양청삼 개인정보보호위원회 사무처장이 9월10일 서울 종로구 정부서울청사에서 개정 개인정보보호법을 주제로 브리핑하고 있다. [사진=개인정보위]

[디지털데일리 김보민기자] 징벌적 과징금과 감경 요건에 대한 내용을 담은 개정 개인정보보호법이 시행된다.

개인정보보호위원회는 개정 개인정보보호법과 시행령을 11일부터 시행한다고 10일 밝혔다.

양청삼 개인정보위 사무처장은 "최근 유통, 통신 등 국민 일상생활과 밀접한 분야에서 개인정보 유출 사고가 연이어 발생하고 있어 국민 우려가 커지고 있다"며 "중대한 개인정보 침해에 엄중한 책임을 묻되, 개인정보 보호 체계를 강화하도록 해 유출 사고를 사전에 예방하도록 개선했다"고 말했다.

개정법은 반복적이거나 고의·중과실로 개인정보 유출을 일으킨 기업에 전체 매출액 최대 10%까지 징벌적 과징금을 부과하는 등 대응을 강화했다. 유출 신고·통지를 기한 내 이행하지 않거나 피해 확산 방지 조치를 하지 않으면 과징금을 최대 30% 가중한다.

반면 사전에 적극적으로 투자하고 보호체계를 강화한 기업에는 과징금 산정 과정에서 최대 40%까지 감경할 수 있는 제도를 도입해 선제적 예방 투자를 촉진한다. 사고 발생 후 신속하게 회복·개선한 경우에도 감경 혜택을 준다.

양 사무처장은 "개인정보 보호를 유출 등 사고 발생 이후 부담해야 하는 비용이 아니라, 고객 신뢰와 기업 가치를 높이는 선제적 투자로 인식하도록 하겠다"고 강조했다. 개인정보위는 상시 위험관리체계 구축, 계정 및 접근권한 통합 관리, 인증수단 적용, 공격표면 관리, 취약점 조치 등 감경 요소를 살펴볼 예정이다.

일각에서는 '정보기술(IT) 투자 10%'를 비롯해 감경 기준이 수치로 명시돼야 한다는 목소리가 제기된다. 이와 관련해 개인정보위는 일정 규모 이상을 투자하면 과징금을 감경하는 일률적인 기준은 두기 어렵다고 설명했다. 양 사무처장은 "개인정보와 관련된 적정 투자는 숫자로 나오기 힘들다"며 "공공과 민간이 다르고, 민간에서도 산업별 특성이 있어 숫자를 특정할 수 없다"고 설명했다.

개인정보 보호 책임과 관리체계도 강화된다. 사업주와 대표자 최종 책임을 명시하고, 주요 개인정보처리자가 개인정보보호책임자(CPO)를 지정·변경·해제할 때 이사회 의결을 거쳐 6개월 내 개인정보위에 신고하도록 의무화했다. CPO 권한 확대를 위해 전문인력 관리와 예산 확보, 이사회 보고 의무도 부여했다. 신규 CPO 제도 정착을 위해 2027년 12월31일까지 계도기간을 운영한다.

정보주체 피해구제 절차도 빨라진다. 유출 사실이 최종 확인되기 전이라도 유출 가능성이 높다고 합리적으로 판단될 경우 72시간 이내에 당사자에게 알려야 하는 '유출 가능성 통지제'가 신설됐다. 유출 통지 항목에는 분쟁조정 신청 및 손해배상 청구 방법이 추가됐으며, 랜섬웨어 등 위·변조 및 훼손도 신고·통지 대상에 포함됐다.

한편 개인정보위는 평소 예방적 투자가 얼마나 이뤄졌는지 판단할 전문 위원회를 하반기 중 구성할 예정이다. 중요 개인정보처리자 대상 ISMS-P 인증 의무화 규정은 예산 확보 기간을 고려해 2027년 7월1일부터 시행될 예정이다.