반복·대규모 개인정보 침해 땐 매출 10% 과징금…CEO 책임 명문화

고의 또는 중대한 과실로 개인정보 침해를 반복하거나 1,000만 명 이상에게 피해를 낸 기업·기관에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 제도가 11일부터 시행된다.


개인정보보호위원회는 지난 3월 개정된 개인정보보호법과 시행령이 이날 시행됨에 따라 중대한 침해에 대한 제재를 강화하고, 사전 예방 노력에는 과징금 감경 혜택을 부여한다고 밝혔다.

사업주와 대표자는 개인정보 처리·보호의 최종관리자로 명시된다. 유출이 확정되기 전이라도 객관적으로 가능성이 높은 경우 정보주체에게 알리는 통지제도도 도입됐다.

양청삼 개인정보위 사무처장은 10일 정부서울청사에서 열린 브리핑에서 “이번 법 개정의 핵심은 사후 제재를 넘어 사전 예방을 중심으로 하는 개인정보 보호정책의 패러다임 전환입니다”라고 말했다.

반복 위반·1,000만 명 피해, 각각 10% 과징금 요건
강화된 과징금은 여러 조건을 모두 충족해야 하는 방식이 아니다. 각각의 사유에 따라 전체 매출액의 최대 10%까지 부과할 수 있다.

고의 또는 중대한 과실로 개인정보 침해를 반복한 경우가 첫 번째다. 반복 위반은 법 시행 이후 과징금 처분을 받은 뒤 같은 유형의 침해행위가 다시 발생했을 때 적용된다.

한 차례의 사고라도 고의·중과실이 인정되고 피해자가 1,000만 명 이상이면 반복성 요건 없이 강화된 과징금 부과 대상이 될 수 있다. 시정명령을 위반해 다시 과징금 부과 요건에 해당하는 경우도 별도의 적용 사유다.

양 사무처장은 “고의 또는 중대한 과실로 개인정보 침해를 반복하거나 1,000만 명 이상의 대규모 피해를 발생시키는 등 중대한 침해에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과하겠습니다”라고 밝혔다.

개인정보위는 이들 요건이 동시에 충족돼야 하는 ‘AND 조건’이 아니라 각각 독립적인 부과 사유라고 설명했다. 개정 규정은 법 시행 이후 발생한 위반행위부터 적용된다.

사전 투자 최대 40% 감경…금액보다 관리체계 평가
개인정보 보호를 위해 사고 전에 투자한 노력은 과징금 감경 요소로 인정된다.

보호 예산과 인력, 설비·장치 투자 내역을 비롯해 대표자와 개인정보보호책임자(CPO)의 역할, 관리체계 운영 수준, 안전조치 이행 여부 등을 종합적으로 평가해 최대 40%까지 감경할 수 있다.

다만 IT 투자액이나 매출액 대비 일정 비율을 획일적인 기준으로 삼지는 않는다. 유통·IT·게임·제조 등 업종마다 개인정보 처리 규모와 위험이 달라 투자액만으로 보호 수준을 판단하기 어렵다는 이유다.


보호할 정보자산을 정확히 식별했는지, 개인정보 처리 단계별 위험을 파악했는지, 이에 맞는 대응체계를 실제로 운영했는지가 함께 검토된다. 접근권한 통합관리와 이상행위 탐지, 취약점 공개, 개인정보 영향평가 등 법정 기준을 웃도는 안전조치도 고려 대상이다.

양 사무처장은 투자 규모와 지속성, CPO와 경영진의 역할, 위험 식별과 경감조치 이행 여부를 정량·정성적으로 평가하겠다고 밝혔다. 세부 내용은 투자 감경 안내서와 설명회 등을 통해 알릴 예정이다.

그는 “개인정보 보호를 유출 등 사고 발생 이후 부담해야 하는 비용이 아니라 사고를 사전에 예방함으로써 고객의 신뢰와 기업의 가치를 높이는 선제적 투자로 인식할 수 있도록 하겠습니다”라고 설명했다.

사고 이후 신속한 대응에도 별도의 감경 요소가 적용된다. 침해 사실을 빠르게 파악해 정보주체와 관계기관에 알리고, 피해 확산 방지와 취약점 개선, 2차 피해 차단 조치를 충실히 이행하면 최대 40%를 추가로 감경할 수 있다.

개인정보위는 일률적인 시간만으로 판단하기보다 탐지와 신고·통지의 신속성, 피해 방지조치, 원인 규명과 보완책 이행 수준을 종합적으로 살필 방침이다.

대표자는 최종관리자…전문 CPO 인사는 이사회 의결
개정법은 사업주 또는 대표자가 개인정보 처리와 보호에 관한 최종관리자로서 책임을 지도록 명시했다.

CPO는 개인정보 파일과 정보시스템의 보호 실태를 정기적으로 점검하고, 확인된 위험과 개선 대책을 대표자 또는 이사회에 보고해야 한다. 경영진은 보고받은 문제를 해결하기 위해 인력과 예산 등 필요한 자원을 배정해야 한다.

일정 규모 이상의 주요 개인정보처리자가 전문 CPO를 지정·변경·해제할 때는 이사회 의결을 거쳐 개인정보위에 신고하도록 했다. 기존 지정 의무에 신고 절차를 추가해 대상 기관과 책임자 현황을 관리하려는 조치다.

양 사무처장은 “개인정보 보호와 안전한 관리가 담당 실무자만의 업무가 아니라 기업·기관의 핵심적인 경영 책임으로 자리 잡도록 하겠습니다”라고 말했다.

신고 기한은 시행일부터 6개월로 첫 만료 시점은 내년 3월이다. 개인정보위는 신고 의무 위반이 발생할 수 있는 시점을 고려해 내년 말까지 계도기간을 운영할 계획이다.

CEO가 최종관리자로서 의무를 다했는지는 CPO의 보고 내용과 경영진의 대응, 인력·예산 배정, 개선조치 이행 여부 등을 토대로 판단하게 된다. 손해배상 소송 등에서 구체적인 법적 책임이 인정되는지는 법원이 결정한다.

유출 확정 전이라도 객관적 정황 있으면 통지
정보주체에 대한 유출 통지 시점도 앞당겨진다. 기존에는 개인정보가 실제로 유출됐다는 사실을 확인한 뒤 알렸지만, 앞으로는 최종 확인 전이라도 유출 가능성이 높다고 합리적으로 판단되면 통지해야 한다.

단순한 취약점이나 불명확한 흔적만으로 의무가 발생하는 것은 아니다. 개인정보위는 다크웹에서 유통되는 표본 자료가 기업의 데이터베이스 구조와 일치하거나 외부 침입은 확인됐지만 피해 규모가 확정되지 않은 경우 등을 예로 들었다.

통지할 때는 사고 발생 사실과 함께 피해를 줄이는 방법, 손해배상 청구, 분쟁조정 신청 등 구제 절차도 안내해야 한다. 랜섬웨어 등으로 개인정보가 위조·변조·훼손된 경우 역시 신고·통지 대상에 포함된다.

공공·민간의 중요 개인정보처리자에 대한 개인정보보호 관리체계 인증(ISMS-P) 취득 의무는 2027년 7월1일부터 시행된다. 개인정보위는 내년 상반기까지 대상 범위를 정하고, 해당 기업·기관은 2028년 12월31일까지 인증을 취득하도록 할 방침이다.