[유출 의심 단계에서도 통지가 온다] 내 정보가 빠져나갔는지 최종 확인되지 않아도, 앞으로는 기업이 알려야 합니다. 유출 가능성이 높다고 판단되는 사실을 안 때부터 72시간 이내입니다. 개인정보보호위원회가 10일 발표한 개정 개인정보 보호법과 개정 시행령이 11일부터 시행되면서 달라진 내용입니다. 바뀐 것은 통지 기준만이 아닙니다. 사고를 낸 기업이 물게 될 금액의 상한선도 함께 올라갔습니다.
개인정보보호위원회는 10일, 지난 3월 개정된 개인정보 보호법과 위임사항을 구체화한 개정 시행령이 11일부터 시행된다고 밝혔습니다. 고의나 중대한 과실로 3년 이내에 위반행위를 반복한 경우, 1,000만 명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 유출 사고가 발생한 경우가 대상입니다. 이때는 위반 내용과 피해 규모 등을 고려해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있습니다. 일부 사업 부문이 아니라 회사 전체 매출을 기준으로 삼는다는 뜻입니다.
반복 위반에 따른 과징금 가중 비율도 함께 올랐습니다. 기존에는 1회 15%, 2회 이상 30%였습니다. 개정 후에는 1회 20%, 2회 40%, 3회 이상 80%로 바뀝니다. 2회 위반 시 가중 폭이 종전 상한보다 커집니다. 여기에 법정기한 안에 유출 사실을 신고·통지하지 않고 피해 확산 방지 조치도 하지 않으면 최대 30%가 추가로 가중됩니다. 사고 자체와 사고 이후의 처리를 따로 계산하는 구조입니다.
같은 시행령은 감경 기준도 함께 두고 있습니다. 개인정보 보호를 위한 예산·인력·설비·장치 등의 투자 규모와 비율, 투자의 지속성과 증가 정도, 최고경영자와 개인정보보호책임자 및 전문인력으로 구성된 보호체계를 평가합니다. 개인정보보호책임자는 기업 내 개인정보 보호 업무를 총괄하는 책임자입니다. 이 평가 결과에 따라 과징금 기준금액의 최대 40%를 감경합니다. 사고 대응 체계를 구축하고, 사고 발생 후 조기 탐지와 신속한 신고·통지, 피해 확산 방지 조치를 한 경우에도 최대 40%까지 감경받습니다.
개정법은 최고경영자의 최종 책임을 명시했습니다. 개인정보보호책임자에게는 전문인력을 관리하고 관련 예산을 확보할 수 있도록 권한을 확대했습니다. 일정 규모 이상의 기업·기관은 개인정보보호책임자를 지정·변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 합니다. 대상은 연 매출액 또는 수입이 1,800억 원을 초과하면서 100만 명 이상의 개인정보 또는 5만 명 이상의 민감·고유식별정보를 처리하는 사업자입니다. 재학생 2만 명 이상 대학, 상급종합병원, 주요 공공시스템 운영기관도 포함됩니다.
유출 통지 기준은 확대됐습니다. 실제 유출 사실이 최종 확인되지 않았더라도, 객관적으로 유출 가능성이 높다고 판단되면 이용자에게 알려야 합니다. 개인정보처리시스템 등에 불법적인 접근이 발생해 유출이 의심되는 경우, 일부 개인정보가 불법 거래돼 다른 이용자의 정보도 유출됐을 가능성이 있는 경우가 여기에 해당합니다. 이 사실을 안 때부터 72시간 이내에 통지해야 합니다. 개인정보의 위조·변조·훼손도 신고·통지 대상에 포함됐습니다.
송경희 개인정보보호위원회 위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 인식이 전환될 것으로 기대한다"고 말했습니다. 제재 상한을 올리는 조항과 감경 조항을 함께 둔 것은, 사고 후 처벌만이 아니라 사고 전 투자를 유도하려는 설계로 볼 수 있습니다.
앞으로 받게 되는 통지는 "유출됐습니다"가 아니라 "유출이 의심됩니다"일 수 있습니다. 최종 확인 전 단계에서도 통지 의무가 생겼기 때문입니다. 따라서 통지를 받았다면 확정된 피해가 없다는 뜻이 아니고, 반대로 피해가 확정됐다는 뜻도 아닙니다. 기업이 안 시점부터 72시간 안에 보내는 1차 알림이라는 점을 기준으로 내용을 확인하는 편이 정확합니다. 위조·변조·훼손 사실도 통지 대상이므로, 내 정보가 바뀌었다는 안내를 받을 수도 있습니다.
