反復的または重大な個人情報流出事故を起こした企業に対し、全体売上高の最大10%まで懲罰的過料を科すことができる制度が11日から施行される。個人情報保護に積極的に投資した企業の過料を最大40%減免する制度も併せて導入される。
個人情報保護委員会は、3月に改正された個人情報保護法と委任事項を具体化した改正個人情報保護法施行令が11日から施行されると10日に明らかにした。今回の制度改善は、大規模個人情報流出に対する企業・機関の責任を強化し、関連事故を事前に予防するために推進された。
個人情報委が6月に立法予告した施行令改正案は、過料賦課の基準と手続き、先制的予防投資に対する過料減免基準、個人情報保護責任者（CPO）の指定・変更・解除時に取締役会決議および届出が義務化される対象基準と申告方法などを一層具体化した。
まず、反復的または重大な個人情報侵害行為については、全体売上高の最大10%まで過料を科すことを可能にする過料特例が施行される。
故意・重過失で3年以内に違反行為を反復するか、1,000万人以上の大規模被害を発生させた場合、是正命令を履行せず個人情報流出事故が発生した場合が懲罰的過料の賦課対象に含まれる。個人情報委は違反行為の内容・程度と経緯および情報主体の被害規模などを総合的に考慮して基準金額を算定し、その後の加重・減免などを通じて全体売上高の10%以内で賦課過料を算定する手続きを整えた。
個人情報保護のために事前に積極投資し保護体制を強化した努力は、過料算定過程に反映する。代表的に、個人情報保護のための予算・人員・設備・装置などへの投資規模・比率と持続性および増加度合い、最高経営者（CEO）とCPOを含む専門人材など個人情報保護体制の内容と水準、法定義務事項以外の安全性確保措置に関する追加的努力などを考慮し、過料賦課基準金額の40%の範囲で減免できる。
反復的な法令違反に対しては過料加重比率も引き上げ、制裁を強化する。個人情報流出などの申告・通知を法定期限内に履行せず、情報主体の被害拡散防止措置を行わない場合、過料を最大30%加重する。流出事故発生時に申告などをしない方がむしろ不利益が少ない構造を解消するための措置である。
また、従来は1回違反時15%、2回以上なら30%を加重していたが、今後は1回20%、2回40%、3回以上は80%を加重する。
あわせて、ISMS-P認証と自主規約など個人情報保護の努力に応じた過料減免比率は、それぞれ最大50%から30%、最大40%から20%へと引き下げられ、保護水準評価などに伴う減免比率も最大30%から15%へ調整される。
事後対応の努力も過料減免に反映する。事故発生に備えた対応体制を構築・運用し、事故が発生した際に早期に検知して迅速に申告・通知するか、被害拡散防止措置を講じた場合には、過料を最大40%減免できる。
改正法は、個人情報保護に関するCPOの専門人材管理と予算確保など職務権限を強化した。CPOを指定・変更・解除する際、取締役会決議を経て個人情報委に届出しなければならない義務が新設された。
個人情報委は、新規CPO制度導入に伴う対象機関の負担を緩和し制度の安定的な定着を図るため、来年12月31日まで指導期間を運用する。
個人情報流出の事実が最終的に確認される前であっても、客観的に流出可能性が高いと判断される場合、情報主体にこれを知らせる「個人情報流出可能性通知制」も導入される。
ソン・ギョンヒ個人情報委委員長は「今回の改正法令施行を機に、事前予防中心の個人情報保護、強化された安全管理体制が確立され、個人情報保護のための投資を『費用』ではなく、顧客信頼の確保と企業利益の拡大のための『先制的投資』として認識が転換されると期待する」と述べた。