최된 제19회 전체회의에서 모두발언을 하고 있다.ⓒ개인정보보호위원회

고의·중과실로 대규모 개인정보 유출 사고를 일으키거나 같은 위반을 반복한 기업에 전체 매출액의 최대 10%까지 과징금을 부과하는 제도가 시행된다. 사고가 실제 개인정보 유출로 최종 확인되지 않았더라도 유출 가능성이 높다고 판단되면 이용자에게 72시간 안에 알리는 제도도 새로 도입된다.

개인정보보호위원회는 개인정보 유출 사고의 사전 예방과 피해구제를 강화하기 위해 지난 3월 개정된 개인정보 보호법과 시행령·고시를 11일부터 시행한다고 10일 밝혔다.

가장 큰 변화는 반복적이거나 중대한 개인정보 침해에 적용하는 징벌적 과징금이다. 고의·중과실로 3년 안에 위반행위를 반복하거나, 고의·중과실로 1000만명 이상의 대규모 피해를 일으킨 경우 등이 대상이다. 개보위의 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우에도 적용될 수 있다.

개보위는 위반 내용과 정도, 사고 경위, 피해 규모 등을 따져 기준금액을 정한 뒤 가중·감경 절차를 거쳐 전체 매출액의 10% 이내에서 과징금을 산정한다. 모든 개인정보 유출 사고에 매출의 10%를 일률적으로 부과하는 것은 아니다.

반대로 기업이 사고 발생 전 개인정보 보호에 적극적으로 투자했다면 과징금을 줄여준다. 개인정보 보호 예산과 인력·설비 투자 규모, 투자 지속성과 증가 정도, 최고경영자(CEO)와 개인정보 보호책임자(CPO)의 관리체계, 법정 의무를 넘어선 보안조치 등을 평가해 기준금액의 최대 40%를 감경할 수 있다.

사고 이후 대응도 과징금에 영향을 준다. 법정기한 안에 유출 신고·통지를 하지 않고 피해 확산 방지 조치까지 하지 않으면 과징금을 최대 30% 가중한다. 반면 사고를 조기에 탐지해 신속하게 신고·통지하고 피해 확산을 막은 경우에는 최대 40%까지 감경할 수 있다.

기업의 개인정보 보호 책임체계도 강화된다. 일정 규모 이상의 주요 개인정보처리자가 CPO를 새로 지정하거나 변경·해제하려면 이사회 의결을 거쳐 개보위에 신고해야 한다. 연 매출 또는 수입이 1800억원을 넘으면서 100만명 이상의 개인정보 또는 5만명 이상의 민감정보·고유식별정보를 처리하는 기업 등이 대상이다. 재학생 2만명 이상 대학과 상급종합병원, 주요 공공시스템 운영기관에도 적용된다.

기존에 CPO를 지정한 기관은 별도의 이사회 의결 없이 시행일인 11일부터 6개월 안에 개보위에 신고하면 된다. 개보위는 제도 정착을 위해 2027년 말까지 계도기간을 두고 CPO 미지정이나 자격요건 미비, 이사회 의결·신고 의무 위반 등에 과태료를 부과하지 않을 예정이다.

이용자에게 사고를 알리는 시점도 앞당겨진다. 지금까지는 개인정보가 유출됐다는 사실을 확인한 뒤 통지하는 방식이었지만 앞으로는 불법적인 시스템 접근 등으로 유출이 의심되고 정보주체를 특정하기 어렵거나, 일부 개인정보가 불법 거래돼 다른 이용자의 정보도 유출됐을 가능성이 높다고 판단되면 이를 안 때부터 72시간 안에 통지해야 한다.

통지 내용에는 유출이 의심되는 개인정보 항목과 시점·경위, 피해 최소화 방법, 분쟁조정이나 손해배상 청구 등 피해구제 절차를 포함해야 한다. 이후 실제 유출이 확인되면 추가로 알려야 하고, 유출되지 않은 것으로 확인되면 정정 통지도 해야 한다. 랜섬웨어 등으로 개인정보가 위조·변조·훼손된 경우도 유출 신고·통지 대상에 새로 포함된다.

다만 주요 공공·민간 개인정보처리자의 개인정보보호 관리체계(ISMS-P) 인증 의무화는 준비 기간을 고려해 내년 7월 1일부터 시행된다.