개인정보 유출 사고에 대한 기업 책임을 강화하고 사전 예방 투자를 유도하는 개정 개인정보 보호법과 시행령이 오는 11일부터 시행된다. 고의·중과실로 개인정보를 반복 유출하거나 1000만명 이상의 대규모 피해를 발생시킨 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 된다. 

개인정보 보호책임자(CPO)의 권한과 책임도 강화되고, 실제 유출이 확인되기 전이라도 유출 가능성이 높다고 판단되면 정보주체에게 알려야 하는 제도도 도입된다.

개인정보보호위원회는 이 같은 내용을 담은 개정 개인정보 보호법과 시행령, 관련 고시가 오는 11일부터 시행된다고 10일 밝혔다. 이번 개정은 개인정보 유출 사고에 대한 사후 제재를 강화하는 동시에 기업의 사전 예방 투자를 과징금 산정에 반영하는 것이 핵심이다.

먼저 반복적이거나 중대한 개인정보 침해행위에는 과징금 부과 수준이 높아진다. 고의·중과실로 3년 내 위반행위를 반복하거나, 고의·중과실로 1000만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등이 대상이다. 개인정보위는 위반행위의 내용과 정도, 경위, 피해 규모 등을 종합해 전체 매출액의 10% 이내에서 과징금을 산정할 수 있다.

반면 개인정보 보호를 위해 사전에 투자한 기업에는 과징금 감경 혜택을 준다. 개인정보 보호 관련 예산·인력·설비·장치의 투자 규모와 지속성, 최고경영책임자(CEO)·CPO 및 전문인력을 포함한 보호체계 수준, 법적 의무 이상으로 적용한 안전성 확보조치 등을 고려해 기준금액의 최대 40%까지 감경할 수 있다.

반복 위반에 대한 가중 비율도 높아진다. 현행 1회 15%, 2회 이상 30%였던 가중 비율은 앞으로 1회 20%, 2회 40%, 3회 이상 80%로 조정된다. 유출 신고·통지를 법정기한 내 하지 않고 피해 확산 방지 조치도 이행하지 않은 경우에는 최대 30%까지 과징금을 가중할 수 있다.

사고 이후 신속한 대응도 감경 요소로 반영한다. 사고 대응 체계를 사전에 구축하고 사고 발생 시 조기 탐지와 신고·통지, 피해 확산 방지 조치 등을 이행한 경우 최대 40%까지 감경할 수 있다. 위반행위의 내용과 피해 규모 등을 고려해 부과 과징금을 추가로 최대 50% 감경할 수 있으며, 영세·중소기업의 경미한 위반은 기술지원을 받아 시정하면 과징금을 면제할 수 있도록 했다.

CPO의 권한과 책임도 강화된다. 전문 CPO 지정 의무 대상 기업·기관은 CPO를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다. 대상은 연 매출액 또는 수입이 1800억원을 초과하면서 100만명 이상의 개인정보 또는 5만명 이상의 민감정보·고유식별정보를 처리하는 사업자와 재학생 2만명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관 등이다.

법 시행 이후 CPO를 지정·변경·해제하는 경우 사유가 발생한 날부터 6개월 이내 신고해야 한다. 시행 전에 지정된 CPO는 별도 이사회 의결 없이도 시행일인 11일부터 6개월 이내 신고해야 한다.

개인정보위는 제도 정착을 위해 2027년 12월31일까지 계도기간을 운영하며, 이 기간 CPO 미지정이나 자격요건 미비, 이사회 의결 의무 위반, 신고 해태 등에 대해서는 과태료를 부과하지 않는다.

개인정보 유출 가능성 통지제도 새로 도입된다. 개인정보 유출이 최종 확인되지 않았더라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우 정보주체에게 알려야 한다. 불법적인 시스템 접근으로 유출이 의심되지만 피해자를 특정하기 어렵거나, 일부 개인정보의 불법 거래가 확인돼 다른 정보주체의 정보도 유출됐을 가능성이 있는 경우 해당 사실을 안 때부터 72시간 이내 통지해야 한다.

통지·신고 대상도 기존 분실·도난·유출에서 위조·변조·훼손까지 확대된다. 이에 따라 랜섬웨어 등으로 개인정보가 훼손된 경우도 신고·통지 대상에 포함된다. 통지 항목에는 손해배상 청구와 분쟁조정 등 법적 피해구제 절차가 추가되며, 유출 시 개인정보 회수·삭제 등 피해 확산 방지 조치도 구체화된다.

다만 공공·민간 주요 개인정보처리자를 대상으로 한 개인정보보호관리체계(ISMS-P) 인증 의무화 규정은 기업·기관의 예산 확보 기간 등을 고려해 2027년 7월1일부터 시행된다. 관련 시행령은 시행 전까지 별도로 개정할 예정이다.

송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 ‘비용’이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 ‘선제적 투자’로 인식이 전환될 것으로 기대한다”고 말했다.