[비즈니스포스트] 반복적이거나 고의·중과실에 따른 대규모 개인정보 유출 사고가 발생하면 기업에 전체 매출액의 최대 10%까지 과징금이 부과된다.

개인정보보호위원회는 개인정보 유출사고를 사전에 예방하고 피해구제를 강화하기 위해 개정된 개인정보 보호법과 시행령, 관련 고시가 11일부터 시행된다고 10일 밝혔다.
 

개정 법령에 따라 고의·중과실로 3년 안에 위반행위를 반복하거나 고의·중과실로 1천만 명 이상의 대규모 피해를 일으킨 경우 등에 전체 매출액의 10% 이내에서 과징금을 부과할 수 있다.

개인정보 보호를 위한 사전 투자에는 과징금 감경 혜택이 주어진다.

개인정보위는 개인정보 보호 예산·인력·설비 투자 규모와 지속성, 최고경영자(CEO)와 개인정보 보호책임자(CPO) 중심의 보호체계, 법정 기준을 넘어선 안전조치 등을 고려해 과징금 기준금액의 최대 40%를 감경할 수 있도록 했다. 사고 발생 뒤 조기 탐지와 신속한 신고·통지, 피해 확산 방지 등 대응 노력도 최대 40% 감경 요소로 반영한다.

CPO의 권한과 책임도 강화된다.

연 매출 또는 수입이 1800억 원을 넘으면서 100만 명 이상의 개인정보나 5만 명 이상의 민감·고유식별정보를 처리하는 사업자, 재학생 2만 명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관 등은 CPO 지정·변경·해제 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다.

개인정보 유출이 최종 확인되기 전이라도 유출 가능성이 높다고 합리적으로 판단되면 정보주체에게 이를 알리는 ‘유출 가능성 통지제’도 도입된다.

개인정보처리시스템에 불법 접근이 발생했거나 일부 개인정보의 불법 거래 등이 확인돼 다른 정보주체의 정보도 유출됐을 가능성이 있다고 판단되면 이를 안 때부터 72시간 안에 통지해야 한다. 랜섬웨어 등에 따른 개인정보 위조·변조·훼손도 유출 신고·통지 대상에 포함된다.

다만 공공·민간 부문의 주요 개인정보처리자에 대한 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 의무화는 준비기간을 고려해 2027년 7월1일부터 시행된다.

송경희 개인정보보호위원회 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고 개인정보 보호를 위한 투자를 비용이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 선제적 투자로 인식이 전환될 것으로 기대한다”고 말했다. 조승리 기자