11일부터 시행되는 개정 개인정보보호법, 뭐가 달라지나?

내일(11일)부터 개정된 ‘개인정보보호법’이 시행된다. 이제 기업은 개인정보 유출이 확정될 때까지 기다렸다가 이용자에게 알릴 여유가 없다. 개인정보 유출 가능성이 높다고 합리적으로 판단되는 사실을 알게 되면 그때부터 72시간 안에 이를 통지해야 한다. 또 고의나 중대한 과실로 개인정보 침해를 반복하거나 1000만명 이상에게 피해를 일으키면 전체 매출액의 최대 10%까지 과징금을 물게 될 수 있다.

개인정보보호위원회(이하 개인정보위)는 개인정보 유출 사전 예방과 피해구제를 강화하는 내용의 개정 개인정보보호법과 시행령, 고시를 11일부터 시행한다고 10일 밝혔다. 이번 개정은 사고가 발생한 뒤 제재하는 데 그치지 않고 유출 가능성을 확인한 초기 단계부터 기업이 대응하도록 책임 범위를 넓힌 것이 특징이다. 개인정보 보호에 사전에 투자한 기업에는 과징금을 감경하는 제도도 함께 도입한다.

유출 확정 안 돼도 72시간 안에 알려야

기업이 가장 먼저 체감할 변화는 ‘개인정보 유출 가능성 통지제’다. 기존에는 개인정보가 실제로 분실·도난·유출됐다는 사실을 알게 된 뒤 이용자에게 통지했다. 앞으로는 유출 사실이 최종적으로 확인되지 않았더라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되면 이용자에게 이를 알려야 한다.

개인정보처리시스템이나 개인정보취급자가 사용하는 기기에 불법적인 접근이 발생해 개인정보 유출이 의심되지만 피해자를 특정하기 어려운 경우가 해당되는 대표 사례다. 일부 개인정보가 불법적으로 거래되는 사실이 확인돼 다른 이용자의 개인정보까지 유출됐을 가능성이 있다고 인정되는 경우도 대상이다. 기업·기관은 이런 사실을 알게 된 시점부터 72시간 이내에 정보주체에게 통지해야 한다.

통지 내용도 구체화했다. 기업은 유출이 의심되는 개인정보 항목과 의심 시점·경위, 피해를 줄일 수 있는 방법, 피해구제 절차, 피해 신고 연락처를 알려야 한다. 향후 실제 유출이 확인되면 추가로 통지한다는 사실도 포함해야 한다.

유출 가능성을 인지한 후 72시간 안에(또는 통지 기한 내에) 실제 유출이 확인됐다면 별도의 ‘유출 가능성 통지’ 없이 실제 유출 통지를 하면 된다. 반대로 조사 결과 개인정보가 유출되지 않은 것으로 확인되면 이용자의 혼란을 줄이기 위해 정정 통지를 해야 한다. 부득이한 사유로 72시간 안에 통지하기 어려웠다면 해당 사유가 해소된 뒤 즉시 알려야 한다.

기업 입장에서는 침해사고 대응의 기준점이 달라지는 것이다. 이전처럼 유출 범위와 피해자를 모두 확인한 뒤 통지를 검토하는 방식으로는 72시간을 맞추기 어려울 수 있다. 불법 접근이나 유출 정황을 처음 확인한 시점부터 보안 조직과 개인정보 보호 조직이 유출 가능성을 판단할 수 있는 절차가 필요하다.

랜섬웨어로 개인정보 훼손돼도 신고·통지

통지·신고 대상이 되는 사고의 범위도 넓어진다. 기존에는 개인정보의 분실·도난·유출이 대상이었다. 11일부터는 개인정보의 위조·변조·훼손까지 포함한다. 랜섬웨어 공격으로 개인정보가 암호화되거나 훼손되는 경우도 신고·통지 대상이 될 수 있다.

이용자에게 알려야 할 피해구제 방법도 늘어난다. 기존 피해 최소화 방법과 피해구제 절차에 더해 손해배상 청구와 분쟁조정 신청 등 법적 피해구제 절차를 안내해야 한다.

사고가 발생한 뒤 기업이 해야 할 조치도 구체화했다. 피해 최소화 대책을 세우는 데 그치지 않고 유출된 개인정보를 회수하거나 삭제하는 등 피해 확산을 막기 위한 조치를 해야 한다.

반복·대규모 유출 시 매출액 최대 10% 과징금

개인정보 침해가 반복되거나 피해 규모가 큰 경우 물어야 하는 과징금도 대폭 높아졌다. 기존 과징금은 전체 매출액의 3% 이하였지만, 11일부터는 고의·중과실로 위반을 반복하거나 1000만명 이상에게 피해를 일으키는 등 일정 요건에 해당하면 전체 매출액의 최대 10%까지 부과할 수 있다. 단, 모든 개인정보 유출 사고에 10%가 적용되는 것은 아니다.

우선 고의나 중대한 과실로 최근 3년 안에 위반행위를 반복한 경우가 해당한다. 고의·중과실로 1000만명 이상에게 대규모 피해를 일으킨 경우도 대상이다. 개인정보위의 시정명령을 이행하지 않아 개인정보 유출사고가 발생한 경우 등도 과징금 특례를 적용할 수 있다.

개인정보위는 위반행위의 내용과 정도, 발생 경위, 피해 규모 등을 종합적으로 살펴 기준금액을 정한다. 이후 가중·감경 절차를 거쳐 전체 매출액의 10% 안에서 최종 과징금을 결정한다. 고의나 중대한 과실에 해당하는지는 개인정보위가 사건 조사 과정에서 위반행위의 내용과 정도, 발생 경위, 피해 규모 등을 종합적으로 살펴 판단한다.

