[소비자경제] 이동윤 기자 = 반복적인 개인정보 유출 사고를 일으키거나 1000만명 이상의 대규모 피해를 낸 기업에 전체 매출액의 최대 10%에 달하는 과징금을 물리는 강력한 제재가 시행된다. 개인정보 보호에 대한 최고경영자(CEO)의 최종책임도 명확해지고 개인정보 보호책임자(CPO)의 권한과 독립성도 강화된다.

개인정보보호위원회는 이 같은 내용을 담은 개정 개인정보 보호법과 시행령·고시가 11일부터 시행된다고 밝혔다. 이번 제도 개편은 반복적이고 중대한 개인정보 침해에 대한 제재 수위를 높이는 동시에 기업이 사고 예방을 위해 기울인 노력은 과징금 산정 과정에서 적극 반영하는 데 초점을 맞췄다.

대규모 개인정보 유출에 '매출 10%' 과징금

개정 법령에 따라 반복적이거나 중대한 개인정보 침해행위에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 특례가 적용된다. 이에 맞춰 과징금 부과와 감경 절차, 세부 산정 기준도 마련됐다.

고의 또는 중과실로 3년 이내 위반행위를 반복하거나 1000만명 이상의 대규모 피해를 발생시킨 경우가 대표적이다. 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우에도 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.

다만 개인정보 보호를 위해 기업이 사고 발생 전 적극적으로 투자하고 보호체계를 강화했다면 과징금 산정에 이를 반영한다. 예방 노력이 인정되면 과징금 부과 기준금액의 40% 범위에서 감경할 수 있다.

최종 과징금을 결정할 때도 위반행위의 구체적인 내용과 정도, 피해 규모와 영향 등을 고려해 최대 50%를 추가로 감경할 수 있도록 했다. 영세·중소기업 등의 경미한 위반은 기술지원을 받아 문제를 시정하는 경우 과징금을 면제할 수 있도록 해 기업 규모와 위반 정도에 따른 비례성도 고려했다.

CEO 책임 명확해지고 CPO 권한 커진다

개인정보 보호를 기업 경영 차원의 책임으로 끌어올리기 위한 관리체계도 강화된다. 사업주와 대표자의 개인정보 보호 최종책임을 명시하고 CPO의 직무 권한과 독립성을 높이는 것이 핵심이다.

법 개정에 따라 일정 기준에 해당하는 개인정보처리자는 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐야 하며 개인정보위에도 이를 신고해야 한다. 법 시행 이후 CPO를 지정하거나 변경·해제하는 경우 이사회 의결을 거친 뒤 신고 사유가 발생한 날로부터 6개월 이내 개인정보위에 신고서를 제출해야 한다.

법 시행 이전에 이미 지정된 CPO는 별도의 이사회 의결을 다시 거칠 필요는 없지만 법 시행일부터 6개월 이내 개인정보위에 신고해야 한다. 개인정보위는 새로운 CPO 제도에 따른 대상 기관의 부담을 줄이고 현장 안착을 돕기 위해 2027년 12월 31일까지 계도기간을 운영한다.

"확인될 때 기다리지 않는다"...72시간 내 통지

개인정보 유출 사고를 이용자에게 알리는 시점도 앞당겨진다. 유출 사실이 최종 확인되지 않았더라도 객관적인 정황을 근거로 개인정보 유출 가능성이 높다고 합리적으로 판단하면 정보주체에게 이를 알려야 하는 '유출 가능성 통지제'가 도입된다.

불법적인 시스템 접근이나 개인정보 불법 거래 등 객관적인 정황을 토대로 유출 가능성이 높다고 판단하면 해당 사실을 안 때부터 72시간 이내 이용자에게 알려야 한다. 다만 보안 취약점이 발견됐다는 사실이나 막연한 가능성만으로 통지 의무가 발생하는 것은 아니며 개인정보가 실제 유출됐을 가능성을 뒷받침하는 객관적 정황이 있어야 한다.

송경희 개인정보위 위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호와 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 비용이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 선제적 투자로 인식이 전환될 것으로 기대한다"고 말했다.

npce@dailycnc.com