국민 일상생활과 밀접한 분야에서 최근 대규모 개인정보 유출사고가 연이어 발생하면서 국민들의 불안과 우려가 지속되고 있는 가운데, 개인정보보호위원회(이하 ‘개인정보위’, 위원장 송경희)는 개인정보 유출사고를 사전에 예방하고 국민의 개인정보 보호와 피해구제를 강화하기 위해 제도 개선을 추진하였다. 이를 위해 지난 3월 개정된 ｢개인정보 보호법｣(이하 ‘법’)과 위임사항을 구체화한 개정 ｢개인정보 보호법 시행령｣(이하 ‘시행령’)이 9월 11일부터 시행된다.

지난 3월 개정법에서는 개인정보 유출에 엄정히 대응하고 선제적 예방 투자를 촉진하기 위해 ▴반복적이거나 고의·중과실로 인한 개인정보 유출에 대한 징벌적 과징금(전체 매출액 10% 이내) ▴사전 예방적 개인정보 보호 투자와 연계한 과징금 의무 감경제를 도입하였다.

또한 개인정보 보호 책임과 관리체계를 강화하기 위해 ▴사업주·대표자(이하 ‘CEO’)의 최종책임을 명시하고 ▴개인정보 보호책임자(이하 ‘CPO’)의 직무권한을 강화(전문인력 관리·예산 확보, 이사회 보고 의무)하였으며 ▴개인정보처리자의 CPO 지정·변경·해제 시 이사회 의결 및 신고를 의무화하였다.

아울러, 정보주체의 피해구제를 강화하기 위해 ▴개인정보 유출 가능성 통지제를 신설하고 ▴유출통지 항목(분쟁조정 신청, 손해배상 청구 방법도 통지)을 확대하였으며, ▴개인정보의 위조·변조·훼손(랜섬웨어 등)도 유출신고·통지 대상에 포함하였다.

법 개정을 통해 공공·민간 부문 중요 개인정보처리자에 대해 개인정보 보호(ISMS-P) 인증을 의무화하는 내용도 포함하였으나, 해당 개정 규정은 ISMS-P 인증 취득을 위한 기업·기관의 예산 확보에 소요되는 기간을 고려하여 2027년 7월 1일부터 시행될 예정이다.

※ ISMS-P 인증 의무화 관련 시행령 개정은 해당 법 규정 시행(’27.7.1.) 전까지 별도 추진

이번 시행령 개정안은 ▴과징금 부과 기준과 절차 ▴선제적 예방투자에 대한 과징금 감경기준 ▴CPO 지정·변경·해제 시 이사회 의결 및 신고가 의무화되는 대상 기준과 신고 방법 ▴개인정보 유출 가능성 통지 요건·절차 등 개정법에서 위임한 사항을 구체화하였다.

개정시행령 및 고시의 세부 내용은 다음과 같다.

< ① 반복적·중대한 개인정보 유출에는 엄정 대응하고, 예방 노력은 적극 반영 >

반복적이거나 중대한 개인정보 침해행위에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하는 과징금 특례가 시행됨에 따라 과징금 부과·감경 절차와 기준 등 세부사항이 구체화되었다.

▴고의·중과실로 3년 내 위반행위를 반복하거나, ▴고의·중과실로 1천만명 이상의 대규모 피해를 발생시킨 경우, ▴시정명령을 이행하지 않아 개인정보 유출사고가 발생하는 등 개정법 제64조의2제2항 각 호의 어느 하나에 해당하는 경우, 위반행위의 내용·정도와 경위 및 정보주체 피해규모 등을 종합 고려하여 기준금액을 산정하고, 이후 가중·감경 등을 통해 전체 매출액의 10% 이내에서 부과 과징금을 산정할 수 있도록 체계적 절차를 마련하였다.

개인정보 보호를 위해 사전에 적극 투자하고 보호체계를 강화한 노력은 과징금 산정 과정에서 충분히 반영된다. ▴개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모·비율과 지속성 및 증가 정도, ▴CEO·CPO 및 전문인력 등 개인정보 보호체계의 내용과 수준, ▴법상 의무사항 이외의 안전성 확보조치에 관한 추가적 노력 등을 고려하여 과징금 부과 기준금액의 40% 범위에서 감경할 수 있도록 하였다.

