고의·중과실로 대규모 개인정보 유출 사고를 일으킨 기업에 전체 매출액의 최대 10%까지 과징금을 부과하는 징벌적 과징금 제도가 시행된다. 법 위반 횟수에 따른 과징금 과중 기준이 강화되고, 개인정보 보호에 선제적으로 투자한 기업에는 과징금을 최대 40% 감경해주는 제도도 함께 도입된다.
이 같은 내용을 담은 개정 개인정보보호법 및 시행령이 오는 11일부터 시행된다. 이번 조치로 △고의·중과실로 3년 이내 개인정보 보호법 위반행위를 반복하거나 △고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우 △시정명령을 이행하지 않아 개인정보 유출사고가 발생한 경우 등에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.
법 위반 횟수에 따른 과징금 가중 기준도 강화된다. 기존에는 위반 횟수에 따라 과징금을 15~30% 가중했지만 앞으로는 1회 20%, 2회 40%, 3회 이상 80%까지 가중한다. 유출 신고·통지를 법정기한 내 하지 않고 피해 확산 방지 조치도 하지 않은 경우에도 과징금을 최대 30% 가중할 수 있다.
반면 기업이 개인정보 보호에 선제적으로 투자한 경우 과징금을 깎아준다. 개인정보 보호 관련 예산·인력·설비 투자 규모와 지속성, 최고경영자(CEO)와 개인정보 보호책임자(CPO)를 중심으로 한 보호체계, 법적 의무를 넘어선 추가 안전조치 등을 고려해 과징금 부과 기준금액의 최대 40%를 감경한다.
사고 발생 이후 기업의 대응 노력도 과징금 감경에 반영한다. 사고가 발생한 뒤 신속하게 대응한 경우에도 최대 40%를 감경한다. 사고 대응체계를 미리 구축하고 조기에 사고를 탐지해 신속하게 신고·통지하거나 피해 확산 방지 조치를 취한 경우 등이 해당한다.
기업의 개인정보 보호책임자(CPO)에 대한 권한과 책임도 강화된다. 법 개정으으로 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 하는 의무가 신설됐다. 연 매출액 또는 수입이 1800억원을 초과하면서 100만명 이상의 개인정보 또는 5만명 이상의 민감·고유식별정보를 처리하는 기업과 재학생수 2만명 이상인 대학, 상급 종합병원, 주요 공공 시스템 운영기관이 대상이다.
개인정보가 실제 유출됐는지 확정되지 않은 단계에서도 이용자에게 위험을 알리는 ‘유출 가능성 통지제’도 새로 도입된다. 개인정보 유출이 의심되지만 피해자를 특정하기 어렵거나, 일부 개인정보의 불법 거래가 확인돼 다른 이용자의 정보까지 유출됐을 가능성이 있다고 판단되는 경우 72시간 이내에 이용자에게 알려야 한다.
송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전 예방 중심이 개인정보 보호와 강화된 안전관리 체계가 확립될 것”이라며 “개인정보 보호를 위한 투자를 비용이 아닌 고객 신뢰 확보와 기업 이익 확대를 위한 선제적 투자로 인식이 전환되길 기대한다”고 말했다.
