대규모 개인정보 유출 사고가 속출하는 가운데, 과징금을 매출액의 최대 3%에서 10%로 상향하는 개정법이 시행된다. 사전 투자 등 예방 조치를 하면 최대 40%의 범위에서 과징금이 경감되고, 사업주·CEO(최고경영자)의 책임과 CPO(개인정보보호책임자)의 권한도 강화된다.
개인정보보호위원회는 지난 3월10일 공포된 개정 개인정보보호법이 오는 11일부터 시행된다고 10일 밝혔다. △고의·중과실로 3년 내 위반행위를 반복 △고의·중과실로 1000만명 이상의 대규모 피해 발생 △시정명령을 이행하지 않아 개인정보 유출 사고 발생 등의 경우 전체 매출액의 최대 10% 이내에서 과징금을 산정할 수 있다는 내용이 골자다. 다만 위반행위와 관련이 없는 매출액은 제외한다.
구체적인 과징금 산정은 위반행위의 내용·정도·경위, 피해 규모 등을 종합해 기준 금액을 산정하고, 가중·감경 요소를 반영하는 방식으로 한다. 가중 비율은 중복 1회 발생시 15%, 2회 이상 30%였던 것을 1회 20%, 2회 40%, 3회 이상 80%로 상향하고, 법정기한 내 신고·통지하지 않고 경고 등 피해 확산 방지 조치를 미이행하는 경우 최대 30%를 가중하기로 해 사전 예방과 신속 대응을 유도한다.
사전 투자로 보호 체계를 강화한 경우 부과 기준금액의 최대 40%를 감경하나, 고의·중과실로 위반한 경우는 제외된다. △예산·인력·설비·장치 등 투자 규모·비율과 지속성·증가 정도 △CEO·CPO·전문인력 등 개인정보 보호 체계 수준 △법상 의무사항 이외의 추가적 노력 등이 기준이다.
이에 더해 위반행위의 구체적인 내용·정도와 피해 규모·영향 등을 고려해 최대 50%를 추가 감경할 수 있도록 해 비례성을 강화했다. 다만 △ISMS-P 취득 최대 50% △자율규약 시행 시 최대 40% △보호 수준 평가 등 최대 30%였던 감경 비율을 각각 30%, 20%, 15%로 낮추고, 주요 공공기관은 업무 형태·규모에 따른 감경을 적용하지 않도록 해 책임을 강화했다.
개정법에는 사업주·CEO의 최종 책임이 명시되고 CPO의 직무에 전문인력 관리·예산 확보, 이사회 보고 의무 등이 추가된다. CPO를 지정·변경·해제하는 경우 이사회 의결을 거쳐 개인정보위에 신고해야 한다는 의무도 담긴다.
정보 주체의 피해구제를 강화하기 위해 △개인정보 유출 가능성 통지제 신설 △유출통지 항목(분쟁조정 신청, 손해배상 청구 방법) 확대 △유출 신고·통지 대상 추가(개인정보 위조·변조·훼손) 등도 마련했다.
독자들의 PICK!
유출가능성 통지제는 객관적으로 유출 가능성이 높다고 판단되는 경우 정보 주체에게 72시간 이내에 통지해야 하는 제도로 △개인정보처리시스템·개인정보취급자가 이용하는 기기에 불법적인 접근이 발생해 개인정보 유출 등이 의심되나 정보 주체를 특정하기 곤란한 경우 △개인정보 불법 거래 등 유출이 확인돼 다른 정보 주체의 유출 가능성이 예상되는 경우 등이 대상이다.
공공·민간 부문 중요 개인정보처리자에 대해 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 의무화하는 내용도 포함됐으나 예산 확보에 드는 기간을 고려해 내년 7월1일부터 시행한다. 관련 시행령 개정은 법 시행 전까지 별도로 추진할 예정이다.
송경희 개인정보위 위원장은 "개정법 시행을 계기로 개인정보 보호에 대한 인식이 '비용'이 아닌 신뢰 확보 및 기업 이익 확대를 위한 '선제적 투자'로 전환되기를 기대한다"고 밝혔다.
