'더 세진' 개인정보 보호법 11일부터 시행, 뭐가 달라지냐면... 🕵️

이제부터 고의·중과실로 개인정보 유출 사고를 반복하거나, 1000만 명 이상의 대규모 피해를 발생시킨 기업에는 전체 매출의 최대 10%까지 과징금을 부과할 수 있어요. 지난 3월 개정된 개인정보 보호법이 11일부터 본격 시행되기 때문인데요. 최근 국민 일상과 밀접한 분야에서 대규모 개인정보 유출 사고가 잇따르면서, 기업·기관의 책임을 강화하고 사고를 사전에 예방하기 위해 추진됐다고.

구체적으로 어떤 내용이야?

핵심은 크게 세 가지예요.

• 징벌적 과징금 도입 💸: 기존에는 과징금이 매출의 최대 3%였는데, 이제 최대 10%로 높아졌어요. 구체적으로 (1)고의·중과실로 3년 이내에 위반행위를 반복하거나 (2)1000만 명 이상의 대규모 피해를 발생시키거나 (3)시정명령을 이행하지 않아 유출 사고가 발생한 경우 등이 대상이에요. 반복적인 법 위반에 추가로 붙는 과징금 비율도 이전보다 더 높아져요. 기존엔 1회 위반 시 15%, 2회 이상이면 30%를 더 물렸지만, 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%를 더 내게 해요.
• '유출 가능성 통지제' 신설 📢: 유출이 확정되지 않아도 객관적으로 가능성이 높다고 판단되면 당사자에게 알려야 하는 제도예요. 인지한 때로부터 72시간 이내에 통지해야 해요. 예를 들어 다크웹에 실제 데이터베이스(DB) 구조와 일치하는 샘플 자료가 유통되거나, 침입 정황은 확실한데 정확한 규모 파악이 안 되는 경우가 해당돼요. 법정 기한 내에 알리지 않으면 과징금이 최대 30% 추가로 더 붙을 수 있어요
• 경영진 책임 강화 👔: 개인정보 보호에 대한 최종 책임자는 최고경영자(CEO)로 정했어요. 또 개인정보 보호책임자(CPO)를 지정·변경·해제할 때는 의무적으로 이사회 의결을 거쳐야 하고, 6개월 이내에 개인정보보호위원회(개인정보위)에 신고해야 해요.

단, 최근 발생한 티빙·강남언니 개인정보 유출 사고에는 이번 개정 기준이 소급 적용되지 않아요. 11일 이후 새롭게 발생하는 위반행위부터 적용돼요.

한편 사전에 기업이 개인정보 보호에 투자하면 과징금을 최대 40%까지 깎아줘요. 사고 발생 후 신속하게 대응·복구한 경우에도 추가로 최대 40%를 더 줄여주고요. 두 가지를 합치면 최대 80%까지 낮출 수 있는 셈이에요.

앞으로 어떻게 될까?

송경희 개인정보위 위원장은 개인정보보호법 시행에 대해 "개인정보 보호를 위한 투자에 대한 인식이 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 전환될 것으로 기대한다"고 말했어요. 제도의 안정적인 정착을 위해 2027년 12월 31일까지는 계도기간이 운영는데요. 이 기간에는 CPO 미지정, 자격요건 미비, 이사회 의결 의무 위반 등이 있어도 과태료가 부과되지 않아요.

다만 업계 일부에서는 해킹 수법이 날로 정교해지는 상황에서 기업의 통제를 넘어선 어쩔 수 없는 사고에도 처벌이 지나치게 엄격하다는 우려의 목소리도 나온다고.