【 청년일보 】 앞으로 고의나 중과실로 개인정보를 대규모·반복 유출한 기업은 전체 매출액의 최대 10%에 달하는 '징벌적 과징금'을 물게 된다. 반면 개인정보 보호를 위해 사전에 예방 투자를 늘린 기업은 과징금을 대폭 감경받는다. 아울러 유출이 최종 확정되지 않았더라도 유출 가능성이 높은 단계부터 72시간 이내에 정보주체에게 신속히 알려야 한다.

개인정보보호위원회(이하 개인정보위)는 이 같은 내용을 골자로 한 개정 '개인정보 보호법' 및 시행령·고시가 9월 11일부터 본격 시행된다고 10일 밝혔다. 최근 국민 일상과 밀접한 분야에서 대규모 개인정보 유출 사고가 잇따르며 불안감이 증폭되자, 사고 '사후 처벌' 위주에서 '사전 예방 및 피해 구제 강화'로 대응 패러다임을 전면 전환한 것이다.

◆ 반복·대규모 유출엔 '매출 10%' 과징금…'사전 예방 투자' 시 최대 40% 감경

개정 법령에 따르면 고의·중과실로 3년 내 위반행위를 반복하거나 1천만명 이상의 대규모 피해를 발생시킨 경우 전체 매출액의 최대 10%까지 과징금이 부과되는 특례 조항이 적용된다. 유출 사고를 내고도 제때 신고·통지하지 않거나 피해 확산 방지 조치를 소홀히 한 경우에는 최대 30%의 과징금이 가중된다.

대신 사전에 예방 투자를 충실히 한 기업에는 확실한 인센티브를 준다. 개인정보 보호 예산·인력·설비 투자 규모, CEO·CPO의 관리체계 수준, 법상 의무 이상의 안전조치 이행 등을 종합 고려해 과징금 부과 기준금액의 최대 40%까지 감경해 준다. 사고 발생 후 신속 대응 및 회복 노력에 대해서도 추가 감경 혜택(최대 40%)이 주어진다.

◆ CPO 이사회 의결·신고 의무화…위상·독립성 격상

기업 내 개인정보 보호 책임자(CPO)의 직무 권한과 책임도 대폭 강화된다. 연 매출 1천800억원 초과 및 100만명 이상 개인정보 처리 기업, 재학생 2만명 이상 대학, 상급종합병원 등 주요 기관은 CPO를 지정·변경·해제할 때 반드시 이사회 의결을 거쳐 6개월 이내에 개인정보위에 신고해야 한다.

개인정보위는 제도 안착을 위해 2027년 12월 31일까지 계도기간을 운영하고, 해당 기간에는 과태료를 부과하지 않을 방침이다. CPO의 독립성을 보장하기 위해 최고경영자(CEO)의 최종책임을 명시하고, CPO가 이사회 보고 권한과 예산·인력 확보 권한을 갖도록 법적 근거도 명확히 했다.

◆ '유출 가능성' 단계부터 72시간 내 통지…랜섬웨어 훼손도 신고 대상

국민 피해 구제도 한층 신속해진다. 유출 사실이 최종 확정되지 않았더라도 시스템 불법 접근 등으로 유출 가능성이 높다고 판단되면 72시간 이내에 사용자에게 관련 사실을 알려야 한다. 통지 항목 역시 기존 경위·피해 최소화 방법 외에 손해배상 청구 및 분쟁조정 신청 방법 등 법적 피해구제 절차까지 확대됐다.

이와 함께 랜섬웨어 감염 등으로 인한 개인정보의 위조·변조·훼손도 공식 유출 신고·통지 대상에 새로 포함됐다.

송경희 개인정보위원장은 "이번 개정을 통해 개인정보 보호 투자가 단순 비용이 아닌 '고객 신뢰와 기업 이익을 위한 선제적 투자'로 인식이 전환되길 기대한다"고 강조했다.
 

【 청년일보=조성현 기자 】