700~800명 지정CPO들 '권한' 강화...CEO는 '책임' 강화
현행 법상 기업 및 기관이 의무적으로 두게 돼 있는 700~800명 추정 지정 CPO들의 권한과 책임이 11일부터 대폭 강화된다. 또 해킹에 따른 개인정보보호 책임과 관리체계 강화 차원에서 사업주와 대표자(CEO)의 최종 책임을 법으로 명확히 했다. 특히 기업 및 기관의 사전예방 투자에는 인센티브를 주고, 개인정보 유출 가능성 통지제도를 처음으로 도입하는 한편 유출통지 항목 및 대상도 확대한다. 이 같은 내용을 담은 개인정보보호법, 시행령, 고시가 내일(11일)부터 발효한다. 앞서 지난 3월 개정한 '개인정보 보호법'과 위임사항을 구체화한 개정 '개인정보 보호법 시행령을 이날부터 시행하는 것이다 이와 관련, 10일 기자브리핑을 한 양청삼 개인정보위 사무처장은 "국민 일상생활과 밀접한 분야에서 최근 대규모 개인정보 유출사고가 연이어 발생하면서 국민들의 불안과 우려가 지속되고 있어 새로운 법과 시행령을 마련했다"고 밝혔다. 이번 개정법에 따르면, 개인정보 유출에 엄정 대응하고 선제 예방 투자를 촉진하기 위해 ▲반복적이거나 고의·중과실로 인한 개인정보 유출에 대해 징벌적 과징금(전체 매출액 10% 이내)을 도입하고 ▲사전 예방적 개인정보 보호 투자와 연계한 과징금 의무 감경제를 도입했다. 또 개인정보 보호 책임과 관리체계를 강화하기 위해 ▲사업주·대표자(이하 'CEO')의 최종책임을 명시하고 ▲개인정보 보호책임자(이하 'CPO')의 직무권한을 강화(전문인력 관리·예산 확보, 이사회 보고 의무)했으며 ▲개인정보처리자의 CPO 지정·변경·해제 시 이사회 의결 및 신고를 의무화했다. 아울러, 정보주체의 피해구제를 강화하기 위해 ▲개인정보 유출 가능성 통지제를 신설하고 ▲유출통지 항목(분쟁조정 신청, 손해배상 청구 방법도 통지)을 확대했으며 ▲개인정보의 위조·변조·훼손(랜섬웨어 등)도 유출신고·통지 대상에 포함했다. 특히 법 개정을 통해 공공·민간 부문 중요 개인정보처리자에 대해 개인정보 보호(ISMS-P) 인증을 의무화하는 내용도 포함했다. 단, 이 개정 규정은 ISMS-P 인증 취득을 위한 기업·기관의 예산 확보에 소요되는 기간을 고려, 내년 7월 1일부터 시행한다. 법 개정과 함께 마련한 이번 시행령 개정안은 ▲과징금 부과 기준과 절차 ▲선제적 예방투자에 대한 과징금 감경기준 ▲CPO 지정·변경·해제 시 이사회 의결 및 신고가 의무화되는 대상 기준과 신고 방법 ▲개인정보 유출 가능성 통지 요건·절차 등 개정법에서 위임한 사항을 구체화했다. 개정시행령 및 고시 세부 내용은 다음과 같다. 개인정보 보호책임자(CPO) 권한·책임과 독립성 강화 법 개정으로 CPO를 지정·변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고해야 하는 의무를 신설했다. 또 의무 부여 대상 기준을 시행령 개정으로 구체화했다. 이와함께 주요 개인정보처리자를 중심으로 CPO 권한과 책임을 높이기 위해, 이사회 의결·신고 의무 대상은 현행법상 전문 CPO 지정 의무 대상과 동일하게 했다. 개인정보위는 "현행법상 전문 CPO 지정 의무 대상은 700~800곳으로 추정된다"고 이날 밝혔다. 지정 의무 대상은 크게 4가지로 ▲연 매출액 또는 수입이 1800억 원을 초과하면서 5만 명 이상의 민감정보·고유식별정보 또는 100만 명 이상의 개인정보를 처리하는 자 ▲재학생 수 2만 명 이상인 대학 ▲상급 종합병원 ▲공공시스템운영기관(시행령 제30조의2제1항에 따른 주요 공공시스템을 운영하는 기관) 등이다 이들 신고 대상 개인정보처리자는 법 시행 이후 CPO를 지정·변경·해제하려는 경우 이사회 의결을 거쳐야 한다. 