반복적이거나 고의·중과실로 인한 개인정보 대규모 유출에 전체 매출액 10% 이내 징벌적 과징금이 도입된다.

개인정보 보호 책임과 관리체계를 강화하기 위해 사업주·대표자(CEO)의 최종책임을 명시하고, 개인정보 보호책임자(CPO)의 직무권한을 강화한다.

개인정보보호위원회는 이 같은 내용을 담은 개정 개인정보 보호법과 시행령·고시가 11일부터 시행된다고 10일 밝혔다.

◆ 반복적이고 중대한 개인정보 유출에 엄정 대응, 예방 노력은 적극 반영

반복적이거나 중대한 개인정보 침해행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하는 과징금 특례가 시행됨에 따라, 과징금 부과·감경 절차와 기준 등 세부사항이 구체화됐다.

고의·중과실로 3년 이내 위반행위를 반복하거나 1000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.

개인정보 보호를 위해 사전에 적극 투자하고 보호체계를 강화한 노력은 과징금 산정 과정에서 충분히 반영해 과징금 부과 기준금액의 40% 범위에서 감경할 수 있도록 했다.

부과 과징금 결정 시 위반행위의 구체적 내용, 정도와 피해규모 및 영향 등을 고려해 추가로 최대 50% 감경할 수 있도록 하는 등 비례성을 강화했다.

영세·중소기업 등의 경미한 위반에 대해서는 기술지원을 받아 시정하는 경우에도 과징금을 면제할 수 있도록 하여 처분 부담을 경감했다.

◆ 개인정보 보호책임자(CPO)의 권한·책임과 독립성 강화

법 개정으로 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고해야 하는 의무가 신설돼, 의무가 부여되는 대상 기준을 시행령 개정을 통해 구체화했다.

신고 대상이 되는 개인정보처리자는 법 시행 이후 CPO를 지정·변경·해제하려는 경우 이사회 의결을 거치고 신고 사유가 발생한 날로부터 6개월 이내 개인정보위에 신고서를 제출해야 한다.

법 시행 이전에 지정된 CPO는 별도 이사회 의결을 거치지 않아도 되며 법 시행일부터 6개월 이내 개인정보위에 신고해야 한다.

개인정보위는 신규 CPO 제도 도입에 따른 대상기관의 부담을 완화하고 제도의 안정적 정착을 위해 2027년 12월 31일까지 계도기간을 운영할 예정이다.

◆ 개인정보 유출 가능성 단계부터 국민에게 신속히 통지

개인정보 유출 등으로 인한 국민의 피해를 최소화하기 위해 유출 사실이 최종적으로 확인되기 전이라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우에는 정보주체에게 이를 통지하도록 하는 유출 가능성 통지제가 도입됨에 따라, 요건·절차·항목 등이 구체적으로 마련됐다.

불법적인 시스템 접근이나 개인정보 불법 거래 등 객관적인 정황을 토대로 개인정보 유출 가능성이 높다고 합리적으로 판단되면 해당 사실을 안 때부터 72시간 이내 이용자에게 알려야 한다. 단순히 보안 취약점이 발견됐거나 막연한 유출 가능성이 있다는 이유만으로 통지하는 것은 아니고 객관적인 의심 정황 등이 있어야 한다.

송경희 개인정보위 위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호와 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 비용이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 선제적 투자로 인식이 전환될 것으로 기대한다"고 밝혔다.