개인정보 보호 정책의 무게중심이 사고 후 처벌에서 사고 전 예방과 위험 관리로 이동한다. AI 디지털 전환과 플랫폼 경제 확산으로 개인정보 활용 범위가 빠르게 넓어지고, 대규모 유출 사고가 반복되는 상황에서 기존의 사후 제재만으로는 국민 피해를 줄이기 어렵다는 판단에 따른 것이다.
개인정보보호위원회는 5월 12일 대통령 주재 국무회의에서 이 같은 내용을 담은 ‘예방 중심 개인정보 관리체계 전환 계획’을 보고했다. 이번 계획은 대규모 개인정보를 처리하는 공공·민간 시스템을 위험 수준에 따라 관리하고, 선제적으로 보호 투자를 한 기업에는 인센티브를 주는 한편, 중대하거나 반복적인 위반에는 과징금을 대폭 높이는 내용을 담고 있다.
가장 큰 변화는 제재 수준이다. 개인정보위는 고의 또는 중대한 과실로 3년 안에 반복적인 사고를 일으키거나, 1천만 명 규모 이상의 피해가 발생한 중대 위반 사건에 대해 매출액의 최대 10%까지 과징금을 부과하는 방안을 추진한다. 기존 전체 매출액의 3% 수준이던 과징금보다 크게 높아지는 것이다. 개인정보 보호 투자를 소홀히 해 줄인 비용보다 위반에 따른 경제적 부담이 훨씬 커지도록 해 억지력을 높이겠다는 취지다.
과징금 산정 기준도 강화된다. 현재는 3년 평균 매출액을 기준으로 삼지만, 앞으로는 직전 연도 매출액과 3년 평균 매출액 중 더 높은 금액을 기준으로 적용한다. 기업 규모가 커졌거나 최근 매출이 급증한 기업이 과거 평균 매출을 기준으로 낮은 제재를 받는 문제를 줄이기 위한 조치다. 해당 시행령 개정은 5월 중 마무리될 예정이다.
조사 강제력도 높인다. 개인정보위는 조사 비협조에 대해 기존 과태료 중심의 제재를 넘어 이행강제금 제도를 도입할 계획이다. 증거 은닉이나 폐기 행위에 대한 제재도 강화하고, 신고포상금 제도도 마련한다. 개인정보 유출 사고 조사 과정에서 자료 제출 지연, 사실관계 은폐, 미흡한 시정조치가 반복되지 않도록 하겠다는 것이다.
다만 영세기업과 소상공인의 경미한 위반에 대해서는 곧바로 강한 제재를 적용하기보다 개선과 지원에 중점을 둘 방침이다. 개인정보위는 경미한 위반에는 재발 방지와 개선 기회를 부여하되, 같은 위반이 반복될 경우 엄정하게 대응하겠다고 밝혔다.
1,700개 고위험 시스템 정기 점검…공급망까지 관리 확대
이번 대책의 또 다른 축은 위험 기반 관리체계 구축이다. 개인정보위는 금년 하반기부터 주요 공공시스템과 대규모 개인정보를 처리하는 약 1,700개 고위험 시스템을 대상으로 정부가 직접 정기 점검을 실시한다. 점검 대상에는 주요 공공시스템 387개와 100만 명 이상 개인정보를 처리하는 공공기관·기업, 교육·복지 등 고위험 분야가 포함된다.
개인정보위는 보유한 개인정보 규모가 크고 유출 시 파급력이 큰 분야를 우선 관리 대상으로 삼는다. 상조회사, 고객상담센터, 결혼정보업체, 초·중·고 에듀테크 분야도 추가 점검 대상에 포함된다. 이미 개인정보위는 상조회사와 고객상담센터 등에 대한 점검을 진행 중이며, 발견된 미비점은 조속히 시정 권고할 계획이다.
관리 범위는 개별 기업을 넘어 공급망으로 확대된다. 클라우드 사업자, 전문 수탁사, 시스템 공급사 등 개인정보 처리 과정에 관여하는 외부 협력사도 점검 대상에 포함된다. 최근 개인정보 처리 환경이 클라우드, 외주 개발, 위탁 운영, 플랫폼 연동 구조로 복잡해진 만큼, 한 기업 내부의 보안 수준만으로는 전체 위험을 통제하기 어렵다는 판단이다.
개인정보위는 지난해 하반기 슈퍼앱 5개와 클라우드 3개사를 점검한 결과도 사례로 제시했다. 슈퍼앱 분야에서는 정보 이전과 공유 과정의 접근 권한 관리, 동의와 탈퇴 절차, 내부통제 정비가 주요 개선 사항으로 확인됐다. 클라우드 분야에서는 이용 기업이 안전조치를 추가로 설정하거나 별도 보안 솔루션을 구독하도록 안내하는 조치가 이뤄졌다.
