[개정 개인정보 보호법 시행 관련 브리핑]
과징금 매출액 최대 3→11%, 감경률 최대 80%
당근·채찍 동시 강화…정량적 감경 기준 부재
'매출액 최대 10% 과징금' vs '80%가 넘는 감경률'.
오는 11일부터 시행되는 개인정보보호법은 '당근'과 '채찍'이 모두 커졌다. 과징금 상한은 매출액의 3%에서 10%로 상향됐다. 감면율은 사전 예방 시 최대 40%, 유출 후 신속 조치 시 최대 40%로 이론상 80%로 높아졌다. 그동안의 형식적인 보안 투자를 넘어 실질적인 보호 체계 확립을 유인한다는 취지다.
문제는 시행일이 하루 앞으로 다가왔음에도 구체적인 수치 기준이 제시되지 않았다는 점이다. 양청삼 개인정보위 사무처장은 10일 서울 종로구 서울정부청사에서 관련 브리핑을 열고 "과징금 감경이라는 인센티브와 보안 투자액 등 구체적인 숫자를 상응시켜야 한다는 지적이 있었으나 현재로서는 어렵다"고 말했다.
양 사무처장은 △산업별 특성 △투자 규모와 실제 보안 수준 간 괴리를 이유로 들었다. 우선 개인정보 유출 주체가 공공기관인지 민간 기업인지, 업종은 무엇인지 등에 따라 보안 투자액이 천차만별이라 일관된 기준을 마련하기 어렵다는 주장이다. 양 사무처장은 "과학기술정보통신부가 내년부터 정보보호 공시의무 대상을 확대하는데 이에 따라 업종별 평균·최대·최하치 등 지표가 쌓일 것으로 본다"며 "그전까지는 정성·정량적 요소를 종합적으로 고려해 결정하겠다"고 설명했다.
투자액만큼이나 개인정보 보호 체계 확립이 중요하다는 의견도 내놨다. 양 사무처장은 "거액의 보안 투자가 해당 기업·기관의 개인정보 관리체계의 우수성을 보증하진 않는다"며 "투자 규모나 리더십의 의지, 전체적 관리체계 등이 더 중요하다"고 설명했다. 실제로 지난해 대규모 개인정보 유출 사고가 발생했던 대기업들의 개인정보 투자액은 업계 최고 수준이었지만, 해킹을 막아내진 못했다.
대신 개인정보보호위원회는 △개인정보 자산 식별 △개인정보 처리 단계별 리스크 확인 △적절한 보호 체계 수립 △CPO의 권한과 역할 △CEO 보고 주기 △법에서 요구하는 수준 이상의 안전조치 등을 기준으로 제시했다. 개정 개인정보 보호법은 사전 투자로 보호 체계를 강화하면 최대 40%, 사후 신속 대응 시 최대 40%의 감경을 적용할 예정이다.
보안 업계는 우려와 기대를 동시에 내놨다. 개인정보 유출이 발생한 기업이 과징금을 모면하기 위해 은폐할 수 있다는 걱정이다. 해커의 협상력이 높아진다는 부작용도 예상된다. 이에 개인정보보호위원회는 은폐 기업을 겨냥한 신고 포상금 제도를 준비 중이다. 내년 예산안 기준 94억원이 편성됐다. 유출 사고 관련 증거를 숨기거나 폐기하는 경우 제재도 신설한다. 다만 두 방안은 아직 법안 발의도 되지 않은 상태다.
개정법 시행 전에도 연도별 과징금 합계는 급증세였다. 개인정보위에 따르면 연도별 개인정보 유출 과징금 합계는 △2020년 68억원 △2021년 82억원 △2022년 1018억원 △2023년 232억원 △2024년 612억원 △2025년 1678억원 △2026년(8월 기준) 7589억원 등이다. 과태료는 빠진 금액이다.
독자들의 PICK!
반대로 감경률이 높아지면서 예방 투자가 늘어날 것이란 기대도 나온다. 업계 관계자는 "기업 입장에서 보안 강화에 들이는 노력이 과징금 경감 등에 반영된다는 실효성이 체감될 것"이라며 "AI의 발전 등으로 사이버 공격이 고도화하다 보니 평소에 잘 준비해도 뚫릴 수 있는데, 감경률이 당근이 될 것"이라고 설명했다.
