랜섬웨어 등 개인정보 위조·변조·훼손도 신고 대상…손해배상·분쟁조정 방법까지 안내
대형 기업·대학·상급종합병원 등 CPO 지정·변경 때 이사회 의결 거쳐 개인정보위 신고
개인정보가 실제로 유출됐는지 최종 확인되지 않았더라도 유출 가능성이 높다고 판단되면 기업·기관은 해당 사실을 국민에게 알려야 한다. 고의나 중대한 과실로 대규모 개인정보 유출을 일으킨 경우에는 전체 매출액의 최대 10%까지 과징금이 부과될 수 있다. 랜섬웨어 공격으로 개인정보가 위조·변조·훼손된 경우도 유출 신고·통지 대상에 포함된다.
개인정보보호위원회는 개인정보 유출 사고의 사전 예방과 피해구제를 강화하는 내용의 개정 개인정보 보호법과 시행령·고시가 내일(11일)부터 시행된다고 10일 밝혔다. 지난 3월 개정된 법률에 따라 과징금 부과 기준과 개인정보 보호책임자(CPO) 신고, 유출 가능성 통지 등의 세부 절차도 새롭게 적용된다.
국민이 체감할 수 있는 가장 큰 변화는 ‘개인정보 유출 가능성 통지제’다.
현재는 개인정보가 유출됐다는 사실을 확인한 뒤 통지하도록 하고 있지만 앞으로는 실제 유출 여부가 확정되지 않은 단계에서도 객관적으로 유출 가능성이 높다고 합리적으로 판단되면 정보주체에게 알려야 한다.
예를 들어 개인정보처리시스템이나 개인정보취급자가 사용하는 기기에 불법적인 접근이 발생해 유출이 의심되지만 피해자를 특정하기 어려운 경우가 해당한다. 일부 개인정보가 불법적으로 거래되는 사실이 확인돼 다른 사람의 개인정보까지 유출됐을 가능성이 있는 경우도 포함된다.
기업·기관은 이런 사실을 알게 된 때부터 72시간 이내에 통지해야 한다. 통지 내용에는 유출이 의심되는 개인정보 항목과 시점·경위, 피해를 줄이는 방법, 피해구제 절차와 신고 연락처 등이 포함된다. 이후 실제 유출이 확인되면 추가 통지하고, 반대로 유출되지 않은 것으로 확인되면 이용자의 불안과 혼란을 줄이기 위해 이를 다시 알려야 한다.
통지 대상이 되는 사고의 범위도 넓어진다. 기존 분실·도난·유출에서 위조·변조·훼손까지 추가된다.
개인정보를 반복적으로 유출하거나 대규모 피해를 일으킨 기업에 대한 제재도 강해진다.
 |
| ▲출처: 개인정보보호위원회 |
고의·중과실로 3년 안에 위반행위를 반복하거나 1000만명 이상의 대규모 피해를 발생시킨 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등에는 위반 정도와 피해 규모를 따져 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.
반대로 사고가 발생하기 전 개인정보 보호에 적극적으로 투자한 기업에는 인센티브를 준다.
개인정보 보호를 위한 예산과 인력, 설비·장치 투자 규모와 지속성, CEO와 CPO를 포함한 보호체계 수준, 법에서 정한 기준을 넘어선 추가적인 안전조치 등을 평가해 과징금 기준금액의 최대 40%까지 감경할 수 있다.
사고가 난 뒤 어떻게 대응했는지도 과징금에 반영한다. 사고를 조기에 탐지하고 신속하게 신고·통지하거나 피해 확산 방지 조치를 취한 경우 최대 40%를 감경할 수 있다. 반대로 법정기한 안에 신고·통지를 하지 않고 피해 확산 방지 조치도 하지 않으면 최대 30%까지 가중한다.
개인정보 보호책임자(CPO)의 권한과 책임도 커진다. 일정 규모 이상의 기업·기관이 CPO를 지정하거나 변경·해제할 때는 이사회 의결을 거친 뒤 개인정보위에 신고해야 한다.
대상은 연 매출액 또는 수입이 1800억원을 넘으면서 100만명 이상의 개인정보 또는 5만명 이상의 민감정보·고유식별정보를 처리하는 사업자다. 재학생 2만명 이상 대학과 상급종합병원, 주요 공공시스템을 운영하는 기관도 포함된다.
법 시행 이후 CPO를 새로 지정·변경·해제하면 이사회 의결을 거쳐 사유 발생일로부터 6개월 안에 신고해야 한다. 이미 CPO가 지정돼 있다면 별도의 이사회 의결 없이 내일(11일)부터 6개월 안에 신고하면 된다. 부득이한 사유가 인정되면 신고기간을 최대 1년까지 연장할 수 있다.
다만 제도 도입 초기의 부담을 고려해 2027년 12월 31일까지 계도기간을 운영한다. 이 기간에는 CPO 미지정이나 자격요건 미비, 이사회 의결 의무 위반, 신고 지연 등과 관련해 과태료를 부과하지 않는다.
개인정보위는 이번 개정으로 기업·기관의 개인정보 유출 책임을 강화하는 동시에 사고가 나기 전에 보안에 투자하도록 유도한다는 계획이다. 다만 공공·민간의 중요 개인정보처리자에 대한 ISMS-P 인증 의무화는 준비 기간을 고려해 2027년 7월 1일부터 시행한다.
송경희 개인정보위 위원장은 개인정보 보호 투자를 단순한 비용이 아닌 고객 신뢰와 기업 이익을 위한 선제적 투자로 인식하는 계기가 될 것으로 기대한다며, 새 제도가 현장에서 안정적으로 운영되도록 지속적으로 안내하겠다고 밝혔다.
피앤피뉴스 / 마성배 기자 gosiweek@gmail.com
[저작권자ⓒ 피앤피뉴스. 무단전재-재배포 금지]
