“유출 사고 반복 땐 징벌적 과징금 검토⋯CEO 책임 강화” [뚫리는 韓, 멈춰 선 보안]

기업 보안 기본책무 인식 유도
과징금 피해자 구제 연계 검토
보안 인력ㆍ예산 충족시 인센티브

SK텔레콤에 이어 KT까지 해킹 사고가 연이어 발생하자 정부가 개인정보 유출 사고가 반복되는 기업에 과징금을 가중 부과할 전망이다. 반면 개인정보 보호 관련 투자를 확대한 등 사전 조치를 취한 기업에는 과징금을 감경하는 등의 인센티브를 제공할 방침이다.

개인정보위는 11일 대규모 개인정보 유출사고를 예방하기 위해 이 같은 내용을 담은 ‘개인정보 안전관리 체계 강화 방안’을 발표했다. 이번 방안은 지난 4월 SK텔레콤 고객정보 유출 사고를 계기로 마련됐으며 개인정보위는 기업이 보안을 비용이 아닌 전략적 투자이자 기본 책무로 인식하도록 유도하는 동시에 국민 피해 구제를 실질화하는 데 방점을 찍었다.

개인정보위는 개인정보 유출 사고의 재발을 막고 피해자 보호를 강화하기 위해 제재와 구제 방안을 대폭 손질했다. 반복적으로 해킹 피해가 발생하는 기업에는 과징금을 가중 부과하고 중장기적으로는 징벌적 과징금 도입 등 제재 처분의 실효성을 높이기 위한 방안을 검토하겠다는 계획이다.

최장혁 개인정보위 부위원장은 “징벌적 제도는 다른 법률과의 관계 이런 게 있기 때문에 제도 연구를 통해서 장기적으로 추진하고 지금 현 단계에서도 현재의 가중·감경 제도를 적극적으로 활용하면 충분히 예상되는 효과를 거둘 수 있을 것”이라고 설명했다.

그동안 과징금은 전액 국고에 귀속돼 실제 피해자 권리구제에는 활용되지 못하는 구조적 한계가 있다. 개인정보위는 과징금을 피해자 구제에 직접 연계하는 방안도 검토하겠다는 입장이다.

개인정보위는 기업과 공공기관이 일정 수준의 인력과 예산을 투입하도록 하고 이를 충족한 기관에는 다양한 인센티브를 제공하겠다는 구상이다. 인력 부문에서는 전문 개인정보보호책임자(CPO) 지정 의무기관에 최소 1명 이상의 개인정보 보호 전담 인력을 두는 방안이 제시됐다. CPO 외에도 실무를 맡을 전담 인력을 갖추도록 유도한다는 취지다. 예산 부문에서는 2028년까지 전체 정보화 예산의 10% 이상을 개인정보 보호 예산으로 반영한 경우 인센티브를 부여한다는 계획이다.

기업 최고경영자(CEO)에게 개인정보 보호 관련 위험관리 및 내부통제에 관한 최종적인 책임이 있음을 명확히 하는 등 CEO의 법적 책임도 강화된다. 최 부위원장은 “개인정보보호법상 CEO 책임을 곧바로 강화하기는 쉽지 않지만 이번 모 통신사 사례를 계기로 개인정보 보호가 더 이상 IT 부서나 CPO만의 업무가 아니라는 인식이 확산됐다”며 “2023년 개인정보보호법 개정으로 개인정보처리자에 대한 직접 형사처벌은 줄이고 기업·기관 전체 매출액의 최대 3%까지 과징금을 부과할 수 있도록 한 이유도 막대한 과징금을 통해 CEO의 관심을 끌고 SKT 사례처럼 유출 사고가 발생하면 최고경영자가 개인정보 보호를 전사적 문제로 인식할 수밖에 없게 된 것 ”이라고 설명했다.

이 밖에도 개인정보 보호 수준을 객관적으로 평가·인증하는 ‘개인정보보호 관리체계(ISMS-P)’ 제도가 고도화된다. 신종 해킹 기법에 대응하기 위해 취약점 점검, 모의해킹 등 현장 심사를 중심으로 인증 절차를 강화하고 사고가 발생한 기업에 대해서는 사후 관리도 한층 엄격히 적용할 방침이다.

고학수 개인정보위 위원장은 “이번 사고를 계기로 대규모 개인정보를 처리 하는 사업자들이 개인정보 보호를 위한 투자를 ‘불필요한 비용’이 아닌 고객의 신뢰 확보를 위한 ‘기본적 책무’이자 ‘전략적 투자’로 인식하길 바라며 이를 통해 개인정보 보호에 대한 국민적 신뢰가 확산되기 바란다”라고 말했다.