정부가 개인정보 보호 정책의 무게중심을 ‘사후 처벌’에서 ‘사전 예방’으로 전환한다. 대규모 개인정보 유출 사고가 반복되는 상황에서 기업과 기관의 예방 책임을 강화하고, 중대·반복 위반에는 매출액의 최대 10%에 달하는 징벌적 과징금을 부과하기로 했다.
개인정보보호위원회는 12일 대통령 주재 국무회의에서 이 같은 내용을 담은 ‘예방 중심 개인정보 관리체계 전환 계획’을 보고했다. AI·디지털 전환과 플랫폼 경제 확산으로 개인정보 활용이 급증하는 가운데 기존의 사후 규제 중심 체계만으로는 대형 유출사고에 대응하기 어렵다는 판단에 따른 것이다.
이번 대책에 따라 정부는 올해 하반기부터 주요 공공시스템과 대규모 개인정보를 처리하는 약 1700개 고위험 시스템에 대해 정기 점검을 실시한다. 점검 대상은 주요 공공시스템 387개를 비롯해 교육·복지 분야, 클라우드 사업자, 시스템 공급사 등으로 확대된다. 상조회사와 고객상담센터, 결혼정보업체, 에듀테크 기업 등도 추가 점검 대상에 포함된다.
중대·반복 위반 행위에 대한 제재 수위도 대폭 강화된다. 개인정보위는 고의 또는 중과실로 3년 내 반복 사고를 일으키거나 1000만명 이상 피해를 초래한 경우 매출액의 최대 10%까지 과징금을 부과하는 방안을 추진한다. 현재 상한은 전체 매출액의 3% 수준이다. 과징금 산정 기준 역시 ‘3년 평균 매출액’에서 ‘직전 연도 매출액’과 ‘3년 평균 매출액’ 중 높은 금액을 적용하도록 바뀐다.
또 조사 비협조나 시정명령 미이행에 대응하기 위해 이행강제금 제도를 도입하고, 증거 은닉·폐기 행위에 대한 제재도 강화한다. 신고포상금 제도 역시 새롭게 도입될 예정이다. 다만 영세·소상공인의 경미한 위반에 대해서는 개선 중심으로 접근하되 반복 위반 시에는 엄정 대응한다는 방침이다.
정부는 규제 강화와 함께 기업의 자발적인 개인정보 보호 투자도 유도한다. 법정 기준을 넘어서는 보안 투자와 실효적인 안전관리체계 구축, 추가 인증·암호화 조치 등을 시행한 기업에는 과징금 감경 등 인센티브를 제공할 계획이다.
특히 오는 9월 시행되는 개인정보보호법 개정안에 맞춰 CEO의 개인정보 보호 책임을 강화하고, 일정 규모 이상 기업에는 전문성을 갖춘 개인정보보호책임자(CPO) 지정도 의무화한다. 개인정보 보호 활동 공시 확대를 통해 기업 스스로 보호 역량을 강화하도록 유도한다는 구상이다.
서비스 설계 단계부터 개인정보 보호를 반영하는 ‘개인정보 중심 설계(PbD·Privacy by Design)’ 원칙도 제도화한다. 개인정보 영향평가와 ISMS-P 인증 기준에도 PbD 원칙을 반영해 기획·설계 단계에서부터 위험 요소를 줄이겠다는 것이다.
국민 피해 구제 체계도 강화된다. 개인정보 유출 사고 발생 시 기업·기관의 손해배상 책임을 원칙화하고, 입증 책임 역시 기업 측이 부담하도록 해 법정 손해배상 제도를 활성화할 계획이다. 현재 관련 법안은 발의된 상태다.
이와 함께 개인정보 수정이나 탈퇴를 어렵게 만드는 ‘다크패턴’ 행위를 집중 점검하고, 침해신고센터 기능도 전문 상담과 피해 회복 지원 중심으로 확대 개편한다. 민감정보가 SNS나 다크웹 등에서 불법 유통될 경우 탐지·삭제를 지원하고 수사기관과 협력해 유포자와 이용자를 추적·처벌할 방침이다.
송경희 개인정보보호위원장은 “개인정보는 한 번 유출되면 피해를 완전히 회복하기 어렵다”며 “사후 책임뿐 아니라 사전 예방이 제대로 작동하는 체계를 구축해 국민이 신뢰할 수 있는 개인정보 활용 환경을 만들겠다”고 밝혔다.
중기이코노미
댓글
0