개인정보 유출에 매출 3→10% 과징금⋯KTㆍ티빙 적용 피해

사전 투자·신속 대응 시 과징금 최대 80% 이상 감경
CEO 최종 책임 명시…CPO 신고 의무 신설
유출 확정 전에도 가능성 높으면 72시간 내 통지

▲양청삼 개인정보보호위원회 사무처장이 10일 목요일 정부서울청사에서 브리핑을 하고 있다. (사진제공=개인정보보호위원회)

대규모 개인정보 유출에 전체 매출액의 최대 10%까지 과징금을 부과하고 경영진 책임을 강화한 개인정보보호법이 새로 시행된다. 다만 KT·티빙 등 시행 전 발생한 사고에는 새 규정이 적용되지 않는다.

개인정보보호위원회는 10일 개정된 개인정보보호법과 시행령·고시를 11일부터 시행한다고 밝혔다. 기존 과징금 상한인 전체 매출액의 3%보다 제재 수위를 최대 10%로 3배 이상 높였다. 위반행위를 반복하거나 △고의·중과실로 1000만 명 이상의 대규모 피해를 내거나 △시정명령을 이행하지 않아 유출 사고가 발생한 경우 등이 대상이다.

개인정보위는 위반 내용과 정도, 발생 경위, 피해 규모 등을 토대로 기준금액을 정한 뒤 가중·감경과 조정을 거쳐 과징금을 산정한다. 전체 매출액의 10%는 최종 부과액의 상한이다. 기업의 사전 예방과 사고 후 대응은 과징금 감경에 반영한다. 개인정보 보호 투자·관리체계를 갖추면 최대 40%, 사고를 조기에 탐지해 신속히 신고·대응한 경우에도 최대 40% 감경한다. 다만 고의·중과실 위반은 사전 투자 감경 대상에서 제외된다.

양청삼 개인정보위 사무처장은 이날 브리핑에서 “투자 감경과 사고 발생 이후 신속 대응 감경까지 합치게 되면 80%가 넘는 금액이 감경된다”며 “보안을 형식적으로 하는 데 그치지 않고 실질적으로 관리체계를 만들고 자산과 위협을 식별해 경감 조치를 제도화하자는 것”이라고 말했다. 이어 “신속하게 대응하고 후속 조치를 하는 기업·기관에는 걸맞은 인센티브를 주겠다”고 설명했다.

최고경영자(CEO)와 개인정보 보호책임자(CPO)의 책임도 강화된다. CEO는 개인정보 처리·보호의 최종 책임자로 명시되고, 일정 규모 이상 개인정보처리자는 CPO 지정·변경·해제 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다. 사고 사실이 확정되기 전이라도 객관적으로 유출 가능성이 높으면 72시간 안에 정보주체에게 알려야 한다. 실제 유출이 아닌 것으로 확인되면 정정 통지한다.

KT와 티빙은 개정법 적용 대상에서 제외된다. KT는 2024년 10월부터 지난해 9월까지 1만6647명의 개인정보가 유출됐다. 이 중 368명이 약 2억4000만원의 무단 소액결제 피해를 입었다. 티빙은 올해 5월 총 3954만 개 계정의 개인정보가 유출됐다. 침해사고 신고가 법정기한을 넘겨 늦장 대응 지적도 받았다. 과기정통부는 최대 3000만원의 과태료를 부과할 예정이다.

개인정보위 관계자는 “이들은 법 시행 전에 발생한 사건이기 때문에 10% 룰 대상 자체가 아니다”며 “법 개정 때 소급 적용하지 않고 올해 9월 11일 이후 발생하는 사건에 적용하도록 돼 있어 10%로 바뀔 가능성은 낮고, 기존 3% 룰 안에서 판단할 것”이라고 말했다.

송경희 개인정보위원장은 "이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호와 강화된 안전관리 체계가 확립될 것"이라며 "개인정보 보호를 위한 투자가 '비용'이 아니라 '선제적 투자'로 인식이 전환되길 기대한다"고 말했다.