정부는 반복적이거나 중대한 개인정보 유출에 대해 전체 매출액의 최대 10%까지 징벌적 수준의 과징금을 부과하도록 개인정보 보호법 개정을 공포합니다. 개인정보보호위원회는 징벌적 과징금 도입, 개인정보 보호책임자 역할 강화, ISMS-P 인증제도 개선을 통한 책임 강화 내용을 발표합니다.
이번 개정은 최근 잇단 대규모 개인정보 유출사고로 불안과 사회적 우려가 커진 상황에서 기업·기관의 개인정보 보호 책임을 강화하기 위해 추진되었습니다. 개인정보 침해에 대한 엄정한 제재와 사전예방적 투자 촉진을 통해 개인정보 관리 체계를 강화하는 방향으로 설계되었습니다.
징벌적 과징금과 유출 통지 기준 확대
개정안은 반복적이거나 중대한 개인정보 유출에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 특례를 도입합니다. 기존 제도는 전체 매출액의 3% 이하 과징금에 그쳐 실효적인 억지력 확보에 한계가 있다고 제시되었습니다.
징벌적 과징금은 최근 3년간 고의 또는 중대한 과실로 위반행위를 반복한 경우에 적용 근거가 마련되었습니다. 고의 또는 중대한 과실로 대규모인 1000만 명 이상 피해를 초래한 경우와 시정명령 불이행으로 개인정보 유출 등 사고가 발생한 경우에도 강화된 제재가 가능하도록 정리되었습니다.
개인정보 보호 관련 예산·인력·설비·장치 등을 투자·운영한 경우에는 과징금을 필수 감경하도록 했습니다. 다만 고의·중과실의 경우는 이 감경 대상에서 제외됩니다.
개정안은 개인정보처리자가 유출 등이 되었음을 알았을 때만 통지하던 기준을 바꾸어 유출 등의 가능성이 있음을 알게 되었을 때에도 지체 없이 통지하도록 의무화합니다. 이 조치는 사고 발생 초기부터 정보주체가 상황을 인지하고 신속하게 대응할 수 있도록 하기 위해 마련되었습니다.
또한 개인정보의 분실·도난·유출뿐 아니라 위조·변조·훼손도 유출 등 사고의 범위에 포함합니다. 개인정보 유출 통지 때는 손해배상 청구와 분쟁조정 신청 등 피해구제 방법도 함께 알리도록 변경되었습니다.
CEO·CPO 책임 강화와 ISMS-P 의무화
개정안은 개인정보 유출사고를 근본적으로 예방하기 위해 사업주 또는 대표자와 개인정보 보호책임자의 책임 강화를 함께 추진합니다. 기업·기관 차원에서 개인정보 처리·보호에 대한 인식과 관심을 높여 안전한 관리체계를 확보하는 내용이 포함됩니다.
우선 CEO에게 개인정보 처리 및 보호의 최종책임자로서 관리·감독 의무를 명확히 부여합니다. 일정 규모 이상의 개인정보처리자는 CPO 지정·변경·해제 때 이사회 의결을 거쳐 개인정보보호위원회에 신고해야 합니다.
CPO는 개인정보 보호에 필요한 전문 인력 관리와 예산 확보 업무를 수행하도록 의무화됩니다. 또한 대표자와 이사회에 개인정보 보호 관련 사항을 보고하도록 규정되었습니다.
개인정보보호위원회는 공공·민간 분야에서 파급력이 큰 주요 기업·기관에 대해 기존 자율 운영 방식이던 ISMS-P 인증을 의무화합니다. ISMS-P 인증은 기업 또는 기관이 구축·운영 중인 정보보호 및 개인정보보호 관리체계의 적합성을 인증하는 제도입니다.
개정 법률은 9월 11일부터 시행됩니다. 다만 ISMS-P 인증 의무화 규정은 관련 예산 확보 등에 걸리는 기간을 고려해 내년 7월 1일부터 시행됩니다.
댓글을 불러오는 중...