고의·중과실로 3년 내 위반반복·1천만명 이상 피해 등 대상

개인정보 보호 사전투자 최대 40% 감경…'유출 가능성 통지제'도 도입

(서울=연합뉴스) 안정원 기자 = 송경희 개인정보보호위원회 위원장이 9일 서울 종로구 정부서울청사에서 열린 제19회 위원회 전체회의에서 발언하고 있다 2026.9.9 jeong@yna.co.kr

(서울=연합뉴스) 차민지 기자 = 반복적이거나 고의·중과실로 1천만명 이상의 대규모 개인정보 유출 사고를 일으킨 기업에 전체 매출액의 최대 10%를 부과할 수 있는 '징벌적 과징금' 제도가 11일부터 시행된다.

개인정보 보호에 적극적으로 투자한 기업의 과징금을 최대 40% 감경하는 제도도 함께 도입된다.

개인정보보호위원회는 지난 3월 개정된 개인정보 보호법과 위임 사항을 구체화한 개인정보 보호법 시행령 및 관련 고시가 11일부터 시행된다고 10일 밝혔다.

이번 제도 개선은 최근 국민 일상생활과 밀접한 분야에서 대규모 개인정보 유출 사고가 잇따른 데 따라 개인정보 유출에 대한 기업·기관의 책임을 강화하고 사고를 사전에 예방하기 위해 추진됐다.

우선 반복적이거나 중대한 개인정보 침해행위에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 과징금 특례가 시행된다.

고의·중과실로 3년 이내 위반행위를 반복하거나 고의·중과실로 1천만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등이 대상이다.

개인정보위는 위반행위의 내용과 정도, 경위, 정보주체의 피해 규모 등을 종합적으로 고려해 기준금액을 정한 뒤 가중·감경 절차를 거쳐 전체 매출액의 10% 이내에서 과징금을 산정할 수 있다.

[개인정보위 제공. 재판매 및 DB 금지]

개인정보 보호를 위해 사전에 적극적으로 투자하고 보호체계를 강화한 노력은 과징금 산정에 반영한다.

개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모와 비율, 지속성 및 증가 정도와 최고경영자(CEO)·개인정보 보호책임자(CPO)·전문인력 등 개인정보 보호체계의 수준, 법상 의무사항 이외의 추가적인 안전성 확보 조치 등을 고려해 과징금 부과 기준금액의 최대 40%를 감경할 수 있다.

반복적인 법 위반에 대한 과징금 가중 수준도 높아진다.

기존에는 1회 위반 시 15%, 2회 이상이면 30%를 가중했지만, 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%를 가중한다.

유출 신고·통지를 법정기한 내 하지 않고 정보주체의 피해 확산을 막기 위한 조치도 하지 않은 경우에는 과징금을 최대 30% 가중한다.

ISMS-P 인증과 자율규약 등 개인정보 보호 노력에 따른 과징금 감경 비율은 각각 최대 50%에서 30%, 최대 40%에서 20%로 낮아지고, 보호수준 평가 등에 따른 감경 비율도 최대 30%에서 15%로 조정된다.

사고 발생에 대비한 대응체계를 구축·운영하고 사고가 발생했을 때 조기에 탐지해 신속히 신고·통지하거나 피해 확산 방지 조치를 한 경우에는 최대 40% 감경할 수 있다.

개인정보 보호에 대한 경영진의 책임도 강화된다.

개정법은 개인정보 보호에 대한 CEO의 최종 책임을 명시하고 CPO의 전문인력 관리와 예산 확보 등 직무 권한을 강화했다.

(서울=연합뉴스) 안정원 기자 = 송경희 개인정보보호위원회 위원장이 9일 서울 종로구 정부서울청사에서 열린 제19회 위원회 전체회의에서 발언하고 있다 2026.9.9 jeong@yna.co.kr

주요 개인정보처리자가 CPO를 지정·변경·해제할 때는 이사회 의결을 거쳐 개인정보위에 신고해야 한다.

법 시행 이후 CPO를 지정·변경·해제하는 경우 이사회 의결을 거쳐 신고 사유가 발생한 날부터 6개월 이내에 개인정보위에 신고해야 한다.

법 시행 전에 지정된 CPO는 별도의 이사회 의결 없이 11일부터 6개월 이내에 개인정보위에 신고하면 된다.

개인정보위는 제도의 안정적인 정착을 위해 2027년 12월 31일까지 계도기간을 운영한다.

개인정보 유출 사실이 최종적으로 확인되기 전이라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우 정보주체에게 이를 알리는 '개인정보 유출 가능성 통지제'도 도입된다.

개인정보처리시스템이나 개인정보취급자가 이용하는 기기에 불법적인 접근이 발생해 개인정보 유출이 의심되지만, 정보 주체를 특정하기 곤란한 경우나, 개인정보가 불법적으로 거래되는 등 일부 개인정보의 유출이 확인돼 다른 정보주체의 개인정보도 유출됐을 가능성이 있다고 인정되는 경우가 해당한다.

이 경우 해당 사실을 안 때부터 72시간 이내에 개인정보 항목과 의심 시점·경위, 피해 최소화 방법, 피해구제 절차 등을 정보주체에게 알려야 한다.

개인정보의 위조·변조·훼손도 유출 신고·통지 대상에 새롭게 포함돼 랜섬웨어 등으로 개인정보가 훼손된 경우에도 신고·통지 의무가 적용된다.

송경희 개인정보위 위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고 개인정보 보호를 위한 투자에 대한 인식이 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 전환될 것으로 기대한다"고 말했다.

chacha@yna.co.kr

Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.