▲ 과징금 산정 흐름도('26.9.11. 시행) (자료=개정보보호위원회)  ©

 

반복적이거나 고의·중과실로 인한 개인정보 대규모 유출에 전체 매출액 10% 이내 징벌적 과징금이 도입된다.

 

개인정보 보호 책임과 관리체계를 강화하기 위해 사업주·대표자(CEO)의 최종책임을 명시하고, 개인정보 보호책임자(CPO)의 직무권한도 강화한다. 개인정보보호위원회는 이 같은 내용을 담은 개정 개인정보 보호법과 시행령·고시가 11일부터 시행된다고 10일 밝혔다.

 

◆ 매출액 최대 10% 과징금…예방 노력하면 최대 90% 감경도

 

반복적이거나 중대한 개인정보 침해행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하는 과징금 특례가 시행됨에 따라, 과징금 부과·감경 절차와 기준 등 세부사항이 구체화됐다. 고의·중과실로 3년 이내 위반행위를 반복하거나 1000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.

 

다만 개인정보 보호를 위해 사전에 적극 투자하고 보호체계를 강화한 노력은 과징금 산정 과정에서 충분히 반영해 기준금액의 40% 범위에서 감경할 수 있도록 했다. 위반행위의 구체적 내용, 정도와 피해규모 및 영향 등을 고려해 추가로 최대 50%까지 감경할 수 있도록 하는 등 비례성도 강화했다. 두 감경을 함께 적용하면 최대 90%까지 낮아질 수 있는 구조다. 영세·중소기업 등의 경미한 위반에 대해서는 기술지원을 받아 시정하는 경우 과징금을 면제할 수 있도록 해 처분 부담도 줄였다.

 

◆ CPO 지정·변경 때 이사회 의결·신고 의무화

 

법 개정으로 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고해야 하는 의무가 신설됐으며, 시행령 개정을 통해 의무 대상 기준이 구체화됐다. 신고 대상이 되는 개인정보처리자는 법 시행 이후 CPO를 지정·변경·해제하려는 경우 이사회 의결을 거치고, 신고 사유가 발생한 날로부터 6개월 이내 개인정보위에 신고서를 제출해야 한다.

 

법 시행 이전에 이미 지정된 CPO는 별도 이사회 의결 없이 법 시행일부터 6개월 이내 신고하면 된다. 개인정보위는 신규 CPO 제도 도입에 따른 대상기관의 부담을 완화하고 제도의 안정적 정착을 위해 2027년 12월 31일까지 계도기간을 운영할 예정이다.

 

◆ 유출 의심되면 확정 전이라도 72시간 내 통지

 

개인정보 유출로 인한 국민의 피해를 최소화하기 위해, 유출 사실이 최종 확인되기 전이라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되면 정보주체에게 통지하도록 하는 유출 가능성 통지제도 도입됐다. 불법적인 시스템 접근이나 개인정보 불법 거래 등 객관적인 정황을 토대로 유출 가능성이 높다고 판단되면 해당 사실을 안 때부터 72시간 이내 이용자에게 알려야 한다. 다만 단순히 보안 취약점이 발견됐거나 막연한 유출 가능성이 있다는 이유만으로 통지해야 하는 것은 아니며, 객관적인 의심 정황이 있어야 한다.

 

송경희 개인정보위 위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호와 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 비용이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 선제적 투자로 인식이 전환될 것으로 기대한다"고 밝혔다.

 

[기자 코멘트]


매출액의 최대 10%라는 과징금 상한은 EU GDPR과 유사한 수준으로, 국내 개인정보보호 규제 중에서도 가장 강력한 축에 속한다. 다만 실제 적용 요건을 보면 '고의·중과실로 3년 이내 반복', '1000만 명 이상 피해', '시정명령 불이행' 등 상당히 좁게 설정돼 있어, 이 조항이 실제로 발동되는 사례는 소수의 초대형 유출 사고에 국한될 가능성이 크다.

 

반대로 사전투자 감경(최대 40%)과 피해규모 등 고려 감경(최대 50%)을 함께 적용하면 최대 90%까지 낮아질 수 있다는 점에서, 실제 부과되는 과징금이 매출액의 10%에 근접하는 사례는 매우 드물 것으로 예상된다. 결국 이 제도의 실효성은 감경 기준을 심의위원회가 얼마나 엄격하게 적용하느냐에 달려 있다.

 

CPO의 이사회 의결·신고 의무화는 개인정보 보호 책임을 실무자가 아닌 경영진 차원으로 끌어올렸다는 점에서 의미가 있지만, 2027년 말까지 계도기간이 운영되는 만큼 실제 처벌 사례가 나오기까지는 시간이 걸릴 전망이다.

 

유출 가능성 통지제 역시 "객관적인 의심 정황"이라는 판단 기준이 다소 추상적이어서, 기업들이 통지 시점을 놓고 소극적으로 해석할 여지가 있다. 72시간이라는 통지 기한을 실제로 지키는지, 그리고 기업들이 애매한 상황에서 선제적으로 통지에 나서는지는 제도 시행 이후 몇 건의 실제 사례가 쌓여야 가늠할 수 있을 것으로 보인다.

 

 

기사작성: 미디어코리아 박상찬 기자 mknews114@gmail.com