1천만 이상 개인정보 유출 땐 총매출 10% 과징금 '철퇴'

징벌적 과징금 도입한 개정 개인정보보호법 11일 시행
고의·중과실로 3년 내 반복 유출해도 징벌적 과징금

[파이낸셜뉴스] 11일부터는 고의·중과실로 3년 내 개인정보 유출이 반복되거나, 1000만명 이상의 대규모 개인정보를 유출한 기업은 푀대 매출의 10%까지 과징금 처벌을 받게 된다. 반면 개인정보 보호에 적극적으로 투자한 기업은 최대 40%까지 과징금을 깎아준다.

또 개인장보가 유출된 것으로 의심되기만 해도 정보주체에게 의심사례를 고지해야 한다.

개인정보보호위원회는 징벌적 과징금을 도입한 개정 개인정보보호법과 시행령 및 관련 고시가 11일부터 시행된다고 밝혔다. 개인정보보호법은 지난 3월 개정돼 6개월의 경과기간을 거쳐 9월 11일 시행되는 것이다.

최근 금융, 통신, 쇼핑 등 국민 일상생활과 밀접한 분야에서 대규모 개인정보 유출 사고가 잇따르면서, 개인정보 유출에 대한 기업·기관의 책임을 강화하고 사고를 사전에 예방하겠다는게 법 개정 취지다.

개정 개인정보보호법의 핵심은 개인정보 유출 기업에 대한 징벌적 과징금을 부과하는 것이다. △고의·중과실로 3년 내 위반행위를 반복 △고의·중과실로 1000만명 이상의 대규모 피해 발생 △시정명령을 이행하지 않아 개인정보 유출 사고 발생 등의 경우 전체 매출액의 최대 10% 이내에서 과징금을 산정할 수 있다. 단 위반행위와 관련이 없는 매출액은 제외한다.

구체적인 과징금 산정은 개인정보보호법 위반행위의 내용·정도·경위, 피해 규모 등을 종합해 기준 금액을 산정하고, 가중·감경 요소를 반영한다.

과징금 가중 비율은 중복 1회 발생 시 20%, 2회 40%, 3회 이상 80%로 높아졌다. 기존 법률에는 중복 1회 발생 시 15%, 2회 이상 30%였다.

또 법으로 정한 기한 내 신고·통지하지 않고 경고 등 피해 확산 방지 조치를 이행하지 않는 경우에도 과징금을 최대 30% 가중한다.

반대로 사전 투자로 개인정보 보호 체계를 강화한 경우 과징금 부과 기준금액의 최대 40%를 감경한다. △예산·인력·설비·장치 등 투자 규모·비율과 지속성·증가 정도 △최고경영자(CEO)·개인정보보호책임자(CPO)·전문인력 등 개인정보 보호 체계 수준 △법상 의무사항 이외의 추가적 노력 등이 기준이다.

개인정보 유출 사실이 최종적으로 확인되기 전이라도, 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우 정보주체에게 이를 알리는 '개인정보 유출 가능성 통지제'도 도입된다.

개인정보처리시스템이나 개인정보취급자가 이용하는 기기에 불법적인 접근이 발생해 개인정보 유출이 의심되지만, 정보 주체를 특정하기 곤란한 경우나, 개인정보가 불법적으로 거래되는 등 일부 개인정보의 유출이 확인돼 다른 정보주체의 개인정보도 유출됐을 가능성이 있다고 인정되는 경우가 해당한다.

이 경우 해당 사실을 안 때부터 72시간 이내에 개인정보 항목과 의심 시점·경위, 피해 최소화 방법, 피해구제 절차 등을 정보주체에게 알려야 한다.
개인정보의 위조·변조·훼손도 유출 신고·통지 대상에 새롭게 포함돼 랜섬웨어 등으로 개인정보가 훼손된 경우에도 신고·통지 의무가 적용된다.

송경희 개인정보보호위 위원장은 "개정 개인정보보호법 시행을 계기로 사전예방 중심의 개인정보 보호와 강화된 안전관리 체계가 확립되고 개인정보 보호를 위한 투자에 대한 인식이 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 전환될 것으로 기대한다"고 말했다.

한편 개인정보보호위는 제도의 안정적인 정착을 위해 2027년 12월 31일까지 계도기간을 운영한다.

[email protected] 이구순 기자