중대·반복 개인정보 유출에 매출액 최대 10% 과징금…기업 책임 강화

개보위, 개인정보 유출 가능성 통지제 도입
개인정보 보호법 개정안 11일부터 시행

송경희 개인정보보호위원회 위원장이 지난 9일 정부서울청사에서 개최된 제19회 전체회의에서 모두발언을 하고 있다/개보위

최근 국민 생활과 밀접한 분야에서 대규모 개인정보 유출 사고가 잇따르면서 국민들의 불안과 우려가 커지는 가운데, 개인정보보호위원회가 개인정보 유출 사고의 사전 예방과 국민 피해구제 강화를 위한 제도 개선에 나섰다.

개인정보보호위원회는 지난 3월 개정된 개인정보 보호법과 위임 사항을 구체화한 개인정보 보호법 시행령 및 관련 고시가 11일부터 시행된다고 10일 밝혔다.

이번 제도 개선은 최근 국민 일상생활과 밀접한 분야에서 대규모 개인정보 유출 사고가 잇따른 데 따라 기업과 기관의 책임을 강화하고 사고를 사전에 예방하기 위해 추진됐다.

개인정보 보호법은 반복적이거나 고의·중과실로 인한 중대한 개인정보 침해에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 제재를 강화했다. 동시에 예산·인력·설비·장치 등에 대한 사전 예방 투자와 운영 실적을 과징금 감경에 반영해 엄정한 제재와 선제적 보호 투자 확대를 함께 추진한다.

자료/개인종보보호위원회

또한 개인정보 보호 책임과 관리체계를 강화하기 위해 사업주·대표자의 최종 책임을 명시하고 개인정보 보호책임자의 전문인력 관리·예산 확보·이사회 보고 권한을 확대했다.

아울러 정보주체의 피해구제를 강화하기 위해 개인정보 유출 가능성 통지제를 신설하고 유출통지에 분쟁조정 신청 및 손해배상 청구 방법을 포함하도록 확대했다. 또 개인정보의 위조·변조·훼손도 유출신고와 통지 대상에 포함해, 랜섬웨어 등으로 인한 침해에도 신속히 대응할 수 있도록 했다

이번 시행령 개정안은 과징금 부과 기준과 절차, 선제적 예방투자에 따른 과징금 감경 기준을 구체화했다. 또 개인정보 보호책임자의 지정·변경·해제 시 이사회 의결과 신고 의무 대상·방법, 개인정보 유출 가능성 통지 요건·절차 등 개정법에서 위임한 세부 사항도 정비했다.

특히 개인정보 유출 가능성 통지제는 유출 사실이 최종 확인되기 전이라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우 정보주체에게 통지해 피해를 최소화하도록 도입됐다. 이번 시행령 개정안은 통지 대상과 시기, 절차, 통지 항목 등을 구체화해 정보주체가 사고 초기부터 필요한 대응을 할 수 있도록 했다.

법 개정을 통해 공공·민간 부문 중요 개인정보처리자에 대해 개인정보 보호(ISMS-P) 인증을 의무화하는 내용도 포함했으나 다만 인증 취득에 필요한 예산 확보와 준비 기간을 고려해, 해당 규정은 내년 7월 1일부터 시행될 예정이다.

송경희 개보위 위원장은 "이번 개정법령 시행을 계기로 사전 예방 중심의 개인정보 보호와 강화된 안전관리 체계가 확립되기를 기대한다"며 "개인정보 보호 투자가 비용이 아니라 고객 신뢰 확보와 기업 경쟁력 강화를 위한 선제적 투자로 인식되도록 하겠다"고 말했다.