개인정보 유출 제재 강화…예방투자 감경 확대
개보위 “기업마다 달라 정량 배점 매뉴얼 없어”
▲양청삼 개인정보보호위원회 사무처장이 10일 서울 종로구 정부서울청사에서 중대·반복 개인정보 유출 등 위반 행위에 매출액의 최대 10%를 부과할 수 있는 징벌적 과징금제도 등이 담긴 개인정보보호법 시행령이 11일부터 시행된다고 밝히고 있다. 사진=연합뉴스
개인정보 유출 과징금 상한이 11일부터 전체 매출액의 10%로 높아졌다. 사전 예방 투자에는 최대 40% 감경 혜택을 주지만, 실제 감경 폭을 가를 항목별 정량 배점은 두지 않았다. 개인정보보호위원회는 당분간 기업별 투자 수준과 보호체계를 종합적으로 평가해 감경 폭을 정하고, 관련 데이터가 쌓이면 업종별 투자 수준을 비교할 계획이다.
11일 개보위에 따르면, 과징금 제도를 개편한 개정 개인정보 보호법과 시행령이 이날부터 시행된다.
고의나 중과실로 3년 이내 위반행위를 반복하거나 1000만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.
제재 수위를 높이는 대신 사전 예방 노력을 과징금 감경에 반영한다. 개인정보 유출에는 책임을 강화하고 예방 노력에는 혜택을 주는 이른바 '당근과 채찍' 방식이다.
개보위는 기업의 개인정보 보호 투자와 보호체계 운영 수준을 종합적으로 평가해 과징금 부과 기준금액의 최대 40%를 감경한다. 투자 규모와 지속성, CEO와 CPO의 역할, 법적 의무를 넘어선 추가 안전조치 등이 주요 평가 대상이다.
감경 여부는 원칙적으로 위반행위가 발생하기 전 3개 사업연도의 투자와 예방 조치를 기준으로 판단한다. 다만 고의 또는 중과실로 발생한 위반행위는 투자감경 대상에서 제외한다.
문제는 각 요소가 실제 감경률에 얼마나 반영되는지를 보여주는 정량적 배점 기준이 없다는 점이다.
개보위가 마련한 '과징금 투자 감경제도 안내서'에는 IT 투자액 대비 개인정보 보호 투자예산 비율, 개인정보 보호 투자금액 증가율과 집행 내역, 매출액 대비 개인정보 보호 투자 규모 등이 지표로 제시됐다. CEO의 개인정보 보호에 대한 관심과 실천 의지, CPO의 전문성과 실질적인 권한, 전담인력의 전문성 등도 평가한다.
일정 수준 이상 투자하면 몇 %를 감경하는 식의 항목별 배점이나 가중치는 정하지 않았다.
개보위 관계자는 “기업별 성격이나 규모가 모두 다르기 때문에 케이스 바이 케이스로 볼 수밖에 없는 상황"이라며 “개별적인 퍼센티지나 비중을 다 매뉴얼화해 놓은 것은 없다"고 말했다.
기업마다 규모와 업종, 처리하는 개인정보의 양과 성격이 다른 만큼 단순 투자액만으로 개인정보 보호 수준을 판단하기 어렵다는 게 개보위의 설명이다. 투자 규모뿐 아니라 투자가 지속적으로 이뤄졌는지, 실제 개인정보 보호체계를 어떻게 구축하고 운영했는지 등을 함께 살펴 감경 수준을 결정한다.
업종별 투자 수준을 비교할 데이터도 아직 충분하지 않다. 현재 정보보호 공시 대상 기관은 700~800개 수준이다. 개보위는 향후 공시 대상이 2000개 이상으로 확대되면 업종별 적정 투자 규모와 평균치, 최대치, 최하치 등을 비교할 수 있는 데이터가 축적될 것으로 보고 있다.
▲개인정보보호위원회의 '2026년 상반기 개인정보 보호·활용의 변화' 보고서. 사진=개인정보보호위원회
개보위의 투자감경 안내서도 업종별 특성을 고려한 비교는 향후 정보보호 공시제도 개선 등을 토대로 검토할 예정이라고 명시했다.
개보위 관계자는 “현재는 주로 대기업이나 특정 업종으로 묶여 있어 데이터가 보편화돼 있지 않다"며 “1~2년 정도 시행하면 수치가 나오고 업종별 평균도 만들어질 것"이라고 말했다.
정량적 배점 기준을 두지 않는 대신 감경 판단을 위한 별도 절차도 마련한다. 개보위는 개인정보 유출 사고에 대한 조사와 별도로 기업이 사고 발생 전 예방적 투자를 얼마나 했는지를 판단하는 '투자감경 전문위원회'를 올해 하반기 중 구성할 계획이다.
과징금과 투자감경 제도는 이날부터 시행됐지만 기업이 실제 감경 폭을 사전에 가늠하기는 쉽지 않을 전망이다. 업종별 비교 데이터가 축적되기 전까지는 투자 규모 등 정량적 요소와 개인정보 보호체계 수준 등 정성적 요소를 종합적으로 평가해 감경 수준을 결정하게 된다.
사고 발생 이후 대응에 대한 감경도 강화됐다. 사고 대응체계를 구축하고 유출 사고를 조기에 탐지해 신속하게 신고와 통지를 하거나 피해 확산 방지 조치를 이행한 경우 최대 40%까지 감경한다. 반대로 신고와 통지를 법정기한 내 이행하지 않고 피해 확산 방지 조치도 하지 않으면 최대 30%까지 가중한다.
개보위는 제재 강화와 감경 확대를 병행해 기업의 개인정보 보호체계를 사후 처벌에서 사전 예방 중심으로 전환한다는 방침이다.
송경희 개보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고 개인정보 보호를 위한 투자를 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 인식이 전환될 것으로 기대한다"고 말했다.
;){kind=link}