개인정보위, 민감 정보 많으면 과징금 높인다…기업도 사전 점검 강제화

개인정보위, 예방 중심 관리체계 전환 계획
민간·공공 1700여개 분야 사전 점검
비협조시 이행강제금까지
'징벌적 과징금' 부과로 보안 투자 유도

송경희 개인정보보호위원회 위원장이 12일 오후 서울 종로구 정부서울청사에서 예방 중심 개인정보 관리체계 전환 계획을 발표하고 있다. /연합뉴스

정부가 올해 하반기부터 공공기관뿐 아니라 국내에서 대규모 개인정보를 다루는 민간 기업 보안 대책에도 직접 개입하기로 했다. 기업을 상대로도 정부 차원의 개인정보 보호체계 점검 조사를 강제하고, 실제 유출 사고에 대해서는 단순 매출액 기준이 아니라 잠재적 피해 수준과 반복성을 고려해 '징벌적 과징금' 형태로 부과하겠다는 것이다. 최근 개인 연락처, 주민번호뿐 아니라 소득 수준, 직업, 종교 등 민감 정보까지 전부 털린 결혼정보회사 '듀오' 사태를 계기로 실질적인 대책이 필요하다는 판단으로 풀이된다.

개인정보보호위원회(개인정보위)는 12일 대통령 주재 국무회의에서 이같은 내용을 담은 '예방 중심 개인정보 관리체계 전환 계획'을 보고했다고 밝혔다. 민간과 공공부문을 포함해 사회 전반의 개인정보 보호 예방 수준을 높이고 민감 정보 유무 등 실질적인 피해 규모에 따라 세부적으로 대응할 목적이다.

이번 계획의 가장 핵심은 반복적이거나 중대한 개인정보 보호법 위반행위에 대해 매출액의 최대 10%까지 차등 부과하는 징벌적 과징금이다. 단순 확대가 아니라 이용자 수, 민감 정보 비율, 보안체계 사전 이행 노력 등을 고려해 산정한다는 것이다. 앞서 개인정보보호위는 지난달 듀오에서 정회원 42만7464명의 개인정보가 유출된 사실을 확인하고, 과징금 11억9700만원과 과태료 1320만원 부과 처분을 내렸다. 그러나 과징금 규모를 단순 매출액 기준으로 일률 산정해 잠재적 피해 규모에 비해 미미한 처분이라는 지적이 나왔다. 실제로 듀오에서 유출된 정보에는 업계 특성상 개인에 대한 대부분의 '인생 정보'가 포함돼 있었고, 유출 당시 보안 관리 실태가 법적으로 정한 수준에 못 미치는 상태였다. 이에 개인정보위는 개별 기업의 매출액뿐 아니라 이용자 수, 민감 정보 비율, 보안체계 이행 노력 등을 종합적으로 판단해 감·가중을 판단하겠다는 것이다.

실효성을 강조한 예방 중심 관리체계를 확립하기 위해 개인정보위 차원의 사전 조사 역시 강제화한다. 우선 민간과 공공 분야를 막론하고 100만명 이상 개인정보를 처리하는 기업과 기관 1700여개에 대해 정기·수시점검을 실시할 계획이다. 이 역시 모든 분야를 단번에 점검하는 방식이 아닌, 정보의 밀도나 이용자 수 등을 고려한 위험 수준에 따라 차등적으로 점검하는 위험기반 관리체계를 구축한다는 설명이다.

구체적으로 민간 분야에서는 기업과 산업 전반의 개인정보 보호 경쟁력을 높이기 위해 클라우드 사업자, 전문수탁사, 시스템 공급사를 포함해 공급망 전반으로 점검을 확대한다. 특히 상조회사, 고객상담센터, 결혼정보업체와 초·중·고 에듀테크 업체를 고위험 분야로 분류해 우선 점검할 예정이다. 단순 점검에서 그치는 것이 아니라, 개인정보 보호체계 이행 사항 자체를 강제할 방안도 마련됐다. 개인정보위는 향후 미이행·조사 비협조 기업에는 이행강제금을 부과하는 방식으로 조사 강제력을 확보할 계획이다. 이행점검에 대해서는 올해까지 92개 기업·기관에 대한 시정명령 이행 여부를 점검한 후 207개 항목이 개선된 만큼 일정 효과가 증명됐다는 설명이다.

송경희 위원장은 "사전 조치 미흡으로 인한 사고에는 더욱 엄중한 책임을 묻겠다는 것"이라며 "사고 이후 대응하는 게 더 싸다는 인식이 아직 남아있는 것이 사실인데, 이런 계산이 나오지 않도록 하겠다"고 말했다.