개인정보 유출시 과징금 폭탄…유출 가능성에도 통지·CPO 책임 강화

11일부터 개정 개인정보보호법·시행령 발효
반복·대규모 유출시 매출 최대 10% 과징금
유출 확정 전이라도 72시간 내 통지 의무화
CPO 임면시 이사회 의결·개인정보위에 신고

앞으로 고의나 중과실로 개인정보를 반복해 유출하거나 대규모 피해를 낸 기업·기관은 전체 매출액의 최대 10%에 달하는 과징금 폭탄을 맞는다. 유출 사실이 확정되지 않았더라도 가능성이 높은 초기 단계부터 국민에게 알리고, 조직 내 개인정보보호책임자(CPO)의 지정·변경 시 이사회 의결을 거쳐 당국에 신고해야 한다.

개인정보보호위원회는 이 같은 내용을 골자로 하는 개정 '개인정보호호법'과 시행령·고시가 오는 11일부터 본격 시행된다고 10일 밝혔다. 최근 공공·민간을 가리지 않고 대규모 개인정보 유출 사고가 잇따르며 커진 국민적 불안감을 해소하기 위한 고강도 조치다.

개정법은 강력한 사후 제재와 사전 예방 인센티브를 함께 쥐여줬다. 우선 고의·중과실로 3년 내 위반 행위를 반복하거나 1000명 이상의 대규모 유출 사고를 낸 경우 등에는 피해 규모와 가중·감경 요소를 종합적으로 고려해 전체 매출액의 최대 10% 범위에서 과징금을 부과한다. 반복 위반에 대한 가중 비율도 최대 80%까지 상향했다.

동시에 평소 예산·인력·설비 등 개인정보 보호에 선제적으로 투자한 노력도 반영한다. 개정법은 개인정보 보호 체계 수준과 안전성 확보 조치 등을 고려해 과징금 부과 기준금액의 최대 40%까지 과징금을 깎아줄 수 있도록 했다. 다만 높은 수준의 관리 책임성이 요구되는 주요 공공기관은 업무 형태나 규모가 크다는 이유로 과징금을 감면해주지 않도록 규정했다. 국민 정보를 강제 수집·관리하는 공공의 책임을 무겁게 보겠다는 뜻이다.

사고 발생 초기 단계에서 정보주체의 방어권을 보장하기 위한 제도도 개편했다. 지금까지는 유출이 최종 확인된 때에만 통지 의무가 있었으나 앞으로는 유출 가능성이 객관적으로 높다고 합리적으로 판단되면 72시간 이내에 국민에게 통지해야 한다. 통지 항목은 개인정보 항목 등 기존 정보 외에 손해배상 청구·분쟁조정 신청 방법까지로 확대했다. 랜섬웨어 공격을 받아 데이터가 위조·변조·훼손된 경우도 유출 신고·통지 대상에 포함했다.

조직 내 개인정보 보호 관리체계는 이사회를 비롯한 최고위 의사결정기구를 거쳐야 한다. 개정법은 사업주·대표자뿐만 아니라 기관장 등의 최종 책임을 명시했다. 연매출액이 1800억원을 초과하면서 대규모 개인정보를 처리하는 자 외에도 재학생 2만명 이상의 대학, 상급종합병원, 주요 공공시스템 운영기관 등은 CPO를 지정·변경·해제할 때 반드시 이사회 의결을 거쳐 6개월 이내에 개인정보위에 신고하도록 했다. 다만 제도 초기 현장의 혼란을 줄이기 위해 내년 말까지 계도기간을 운영한다. 이 기간에는 CPO 미지정 등에 따른 불이익을 받지 않는다.

아울러 공공·민간 부문의 중요 개인정보처리자에 대한 개인정보 보호(ISMS-P) 인증 의무화 조항도 확정했다. 기업·기관의 예산 확보 기간을 고려해 내년 7월 1일부터 시행한다. 송경희 개인정보위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호와 강화된 안전관리 체계가 확립될 것"이라며 "개인정보 보호를 위한 투자가 '비용'이 아니라 '선제적 투자'로 인식이 전환되길 기대한다"고 말했다.

노경조 기자 felizkj@asiae.co.kr