투데이e코노믹 = 유서진 기자 | 반복적이거나 고의·중과실로 대규모 개인정보 유출 사고를 일으킨 기업에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 ‘징벌적 과징금’ 제도가 본격 시행됐다.

 

잇따른 대규모 개인정보 유출 사고로 소비자 불안이 커지는 가운데 기업의 개인정보 보호 책임을 강화하고 사전 보안 투자를 유도하기 위한 조치다.

 

17일 개인정보보호위원회에 따르면 이 같은 내용을 담은 개정 개인정보 보호법과 시행령·관련 고시가 지난 11일부터 시행에 들어갔다.

 

개정 제도의 핵심은 반복적이거나 중대한 개인정보 침해에 대한 제재 수준을 대폭 높인 것이다.

 

고의 또는 중대한 과실로 3년 이내 같은 위반행위를 반복하거나 1000만명 이상의 대규모 피해를 발생시킨 경우, 개인정보위의 시정명령을 이행하지 않은 상태에서 개인정보 유출 사고가 발생한 경우 등에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.

 

개인정보위는 위반행위의 구체적인 내용과 정도, 발생 경위, 피해 규모와 영향 등을 종합적으로 고려해 과징금 규모를 결정한다.

 

반복적인 법 위반에 대한 과징금 가중 수준도 높아졌다. 기존에는 1회 위반 시 15%, 2회 이상 위반 시 30%를 가중했지만 앞으로는 1회 20%, 2회 40%, 3회 이상은 80%까지 가중된다.

 

개인정보 유출 사실을 법정기한 내 신고·통지하지 않고 정보주체의 피해 확산을 방지하기 위한 조치도 취하지 않은 경우에는 과징금이 추가로 가중될 수 있다.

 

다만 기업의 개인정보 보호를 위한 선제적 노력은 과징금 산정에 반영한다.

 

개인정보 보호를 위해 사고 발생 이전부터 예산·인력·설비 등에 투자하고 보호체계를 강화한 기업은 과징금 부과 기준금액의 최대 40%까지 감경받을 수 있다.

 

예산과 인력 등의 투자 규모와 지속성, 최고경영자(CEO)와 개인정보 보호책임자(CPO)의 역할, 개인정보 보호 조직과 전문인력 운영 수준, 법적 의무를 넘어선 추가 안전조치 등이 감경 판단에 반영된다.

 

다만 고의 또는 중대한 과실에 따른 위반행위는 이 같은 투자 감경 대상에서 제외된다. 단순히 보안 예산을 늘리는 것만으로 중대한 개인정보 보호 의무 위반에 따른 책임을 피하기 어렵게 한 것이다.

 

기업 경영진의 개인정보 보호 책임도 한층 무거워졌다.

 

개정법은 사업주와 대표자에게 개인정보 보호에 대한 최종 책임이 있음을 명확히 하고 CPO의 권한과 독립성을 강화했다.

 

CPO는 개인정보 보호 전문인력을 관리하고 관련 예산을 확보할 수 있는 권한을 갖게 되며 주요 개인정보 보호 사항을 이사회에 보고하는 역할도 맡는다. 일정 요건에 해당하는 개인정보처리자는 CPO를 지정·변경하거나 해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다.

 

개인정보가 실제 유출됐다고 최종 확인되기 전에도 이용자에게 위험을 알리는 ‘개인정보 유출 가능성 통지제’도 도입됐다.

 

개인정보처리자가 유출 가능성이 높다고 판단할 만한 객관적인 정황을 인지한 경우 정보주체에게 관련 사실과 피해 최소화 방법 등을 신속하게 통지하도록 한 제도다.

 

기존에는 개인정보 유출이 확인된 이후 신고·통지가 이뤄지는 경우가 많았지만 앞으로는 사고 초기부터 이용자가 비밀번호 변경이나 추가 인증 등의 대응에 나설 수 있도록 하겠다는 취지다.

