1000만명 이상 대규모 개인정보 유출 땐 ‘매출 최대 10%’ 과징금 물린다

11일부터 중대한 과실로 1000만명 이상의 대규모 개인정보유출 사고를 일으킨 기업은 매출의 최대 10%에 이르는 과징금을 물 수 있게 된다.

반복적이거나 고의·중대한 과실이라는 점이 인정될 경우 처벌을 강화하는 ‘징벌적 과징금’ 제도가 본격 도입된다. 개인정보보호 투자에 적극적으로 나선 기업에는 과징금을 최대 40% 감경하는 제도도 함께 시행된다.

일각에선 개인정보보호 필요성이 커진 점은 공감하면서도, 불가항력적인 해킹 사고까지 기업에 지나치게 부담을 지우는 것 아니냐는 우려의 목소리도 제기된다.

개인정보보호위원회는 이같은 내용을 골자로 한 ‘개인정보 보호법 시행령’이 11일부터 본격적으로 시행된다고 밝혔다. 이는 지난 3월 개정된 ‘개인정보 보호법’과 위임 사항을 구체화한 것이다. 제도가 본격적으로 시행되면서 당장 이날부터 정부가 부과할 수 있는 과징금 규모가 기존 최대 ‘매출의 3%’에서 ‘매출의 10%’로 달라진다.

세부적으로 ▷고의·중과실로 3년 이내 위반행위를 반복한 경우 ▷고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우 ▷시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등이 징벌적 과징금 대상이다.

개인정보위는 위반행위의 내용·정도와 경위 및 정보주체 피해 규모 등을 종합 고려해 기준금액을 산정할 방침이다. 이후 가중·감경 등을 통해 전체 매출액의 10% 이내에서 부과 과징금을 산정할 수 있도록 체계적 절차를 마련했다.

반대로 개인정보보호에 적극적으로 투자한 기업에게는 최대 40%까지 과징금을 감면해주는 방안도 함께 시행된다. 개인정보위는 개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모와 비율, 지속성 및 증가 정도를 과징금 산정 과정에 반영한다. 최고경영자(CEO)·개인정보 보호책임자(CPO)·전문인력 등 개인정보 보호체계의 수준, 법상 의무사항 이외의 추가적인 안전성 확보 조치 등을 고려해 과징금 부과 기준 금액의 최대 40%를 감경할 방침이다.

반복적인 법 위반에 대한 과징금 가중 수준은 높아졌다.

앞으로는 1회 20%, 2회 40%, 3회 이상은 80%를 가중한다. 기존 1회 위반 시 15%, 2회 이상이면 30%를 가중한 것과 비교해 처벌이 강해졌다. 유출 신고·통지를 법정기한 내 하지 않고 정보주체의 피해 확산을 막기 위한 조치도 하지 않은 경우에는 과징금을 최대 30% 가중한다.

경영진의 책임도 강화된다. 개인정보 보호에 대한 CEO의 최종 책임을 명시하고 CPO의 전문인력 관리와 예산 확보 등 직무 권한을 강화했다.

CPO를 지정·변경·해제하려는 경우 이사회 의결을 거치고 신고 사유가 발생한 날로부터 6개월 이내에 개인정보위에 신고서를 제출해야 한다.

기업이 유출 신고를 늦게 해 피해가 확산하는 것을 막기 위해 개인정보 유출 가능성 단계부터 국민에게 신속히 통지하는 방안도 마련했다.

유출 사실이 최종적으로 확인되기 전이라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우에는 정보주체에게 이를 통지하도록 하는 ‘유출 가능성 통지제’가 도입된다.

송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되길 기대한다”고 설명했다.

반면, 업계 안팎에선 기업들의 부담이 지나치게 가중될 수 있다는 우려의 목소리도 나온다. 해킹 수법이 날로 정교해지고 있는 상황에서, 기업의 통제를 넘어선 불가항력적인 사고에서도 기업에 대한 처벌이 지나치게 엄격하다는 점에서다.

업계 관계자는 “개인정보보호 대응 체계를 과할 정도로 꼼꼼하게 대비해야한다는 점에서는 당연히 공감한다”면서도 “해킹 수법이 다양해져 기업의 통제가 닫지 않는 불가항력적인 사고도 적지 않다는 점을 감안하면 기업에겐 부담이 지나치게 큰 면이 있다”고 토로했다. 박세정 기자