반복 위반에 대한 과징금 가중률도 높인다. 과징금 기준금액에 적용하는 가중률은 기존 1회 15%, 2회 이상 30%에서 앞으로 1회 20%, 2회 40%, 3회 이상 80%로 올라간다.

사고 뒤 대응도 과징금에 영향을 미친다. 유출 신고·통지를 법정기한 안에 하지 않고 이용자 피해 확산을 막기 위한 조치까지 하지 않았다면 과징금을 최대 30% 가중할 수 있다. 사고 발생 자체뿐 아니라 기업이 사고를 인지한 뒤 얼마나 빨리 움직였는지도 제재 수준을 결정하는 요소가 된다.

미리 보안에 투자하면 최대 40% 감경

제재가 강해지는 대신 개인정보보호에 미리 투자한 기업에는 과징금 감경 제도를 적용한다.

개인정보위는 위반행위가 발생하기 전 3개 사업연도 범위에서 개인정보 보호 관련 예산과 인력, 설비·장치에 얼마나 투자했는지 살펴본다. 일회성 투자가 아닌지, 투자를 지속했는지, 투자 규모가 얼마나 늘었는지도 판단한다. 다만 고의나 중대한 과실로 발생한 위반행위는 투자 감경 대상에서 제외한다.

최고경영자(CEO)와 개인정보 보호책임자(CPO)의 역할도 평가한다. CEO가 개인정보 보호를 위한 실질적인 관리체계를 만들었는지, CPO가 업무를 제대로 수행할 수 있는 권한을 부여받았는지 등을 살펴본다. CPO가 기업의 최상위 의사결정기구에 참여하는지도 고려 대상이다.

법에서 정한 수준을 넘어 추가 보안조치를 한 경우도 감경 요소다. 개인정보위는 ▲계정·접근권한 통합 관리 ▲안전한 인증수단 확대 ▲공격표면 관리와 취약점 점검 ▲법적 의무 대상 이외 개인정보 추가 암호화 ▲하드웨어 보안모듈(HSM)을 활용한 암호키 보호 ▲로그 실시간 통합 관리 ▲소프트웨어 구성명세서(SBOM) 기록·현행화 등을 사례로 제시했다.

이런 사전 투자와 보호체계를 갖춘 경우 과징금 기준금액을 최대 40% 감경할 수 있다. 사고 이후 빠르게 대응한 경우도 최대 40% 감경 대상이 된다. 사고 대응 체계를 평소 구축·운영하고 실제 사고가 발생했을 때 조기에 탐지하거나 신속히 신고·통지한 경우다. 피해 확산을 막고 개인정보 보호체계를 빠르게 복구하거나 개선한 노력도 평가한다.

기존 감경 제도는 일부 조정된다. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증에 따른 감경률은 기존 최대 50%에서 최대 30%로 낮아진다. 자율규약은 최대 40%에서 20%, 보호수준 평가 등은 최대 30%에서 15%로 줄어든다.

CPO 지정·변경, 이사회 의결 거쳐 신고

기업의 개인정보 보호를 책임지는 최고개인정보보호책임자(CPO)의 권한과 책임도 강화한다. 일정 규모 이상의 개인정보처리자는 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다. 적용 대상은 기존 전문 CPO 지정 의무 대상과 같다.

민간기업은 연 매출액 또는 수입이 1800억원을 초과하면서, 100만명 이상의 개인정보를 처리하거나 5만명 이상의 민감정보·고유식별정보를 처리하는 경우가 대상이다.

재학생이 2만명 이상인 대학, 상급종합병원, 주요 공공시스템을 운영하는 기관도 포함된다.

전문 CPO는 개인정보 보호·정보보호·정보기술 관련 경력을 합쳐 4년 이상 갖춰야 한다. 이 가운데 개인정보 보호 관련 경력은 2년 이상이어야 한다.

법 시행 이후 CPO를 새로 지정하거나 변경·해제하면 이사회 의결을 거친 뒤 사유가 발생한 날부터 6개월 안에 개인정보위에 신고해야 한다.

11일 이전부터 CPO를 두고 있던 기업은 다시 이사회 의결을 할 필요는 없다. 다만 시행일부터 6개월 안에는 개인정보위에 신고해야 한다. 부득이한 사유를 개인정보위가 인정하면 기업의 요청에 따라 신고 기간을 최대 1년까지 연장할 수 있다.

개인정보위는 제도가 처음 도입되는 점을 고려해 2027년 12월 31일까지 계도기간을 운영한다. 이 기간에는 CPO 미지정이나 자격요건 미비, 이사회 의결 의무 위반, 신고 지연 등에 과태료를 부과하지 않는다.

ISMS-P 의무화는 2027년 7월부터

이번 법 개정에는 공공·민간의 중요 개인정보처리자가 ISMS-P 인증을 의무적으로 받도록 하는 내용도 포함됐다.

다만 이 규정은 9월 11일부터 바로 적용되지 않는다. 기업과 기관이 인증을 준비하고 관련 예산을 확보할 시간을 고려해 내년(2027년) 7월 1일부터 시행한다. 구체적인 적용 대상 등을 정하는 시행령도 그 전에 별도로 개정할 예정이다.

이번 개정으로 기업의 개인정보 사고 대응 시점은 한층 앞당겨진다. 유출이 확정될 때까지 기다리는 것이 아니라 불법 접근이나 유출 정황을 발견한 초기 단계부터 통지 여부를 판단해야 한다.

송경희 개인정보위 위원장은 “이번 개정법령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립될 것”이라며 “개인정보 보호를 위한 투자를 비용이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 선제적 투자로 인식이 전환될 것으로 기대한다”고 강조했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network