직전 연도 매출 기준 적용..급성장 플랫폼 겨냥
중대·반복 위반 감경 제한..최대 매출 10% 과징금
SKT '솜방망이 논란' 이후 제재 실효성 강화
송경희 개인정보보호위원회 위원장. /사진=개인정보보호위원회
개인정보 유출 사고에 대한 과징금 부과 기준이 한층 강화된다.
18일 개인정보보호위원회는 개인정보 보호법 위반에 대한 과징금 부과처분의 실효성과 적정성을 높이기 위한 개인정보 보호법 시행령 및 과징금 부과기준 개정안이 19일부터 시행된다고 밝혔다.
이번 개정은 최근 대규모 개인정보 유출 사고가 반복되는 가운데 기존 제재 체계만으로는 기업의 보안 투자와 사고 예방을 유도하는 데 한계가 있다는 지적이 이어진 데 따른 조치다.
개정안은 과징금 산정 기준이 되는 매출액 기준을 강화하고, 매우 중대한 위반행위에 대해서는 감경 적용을 제한하는 내용을 담고 있다.
개인정보위는 “기업의 현재 경제력과 위반행위 정도에 상응하는 과징금 부과를 통해 중대한 개인정보 침해에 보다 엄정하게 대응하겠다”고 밝혔다.
핵심은 크게 두 가지다.
우선 과징금 산정 기준이 강화된다.
기존에는 ‘위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액’을 기준으로 과징금을 산정했다.
정보기술(IT)·플랫폼 기업처럼 매출이 빠르게 증가하는 기업의 경우 실제 경제력에 비해 과징금 규모가 낮아진다는 지적이 꾸준히 제기돼 왔다.
앞으로는 ▲직전 사업연도 매출액 ▲최근 3개 사업연도 평균 매출액 가운데 더 큰 금액을 기준으로 과징금을 산정한다.
매출이 급증한 기업에는 직전 연도 매출을 기준으로 보다 높은 과징금이 부과될 수 있는 구조다.
매우 중대한 위반행위에 대한 감경 적용도 엄격해진다.
현행 제도는 조사 협조나 자율 보호활동 등이 인정되면 과징금을 감경할 수 있도록 하고 있다.
대규모 유출이나 반복 위반처럼 피해 규모와 위반 정도가 심각한 사안까지 일률적으로 감경 기준을 적용하는 것은 제재 실효성을 떨어뜨린다는 비판이 제기돼 왔다.
개정안은 위반행위의 중대성이 매우 심각한 경우에는 감경의 전부 또는 일부를 적용하지 않을 수 있도록 했다.
이번 개정은 최근 반복된 대형 해킹 사고와 맞물려 제도 보완 요구가 커진 상황과도 연결된다.
앞서 개인정보위는 3월 개인정보 보호법 개정을 통해 반복적이거나 대규모 피해를 초래한 경우 기업 매출의 최대 10%까지 과징금을 부과할 수 있는 징벌적 과징금 제도를 도입한 바 있다.
개정안에는 ▲1000만명 이상 피해 발생 ▲고의·중과실에 따른 반복적 위반 ▲시정명령 불이행에 따른 추가 유출 사고 등의 경우 과징금 상한을 기존 매출액 3%에서 최대 10%까지 확대하는 내용이 담겼다.
개인정보 유출 가능성만 인지한 단계에서도 이용자에게 통지하도록 의무를 확대하고, 랜섬웨어 공격에 따른 데이터 훼손·변조 역시 유출 사고 범위에 포함하는 내용도 함께 추진됐다.
기업 대표이사와 개인정보보호책임자(CPO) 책임 강화, 일정 규모 이상 기업의 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 의무화 등도 포함됐다.
정보보호업계에서는 현행 제재 체계만으로는 대기업의 보안 투자 확대를 강제하기 어렵다는 지적이 꾸준히 제기돼 왔다.
개인정보위는 지난해 SK텔레콤 유심(USIM) 정보 해킹 사고와 관련해 과징금 1347억9100만원을 부과했지만, 이는 SKT의 2025년 연간 영업이익(1조732억원)의 약 12% 수준에 그쳐 ‘솜방망이 처벌’ 논란이 제기됐다.
당시 SKT의 연매출은 약 17조원 규모였다.
개정된 개인정보 보호법과 시행령 기준이 모두 적용될 경우 매출액 기준과 과징금 상한이 동시에 강화되면서 제재 규모 역시 과거보다 대폭 확대될 수 있다는 분석이 나온다.
이번 조치는 단순 사후 징계를 넘어 기업의 선제적 보안 투자와 내부 통제 강화를 압박하는 신호가 될 것으로 전망된다.
다만 이번 개정 규정은 시행 이후 발생한 위반행위부터 적용된다.
행정기본법 제14조에 따라 시행 이전에 종료된 위반행위에는 종전 규정이 적용된다.
현재 조사 중인 쿠팡이나 KT 개인정보 유출 사건에도 개정 시행령은 적용되지 않는다.
댓글
0