개보위, '과징금 투자 감경제도 안내서' 마련…"정성·정량 지표 종합 판단할 것"

(서울=연합뉴스) 안정원 기자 = 양청삼 개인정보보호위원회 사무처장이 10일 서울 종로구 정부서울청사에서 중대·반복 개인정보 유출 등 위반 행위에 매출액의 최대 10%를 부과할 수 있는 징벌적 과징금제도 등이 담긴 개인정보보호법 시행령이 11일부터 시행된다고 밝히고 있다. 2026.9.10 jeong@yna.co.kr

(서울=연합뉴스) 차민지 기자 = 앞으로 기업이 개인정보 보호를 위해 사고 발생 전부터 예산과 인력을 투입하고 보호체계를 강화한 경우 개인정보 보호법 위반에 따른 과징금 부과 기준금액의 최대 40%를 감경받을 수 있다.

감경 여부는 개인정보 보호를 위한 예산·인력·설비·장치 등의 투자 규모와 지속성, 최고경영자(CEO)·개인정보 보호책임자(CPO) 등 보호체계의 운영 수준, 법상 의무를 넘어선 추가 안전조치 등을 종합적으로 고려해 판단한다.

10일 개인정보보호위원회에 따르면 개인정보 보호를 위한 사전 예방적 투자와 연계해 과징금을 감경하는 내용 등이 담긴 개정 개인정보 보호법과 시행령이 11일부터 시행된다.

투자감경은 개인정보 보호를 위해 사전에 적극적으로 투자하고 보호체계를 강화한 노력을 과징금 산정에 반영해 부과 기준금액의 40% 범위에서 감경하는 제도다.

개인정보위는 투자감경 여부와 수준을 구체적으로 어떻게 판단할지에 대한 기준을 담은 '과징금 투자 감경제도 안내서'를 마련했다.

안내서에 따르면 감경 여부를 판단할 때는 원칙적으로 위반행위가 발생하기 전 3개 사업연도 범위에서 이뤄진 조치를 살펴본다.

다만 사업을 시작한 지 1년이 되지 않은 기업 등 개인정보위가 상당하다고 인정하는 경우에는 위반행위가 있었던 사업연도에 취한 조치도 고려할 수 있다.

고의 또는 중과실에 의한 위반행위는 투자 감경 대상에서 제외된다.

(서울=연합뉴스) 안정원 기자 = 양청삼 개인정보보호위원회 사무처장이 10일 서울 종로구 정부서울청사에서 중대·반복 개인정보 유출 등 위반 행위에 매출액의 최대 10%를 부과할 수 있는 징벌적 과징금제도 등이 담긴 개인정보보호법 시행령이 11일부터 시행된다고 밝히고 있다. 2026.9.10 jeong@yna.co.kr

개인정보위가 제시한 감경 요건은 크게 세 가지다.

우선 개인정보 보호를 위한 예산·인력·설비·장치 등의 투자 규모와 비율, 지속성과 증가 정도를 평가한다.

개인정보 보호 관련 예산을 얼마나 편성하고 집행했는지, 투자가 일회성에 그치지 않고 지속됐는지, 투자 규모가 얼마나 증가했는지, 신규 투자가 이뤄졌는지 등을 살펴보는 방식이다.

구체적으로 정보기술(IT) 투자액 대비 개인정보 보호 투자 예산 비율, 개인정보 보호 투자금액 증가율과 집행 내역, 매출액 대비 개인정보 보호 투자 규모 등이 관련 지표로 제시됐다.

최고경영자(CEO)와 개인정보 보호책임자(CPO), 조직·인력 등 개인정보 보호체계의 운영 수준도 평가 대상이다.

CEO의 개인정보 보호에 대한 관심도와 실천 의지, CPO의 업무 수행과 전문성, 실질적인 권한 부여 여부 등을 살펴본다.

[개인정보위 제공. 재판매 및 DB 금지]

CPO가 법정 자격요건 외에 추가적인 자격요건을 갖췄는지, 기업 내 최상위 의사결정기구에 참여하고 있는지, 개인정보 전담·담당 인력의 전문성 강화와 처우 개선을 위해 노력했는지 등도 고려한다.

법에서 의무화한 수준을 넘어 추가적인 개인정보 안전조치를 취했는지도 감경 요소다.

개인정보위는 상시적 위험관리체계 구축, 계정·접근권한 통합 관리, 안전한 인증수단 확대 적용, 공격표면 관리와 취약점 점검·조치 등을 사례로 들었다.

다만 현재로서는 일정 규모 이상을 투자하면 과징금을 감경하는 식의 일률적인 정량 기준을 두지는 않는다.

양청삼 개인정보위 사무처장은 이날 브리핑에서 "개인정보와 관련된 적정 투자는 숫자 하나로 딱 나오기가 상당히 힘들다"며 "공공과 민간이 다르고 민간에서도 유통이나 IT, 게임, 제조 등 산업별 특성이 다르기 때문에 숫자를 특정할 수 없다"고 설명했다.

그러면서 "제대로 된 개인정보 관리체계를 구축하고 운영하는지 등을 종합적으로 판단하겠다"고 말했다.

양 처장은 과기정통부의 개인정보 보호 공시제도를 통해 기업의 인적·물적 투자 관련 수치가 공개되고 있는 만큼 향후 공시 대상이 확대되면 업종별 투자 수준을 비교할 수 있는 자료도 축적될 것으로 내다봤다.

그는 "현재 700∼800개 정도인 공시 대상 기관이 2천개 이상으로 확대되면 업종별 적정 투자 규모와 평균치, 최대치, 최하치 등이 구체적으로 확인될 수 있을 것으로 기대한다"고 말했다.

이어 "업종별로 선진 기업들이 어떤 형태로 어느 정도 투자하고 있는지 참고할 수 있는 기준도 충분히 생길 것"이라며 "제도가 확대되기 전까지는 정성적인 것과 정량적인 것을 병합해 종합 평가하는 방식을 쓸 수밖에 없다"고 덧붙였다.

개인정보위는 유출 조사와 별도로 평소 예방적 투자가 얼마나 이뤄졌는지를 판단할 전문위원회를 하반기 중 구성할 방침이다.

이재형 개인정보위 조사조정국장은 "투자감경은 평소 예방적 투자를 얼마나 했느냐의 문제"라며 "투자감경을 논의하는 전문위원회를 따로 구성할 예정"이라고 말했다.

고의·중과실로 3년 내 위반행위를 반복하거나 1천만명 이상의 대규모 피해를 발생시킨 경우 등에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 징벌적 과징금 제도도 11일부터 시행된다.

chacha@yna.co.kr

Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.