반복적이거나 중대한 개인정보 유출사고를 일으킨 기업에 대해 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있는 제도가 오는 11일부터 시행된다. 개인정보 보호에 적극적으로 투자한 기업의 과징금을 최대 40% 감경하는 제도도 함께 도입된다.
개인정보보호위원회는 지난 3월 개정된 개인정보보호법과 위임사항을 구체화한 개정 개인정보보호법 시행령이 11일부터 시행된다고 10일 밝혔다. 이번 제도 개선은 대규모 개인정보 유출에 대한 기업·기관의 책임을 강화하고, 관련 사고를 사전에 예방하기 위해 추진됐다.
개인정보위가 지난 6월 입법예고한 시행령 개정안은 과징금 부과 기준과 절차, 선제적 예방투자에 대한 과징금 감경기준, 개인정보보호책임자(CPO) 지정·변경·해제 시 이사회 의결 및 신고가 의무화되는 대상 기준과 신고 방법 등을 더 구체화했다.
우선 반복적이거나 중대한 개인정보 침해행위에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하는 과징금 특례가 시행된다.
고의·중과실로 3년 이내 위반행위를 반복하거나 1000만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우가 징벌적 과징금 부과 대상에 속한다. 개인정보위는 위반행위의 내용·정도와 경위 및 정보주체 피해규모 등을 종합적으로 고려해 기준금액을 산정하고, 이후 가중·감경 등을 통해 전체 매출액의 10% 이내에서 부과 과징금을 산정하는 절차를 마련했다.
개인정보 보호를 위해 사전에 적극 투자하고 보호체계를 강화한 노력은 과징금 산정 과정에 반영한다. 대표적으로 개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모·비율과 지속성 및 증가 정도, 최고경영자(CEO)와 CPO를 포함한 전문인력 등 개인정보 보호체계의 내용과 수준, 법상 의무사항 이외의 안전성 확보 조치에 관한 추가적 노력 등을 고려해 과징금 부과 기준금액의 40% 범위에서 감경할 수 있다.
반복적인 법 위반에 대해서는 과징금 가중 비율도 상향해 제재를 강화한다. 개인정보 유출 등 신고·통지를 법정기한 내에 이행하지 않고 정보주체의 피해 확산 방지 조치를 하지 않는 경우 과징금 최대 30% 가중한다. 유출사고 발생 시 신고 등을 하지 않아 오히려 불이익이 적은 구조를 해소하기 위한 조치다.
또 기존에는 1회 위반 시 15%, 2회 이상이면 30%를 가중했지만, 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%를 가중한다.
아울러 ISMS-P 인증과 자율규약 등 개인정보 보호 노력에 따른 과징금 감경 비율은 각각 최대 50%에서 30%, 최대 40%에서 20%로 낮아지고, 보호수준 평가 등에 따른 감경 비율도 최대 30%에서 15%로 조정된다.
사후 대응 노력도 과징금 감경에 반영한다. 사고 발생에 대비한 대응체계를 구축·운영하고 사고가 발생했을 때 조기에 탐지해 신속히 신고·통지하거나 피해 확산 방지 조치를 한 경우에는 과징금을 최대 40% 감경할 수 있다.
개정법은 개인정보 보호에 대한 CPO의 전문인력 관리와 예산 확보 등 직무 권한을 강화했다. CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고해야 하는 의무가 신설됐다.
개인정보위는 신규 CPO 제도 도입에 따른 대상기관의 부담을 완화하고 제도의 안정적인 정착을 위해 내년 12월 31일까지 계도기간을 운영한다.
개인정보 유출 사실이 최종적으로 확인되기 전이라도 객관적으로 유출 가능성이 높다고 판단되는 경우 정보주체에게 이를 알리는 '개인정보 유출 가능성 통지제'도 도입된다.
송경희 개인정보위 위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 인식이 전환될 것으로 기대한다"고 말했다.