과징금 감경 시 고려사항 등 제도와 관련한 주요 사항에 대해「과징금 투자 감경제도 안내서*」를 발간하여 새롭게 시행되는 제도가 현장에서 제대로 안착될 수 있도록 하였다.

* 개인정보위 누리집(www.pipc.go.kr)>정책‧법령>법령정보>안내서에서 내려받기 가능

한편, 기존 과징금 가중·감경 체계도 사전 예방과 사후 신속 대응을 중심으로 변화한다. 우선 반복 위반에 대해서는 가중 비율을 상향*하여 제재를 강화하는 한편, 유출등 신고·통지를 법정기한 내에 이행하지 않고 정보주체의 피해 확산 방지 조치도 하지 않는 경우 과징금을 가중(최대 30%)하여 유출사고 발생 시 신고 등을 하지 않아 오히려 불이익이 적은 구조를 해소한다.

* (현행) (1회)+15% (2회이상)+30% → (개정) (1회)+20% (2회)+40% (3회이상)+80%

투자감경 도입과 함께 ISMS-P 인증, 자율규약 등 개인정보 보호 노력에 대한 과징금 감경 비율을 조정*하여 현실화하는 한편, 높은 수준의 개인정보 관리 책임성이 요구되는 주요 공공기관에 대해서는 업무 형태·규모에 따른 과징금 감경을 하지 않도록 명확히 규정하였다.

* (현행) ISMS-P(최대 50%) 자율규약(최대 40%) 보호수준 평가등 (최대 30%)
→ (개정) ISMS-P(최대 30%) 자율규약(최대 20%) 보호수준 평가등 (최대 15%)

아울러, 사전 예방 뿐만 아니라 사후 신속 대응 노력도 과징금 감경에 반영된다. 사고 발생에 대비한 대응 체계를 구축·운영하고, 사고 시 조기 탐지, 신속 신고·통지 및 피해 확산 방지 조치를 이행하는 등 안전한 개인정보 보호체계로 신속하게 회복·개선한 경우 과징금을 감경(최대 40%)한다.

부과 과징금 결정 시 위반행위의 구체적인 내용, 정도와 피해규모 및 영향 등을 고려하여 추가적으로 감경(최대 50%)할 수 있도록 하는 등 비례성을 강화하고, 영세·중소기업 등의 경미한 위반에 대해서는 기술지원을 받아 시정하는 경우에도 과징금을 면제할 수 있도록 하여 처분 부담을 경감하였다.

< ② 개인정보 보호책임자(CPO)의 권한·책임과 독립성 강화 >

법 개정으로 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고해야 하는 의무가 신설되어, 의무가 부여되는 대상 기준을 시행령 개정을 통해 구체화하였다.

주요 개인정보처리자를 중심으로 CPO의 권한과 책임을 높이기 위해, 이사회 의결·신고 의무 대상은 현행법상 전문 CPO 지정 의무 대상과 동일*하게 하였다.

* ▲연 매출액 또는 수입이 1,800억 원을 초과하면서 5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 자, ▲재학생 수 2만 명 이상인 대학, ▲상급 종합병원, ▲공공시스템운영기관(시행령 제30조의2제1항에 따른 주요 공공시스템을 운영하는 기관)

신고 대상이 되는 개인정보처리자는 법 시행 이후 CPO를 지정·변경·해제하려는 경우 이사회 의결을 거치고 신고 사유가 발생한 날로부터 6개월 이내에 개인정보위에 신고서를 제출하여야 한다. 법 시행 전에 지정되어 있는 CPO에 대해서는 별도의 이사회 의결을 거치지 않아도 되며 법 시행일(9.11.)부터 6개월 이내 개인정보위에 신고하여야 한다. 다만, 경영상의 이유로 이사회 소집이 어려운 경우 등 부득이한 사유가 있다고 개인정보위가 인정하는 경우에는 개인정보처리자의 요청에 따라 최대 1년까지 신고 기간을 연장할 수 있다.

