[서울=뉴시스]박은비 기자 = 내일부터 기업이나 기관에서 고의 또는 중과실로 개인정보 유출 사고가 발생할 경우 전체 매출액의 최대 10%에 달하는 폭탄 과징금이 부과된다. 실제 유출 여부가 최종 확인되지 않았더라도 유출 정황이나 가능성만 포착되면 72시간 이내에 이용자에게 즉시 알려야 하며, 이를 어기거나 늑장 신고할 경우 무거운 가중 처벌을 받게 된다.

 10일 개인정보보호위원회에 따르면 지난 3월 개정된 개인정보 보호법 및 시행령이 11일부터 시행에 들어간다. 반복적이거나 대규모로 발생하는 개인정보 유출 사고에 대한 제재 수위를 징벌적 수준으로 대폭 높이는 한편, 사전 보안 투자에 대한 감경 인센티브를 명시해 기업들의 자율적인 보안 투자를 유도하는 데 초점을 맞춘 개정안이다.

◆고의·중과실로 1000만명 이상 피해 등 과징금 매출 최대 10%

먼저 반복적이거나 고의·중과실로 인한 개인정보 유출 사고는 전체 매출액의 최대 10%까지 징벌적 과징금이 적용된다. 고의·중과실로 3년 내 위반행위를 반복하거나 고의·중과실로 1000만명 이상 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등 위반 정도와 경위, 피해 규모 등을 고려해 과징금이 산정된다.

이와 함께 예방적 개인정보 보호 투자와 연계한 '과징금 의무 감경제'가 도입된다. 개인정보 보호를 위한 예산·인력·설비·장치 등 투자 규모와 비율 정도와 지속성, 법에서 정한 의무사항 이외의 안전성 확보 조치 등 추가적인 노력 등을 살펴 과징금 부과 기준금액의 40% 범위에서 감경 가능해진다.

반면 반복 위반은 가중 비율이 최대 80%까지 상향되고, 유출 등 신고·통지를 법정기한 내 하지 않고 피해 확산 방지 조치도 하지 않으면 과징금을 최대 30% 올라간다. 유출 신고를 하지 않는 게 오히려 유리하다는 지적을 반영한 부분이다.

아울러 개인정보 보호 책임과 관리체계가 강화된다. 개인정보 보호책임자(CPO)의 직무 권한을 강화(전문인력 관리·예산 확보, 이사회 보고 의무)하고, 개인정보처리자의 CPO 지정·변경·해제시 이사회 의결과 신고가 의무화된다.

법 시행 전에 지정된 기존 CPO 역시 6개월 안에 개인정보위 신고가 필요하다. 개인정보위는 새로운 CPO 제도 도입에 따른 대상기관 부담 완화를 위해 내년 12월 31일까지 계도기간을 두기로 했다. 이 기간에는 CPO 미지정, CPO 자격요건 미비, 이사회 의결 의무 위반 등 법령 위반이 있더라도 과태료가 부과되지는 않는다.

◆"유출 가능성만 있어도 72시간 내 통지해야"…지연시 과징금 가중

특히 기업 입장에서 눈여겨봐야 할 부분은 '개인정보 유출 가능성 통지제' 신설이다. 불법적인 접근이 발생해 개인정보 유출이 의심되지만 특정하기 곤란한 상황에도 이 사실을 알게 된 때부터 72시간 안에 정보주체에게 통지해야 한다.

이를 지연하면 향후 과징금 산정에서 불리하게 작용할 수 있다. 유출 사실을 제때 신고·통지하지 않거나 피해 확산을 막지 못하면 과징금을 최대 30%까지 가중할 수 있기 때문이다. 실제 유출이 아닌 것으로 확인되면 정정 통지까지 해야 한다.

개인정보위는 새롭게 시행되는 제도가 현장에서 안착하도록 기업·기관과 국민들의 이해를 돕는 안내를 지속할 방침이다.

송경희 개인정보위 위원장은 "이번 개정법령 시행을 계기로 개인정보 보호를 위한 투자를 비용이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 선제적 투자로 인식이 전환될 것으로 기대된다"고 말했다.

한편 공공·민간 부문 중요 개인정보처리자에게 부여되는 개인정보(ISMS-P) 인증 의무는 내년 7월 1일부터 시행된다. 인증을 받기 위해 기업·기관이 예산 확보에 시간이 걸린다는 점을 고려한 조치다.


◎공감언론 뉴시스 silverline@newsis.com