개인정보위는 SKT와 건강보험공단 등 92개 기업·기관에 대한 시정명령을 통해 207개 항목을 개선한 사례도 공개했다. 개선 내용에는 안전조치 강화, 내부 관리체계 정비, 수탁자 관리·감독 강화, 주민등록번호 수집 제한 등이 포함됐다. 개인정보위는 이 같은 사후 점검 결과를 앞으로 예방 중심 관리체계의 근거로 활용할 계획이다.
선제적 보안 투자 기업에는 과징금 감경 등 인센티브
개인정보위는 기업이 형식적인 법 준수를 넘어 실질적인 보호 수준을 높일 수 있도록 인센티브 체계도 개편한다. 법정 기준을 넘는 선제적 보호조치, 동종업계 대비 우수한 보안 투자, 개인정보 보호 책임경영, 실효적인 안전관리체계 운영 여부를 종합적으로 평가해 과징금 감경 등 혜택을 부여한다.
주요 고려 사항에는 개인정보 보호 전담 조직과 인력 운영, 개인정보 영향평가 등 상시 위험관리 체계, 사고 발생 시 신속한 복구 역량, 암호화와 추가 인증, 취약점 신고·공개제도 운영 등이 포함된다. 기업이 사고 이후 대응에만 예산을 투입하는 구조에서 벗어나, 사고 전 단계에서 예방 투자를 확대하도록 유도하겠다는 것이다.
오는 9월부터는 경영진의 개인정보 보호 책임도 강화된다. 개인정보 보호법 개정에 따라 대표자는 개인정보 처리와 보호의 최종 책임자로서 관리·감독 의무를 지게 된다. 개인정보보호책임자(CPO)의 지정, 변경, 해제 시 이사회 의결과 신고 의무도 강화된다.
특히 100만 명 이상 개인정보를 처리하고 매출액이 1,800억 원 이상인 기업은 일정 자격과 경력을 갖춘 CPO를 지정해야 한다. 개인정보위는 해당 대상이 약 700개에 이를 것으로 보고 있다. CPO가 형식적인 직책에 머물지 않고 조직 내에서 실질적인 권한과 책임을 갖도록 하겠다는 방향이다.
기업의 개인정보 보호활동 공개도 유도된다. 개인정보위는 기업이 개인정보 보호 투자와 관리 현황을 투명하게 공개하도록 해 시장과 이용자가 기업의 보호 수준을 확인할 수 있는 환경을 만들 계획이다. 이는 개인정보 보호가 단순한 규제 대응이 아니라 기업 신뢰와 경쟁력의 요소로 작동하도록 하기 위한 조치다.
개인정보 중심 설계 제도화…ISMS-P·영향평가 기준도 개편
개인정보위는 서비스 출시 이후 사고를 막는 방식만으로는 한계가 있다고 보고, 시스템 설계 단계부터 개인정보 보호를 반영하는 개인정보 중심 설계(PbD, Privacy by Design) 원칙을 제도화한다. PbD는 제품과 서비스의 기획, 제조, 운영, 파기 등 전 과정에서 개인정보 보호 요소를 미리 고려하는 방식이다.
앞으로 개인정보 영향평가 기준과 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 기준에도 PbD 원칙이 반영된다. ISMS-P 인증은 간편, 표준, 강화 인증 기준을 신설하고 상시 점검을 도입하는 방향으로 개편된다. 공공과 민간의 주요 개인정보 처리자에 대해서는 인증 의무화도 추진된다. 고시 개정은 올해 하반기 추진되며, 의무화는 2027년 7월 이후 적용될 예정이다.
개인정보 영향평가도 개선된다. 개인정보위는 PbD 원칙과 연계해 평가 기준과 방법을 손질하고, 민간 분야로 적용을 확대하는 방안을 마련한다. 대규모 국외 이전에 대한 영향평가 제도도 새로 도입할 계획이다. 글로벌 클라우드와 해외 플랫폼 활용이 늘어나는 상황에서 개인정보가 국외로 이전될 때 발생할 수 있는 위험을 사전에 점검하기 위한 조치다.
공공부문의 개인정보 보호 역량도 보완 대상이다. 개인정보위가 올해 2월 실시한 현황 조사에 따르면 개인정보 보호 전담인력은 중앙부처 평균 1.1명, 기초지방정부 평균 0.3명 수준에 그친 것으로 나타났다. 개인정보위는 관계부처와 협력해 전담 인력과 예산을 확충하고, 사고 발생 시 책임을 강화하는 동시에 전담인력의 처우 개선도 추진한다.