또한, 기존 「CPO 경력 인정에 관한 고시」를 개정하여 CPO 지정‧변경‧해제 신고서를 마련하고 신고 절차를 구체화하였다. CPO 지정 신고 방법은 “개인정보 포털(www.privacy.go.kr)”에 접속 후 「기업‧공공 서비스」메뉴의 「CPO 신고」를 선택하여 신고 항목*을 입력하고 증빙자료를 첨부하는 등 신고 절차를 진행하면 된다.

* (신고인) 상호명(법인명), 사업자등록번호(법인등록번호), 소재지, 대표자, 전화번호
(CPO) 성명, 전화번호, 전자우편주소, 직책/직급, 업무경력 등

개인정보위는 신규 CPO 제도 도입에 따른 대상기관의 부담을 완화하고 제도의 안정적 정착을 도모하기 위해 2027년 12월 31일까지 계도기간을 운영할 예정이며, 계도기간 중에는 ▴CPO 미지정 ▴CPO 자격요건 미비 ▴이사회 의결 의무 위반 ▴신고 해태 등 법령 위반에 대해 과태료가 부과되지 않는다.

아울러, 제도 시행 초기 현장 적용성을 강화하고 대상기관이 의무를 준수할 수 있도록 CPO 제도 전반에 대한 설명과 신고 방법, 주요 FAQ를 담은 「CPO 지정‧신고 실무 매뉴얼*」을 마련하여 공개하는 한편, 한국CPO협의회** 등 유관 협회와 협업하여 현장 안내를 지속할 계획이다.

* 개인정보위 누리집(www.pipc.go.kr)>정책‧법령>법령정보>안내서에서 내려받기 가능

** 한국CPO협의회 누리집(www.kcpo.or.kr)

< ③ 개인정보 유출 가능성 단계부터 국민에게 신속히 통지 >

개인정보 유출등으로 인한 국민의 피해를 최소화하기 위해 유출 사실이 최종적으로 확인되기 전이라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우에는 정보주체에게 이를 통지하도록 하는 유출 가능성 통지제가 도입됨에 따라, 요건·절차·항목 등이 구체적으로 마련되었다.

▴개인정보처리시스템, 개인정보취급자가 이용하는 기기에 불법적인 접근이 발생하여 개인정보 유출등이 의심되나 정보주체를 특정하기 곤란한 경우, ▴개인정보가 불법적으로 거래되는 등 일부 개인정보의 유출등이 확인되어 다른 정보주체의 개인정보도 유출등 가능성이 있다고 인정되는 경우 해당 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지*하여야 한다. 이 때 통지 항목**은 유출등 통지에 준하는 수준으로 알려야 한다.

* 다만 부득이한 사유로 기한 내 통지하기 곤란한 경우 해당 사유 해소 후 즉시 통지, 유출등 가능성 통지 기한 내 실제 유출등이 확인된 경우 유출등 통지로 갈음하고, 유출되지 않았음이 확인된 경우에는 정보주체 혼란·불안 해소를 위해 정정 통지 필요

** 1. 개인정보 항목 2. 의심시점·경위 3. 피해최소화 방법 4. 피해구제절차 5. 피해신고 연락처 6. 유출등 확정시 추가통지하겠다는 사실 등

아울러, 유출등 사고 시 대응 및 국민의 피해구제가 보다 신속히 이루어질 수 있도록 법 개정사항을 반영하고 구체적 기준 및 사례 안내 등을 보강하여「개인정보 유출등 대응 안내서*」를 개정하였다.

* 개인정보위 누리집(www.pipc.go.kr)>정책‧법령>법령정보>안내서에서 내려받기 가능

송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 ‘비용’이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 ‘선제적 투자’로 인식이 전환될 것으로 기대한다”고 밝혔다.

개정법령 시행을 통해 개인정보 유출등 침해에 대한 기업·기관의 책임이 강화되고, 국민들은 개인정보 유출 위험을 보다 신속하게 안내받을 수 있게 된다. 아울러 개인정보 보호 사전예방 투자와 연계한 과징금 감경제 도입, CEO·CPO 책임 강화를 통해 개인정보처리자의 상시적인 개인정보 안전관리 체계가 정착될 수 있을 것으로 기대된다.

개인정보위는 새롭게 시행되는 제도가 현장에서 안정적으로 운영되고 기업·기관과 국민들이 쉽게 이해할 수 있도록 지속적으로 안내할 계획이다.