 

유출 통지 내용도 강화됐다. 피해자는 유출 사실뿐 아니라 개인정보 분쟁조정 신청과 손해배상 청구 방법 등 실질적인 피해구제 절차에 대한 안내도 받을 수 있다.

 

개인정보의 위조·변조·훼손도 유출 신고·통지 대상에 포함됐다. 이에 따라 해킹을 통해 개인정보가 외부로 빠져나가지 않았더라도 랜섬웨어 공격 등으로 개인정보가 암호화되거나 훼손된 경우 신고와 통지 의무가 발생할 수 있다.

 

정부가 제재와 예방책을 동시에 강화한 배경에는 최근 잇따른 개인정보 침해 사고가 있다.

 

카카오게임즈는 지난 16일 자사 파트너스와 RINK 서비스에 대한 외부의 비정상적인 접근으로 일부 이용자의 개인정보가 유출됐다고 공지했다.

 

카카오게임즈가 확인한 개인정보 유출 피해자는 140명이다. 회사는 지난 12일 오후 10시44분부터 13일 오후 7시37분 사이 외부 공격자가 시스템 취약점을 이용해 비정상적으로 접근한 것으로 파악했다. 유출 사실은 14일 확인됐다.

 

유출 항목은 파트너스 서비스의 외부 연동용 타사 식별코드 또는 타사 아이디, RINK 서비스의 자사 식별코드와 일부 국가코드 등이다. 카카오게임즈는 비밀번호는 유출되지 않았다고 밝혔다.

 

미용의료 플랫폼 ‘강남언니’를 운영하는 힐링페이퍼에서도 이달 4일 웹사이트 일부 API에 대한 비정상적인 접근으로 개인정보 유출 사고가 발생했다.

 

확인된 피해 규모는 총 21만9665명으로, 이름과 전화번호, 이메일 주소, 생년월일, 성별, 국가·거주지역, 소셜로그인 ID와 내부 식별 ID 등의 정보가 포함됐다. 상담과 예약 과정에서 생성된 정보가 포함된 사례도 있어 사칭이나 스미싱 등 2차 피해 가능성에 대한 우려가 제기됐다.

 

글로벌 팬덤 플랫폼 ‘위버스’에서도 대규모 정보 유출 사고가 발생했다.

 

위버스컴퍼니는 지난 6일 서비스 보안 취약점을 점검하는 과정에서 계정 ID 기준 42만2584건의 개인정보가 유출된 사실을 확인했다고 밝혔다.

 

유출 항목에는 이용자 가입 과정에서 생성되는 내부 식별정보가 포함됐으며 결제수단, 결제대행사(PG)명, 통화 형태, 구매 금액과 일시, 취소 금액 및 구매 상태 등 거래 관련 정보도 함께 노출됐다.

 

위버스컴퍼니는 이름이나 연락처 등 이용자를 직접 식별할 수 있는 정보는 유출되지 않았으며 노출된 정보만으로 결제 위조나 부정 이체가 발생하기는 어렵다고 설명했다.

 

이처럼 플랫폼과 게임·콘텐츠·의료 등 국민 생활과 밀접한 분야에서 개인정보 침해 사고가 이어지면서 기업의 보안 투자가 단순한 정보기술(IT) 관리 비용을 넘어 경영 리스크 관리의 핵심 영역으로 떠오르고 있다.

 

특히 전체 매출액의 최대 10%라는 과징금 상한이 도입되면서 대규모 플랫폼과 정보통신 기업의 경우 개인정보 유출 사고가 실적과 기업가치에도 영향을 미칠 수 있는 중대한 경영 위험으로 확대될 가능성이 있다.

 

동시에 정부가 선제적인 개인정보 보호 투자에 대해 과징금 감경 제도를 마련한 만큼 기업들의 보안 인력 확충과 시스템 투자도 확대될 것으로 예상된다.

 

새 제도가 실제 개인정보 유출 사고를 줄이고 기업의 사전 예방 투자를 끌어내는 효과로 이어질 수 있을지가 향후 관건이 될 전망이다.