전문인력 양성 체계도 확대된다. 개인정보위는 권역별·지역별 대학원 과정을 늘리고, 정책 담당자, 개발자, 사고 대응 조직 등 직무별 특성에 맞춘 실무 교육 프로그램을 새로 설계해 운영할 계획이다. 현장에서 실제 문제를 해결할 수 있는 전문 인력을 키우는 것이 목표다.
유출 피해 입증책임 기업에…침해신고센터 기능도 강화
피해구제 체계도 바뀐다. 개인정보 유출 사고가 발생했을 때 기업과 기관의 손해배상 책임을 원칙으로 하고, 전반적인 입증책임을 기업과 기관이 지도록 해 법정 손해배상 제도를 활성화한다. 법정 손해배상은 최대 300만 원까지 가능하도록 하는 방향으로 관련 법안이 발의돼 있다.
그동안 개인정보 유출 피해자는 실제 피해를 입증하기 어렵다는 이유로 충분한 보상을 받기 어려웠다. 개인정보위는 입증 책임 구조를 바꿔 피해자가 보다 실질적으로 구제받을 수 있도록 하겠다는 입장이다.
국민 권리 보호도 강화된다. 개인정보위는 이용자를 속이거나 오인하게 만들어 개인정보 수정, 동의 철회, 회원 탈퇴를 어렵게 하는 다크패턴 행태를 집중 점검한다. 온라인 서비스에서 탈퇴 버튼을 찾기 어렵게 하거나, 동의 철회를 복잡하게 만드는 방식이 주요 점검 대상이 될 것으로 보인다.
개인정보 침해신고센터 기능도 확대된다. 기존의 법 안내 중심 상담에서 벗어나 전문 법률상담, 피해 회복 조력, 개선 컨설팅 등 종합 지원체계로 단계적으로 전환한다. 개인정보 유출 피해자가 신고 이후 어떤 조치를 해야 하는지 안내받고, 실질적인 회복 지원을 받을 수 있도록 하겠다는 취지다.
민감정보 유출에 대한 대응도 강화된다. 개인정보위는 SNS와 다크웹 등에서 불법 유통 여부를 모니터링하고, 탐지된 정보는 삭제 조치할 계획이다. 수사기관과 협력해 개인정보 불법 유포자와 이용자도 끝까지 추적·처벌한다는 방침이다.
AI 시대 개인정보 보호, 규제가 아니라 신뢰 기반으로 전환
개인정보위는 이번 대책이 기업의 데이터 활용을 막기 위한 규제가 아니라 지속 가능한 데이터 활용을 위한 신뢰 기반이라고 설명했다. AI 서비스와 플랫폼 산업이 성장하려면 대규모 데이터 활용이 불가피하지만, 이용자가 기업의 개인정보 관리에 신뢰를 갖지 못하면 데이터 기반 혁신도 지속되기 어렵다는 판단이다.
국민의 불안도 중요한 배경이다. 개인정보위는 국가데이터처 사회안전인식도조사에서 국민 10명 중 6명이 개인정보 유출에 불안을 느끼고 있다고 밝혔다. 개인정보 활용은 늘고 있지만, 국민이 체감하는 보호 수준은 충분하지 않다는 의미다.
최근 AI 기반 공격과 자동화된 해킹 도구의 등장도 개인정보 보호 환경을 바꾸고 있다. 개인정보위는 AI 기반 공격이 현실화되고 보호 환경이 빠르게 달라지고 있지만, 개인정보 보호의 본질은 정보자산 식별, 접근 권한 최소화, 상시 위협 탐지, 기술적·관리적·물리적 안전조치의 충실한 이행이라고 봤다. 고도화된 공격 환경일수록 기본 보호체계가 실제로 작동해야 사고를 예방하고, 사고 발생 시에도 피해를 줄일 수 있다는 것이다.
송경희 개인정보보호위원장은 “개인정보도 한 번 유출되면 피해를 온전히 되돌리기 어렵고 회복에도 긴 시간이 걸린다”며 “사후 책임에 더해 사전예방이 잘 작동할 수 있는 체계를 구축해 국민의 정보를 보다 안전하게 지키고, 국민이 신뢰할 수 있는 개인정보 활용 환경을 만들어가겠다”고 밝혔다.
이번 계획은 개인정보 보호 정책이 단순한 사후 제재 중심에서 위험 기반 예방 관리로 전환되는 계기가 될 전망이다. 기업과 공공기관에는 개인정보 보호를 비용이 아닌 경영 책임으로 받아들이는 변화가 요구된다. 특히 대규모 개인정보를 처리하는 기업은 보호 투자, CPO 권한, 접근권한 관리, 공급망 보안, 사고 대응 체계를 전반적으로 재점검해야 할 시점이다.
댓글
0