또 신고 사유가 발생한 날로부터 6개월 이내에 개인정보위에 신고서를 제출해야 한다. 법 시행 전에 지정한 CPO에 대해서는 별도 이사회 의결을 거치지 않아도 되며, 법 시행일(9.11.)부터 6개월 이내 개인정보위에 신고해야 한다. 다만, 경영상 이유로 이사회 소집이 어려운 경우 등 부득이한 사유가 있다고 개인정보위가 인정하는 경우에는 개인정보처리자의 요청에 따라 최대 1년까지 신고 기간을 연장할 수 있다. 또 기존 'CPO 경력 인정에 관한 고시'를 개정해 CPO 지정‧변경‧해제 신고서를 마련하고 신고 절차를 구체화했다. CPO 지정 신고 방법은 개인정보 포털 'privacy.go.kr'에 접속 후 '기업‧공공 서비스'메뉴의 'CPO 신고'를 선택해 신고 항목을 입력하고 증빙자료를 첨부하는 등 신고 절차를 하면 된다. 개인정보위는 신규 CPO 제도 도입에 따른 대상기관의 부담을 완화하고 제도의 안정적 정착을 도모하기 위해 내년 12월 31일까지 계도기간을 운영할 예정이다. 계도기간 중에는 ▲CPO 미지정 ▲CPO 자격요건 미비 ▲이사회 의결 의무 위반 ▲신고 해태 등 법령 위반에 대해 과태료를 부과하지않는다. 아울러, 제도 시행 초기 현장 적용성을 강화하고 대상기관이 의무를 준수할 수 있게 CPO 제도 전반에 대한 설명과 신고 방법, 주요 FAQ를 담은 'CPO 지정‧신고 실무 매뉴얼'을 마련해 공개하는 한편 한국CPO협의회 등 유관 협회와 협업해 현장 안내를 지속할 계획이다. 반복적·중대한 개인정보 유출에는 엄정 대응하고, 예방 노력은 적극 반영 반복적이거나 중대한 개인정보 침해행위에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 한 과징금 특례가 시행됨에 따라 과징금 부과·감경 절차와 기준 등 세부사항을 구체화했다. ▲고의·중과실로 3년 내 위반행위를 반복하거나 ▲고의·중과실로 1천만명 이상의 대규모 피해를 발생시킨 경우 ▲시정명령을 이행하지 않아 개인정보 유출사고가 발생하는 등 개정법 제64조의2제2항 각 호의 어느 하나에 해당하는 경우, 위반행위 내용·정도와 경위 및 정보주체 피해규모 등을 종합 고려해 기준금액을 산정하고, 이후 가중·감경 등을 통해 전체 매출액의 10% 이내에서 부과 과징금을 산정할 수 있도록 체계적 절차를 마련했다. 또 개인정보 보호를 위해 사전에 적극 투자하고 보호체계를 강화한 노력은 과징금 산정 과정에서 충분히 반영하고 ▲개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모·비율과 지속성 및 증가 정도와 ▲CEO·CPO 및 전문인력 등 개인정보 보호체계의 내용과 수준 ▲법상 의무사항 이외의 안전성 확보조치에 관한 추가적 노력 등을 고려, 과징금 부과 기준금액의 40% 범위에서 감경할 수 있게 했다. 과징금 감경 시 고려사항 등 제도와 관련한 주요 사항에 대해 '과징금 투자 감경제도 안내서'를 발간해 새롭게 시행하는 제도가 현장에서 제대로 안착할 수 있게 했다. 안내서는 개인정보위 누리집에서 내려받기가 가능하다. 한편, 기존 과징금 가중·감경 체계도 사전 예방과 사후 신속 대응을 중심으로 변화를 줬다. 우선 반복 위반에 대해서는 가중 비율을 상향, 제재를 강화하는 한편 유출 등 신고와 통지를 법정기한 내에 이행하지 않고 정보주체의 피해 확산 방지 조치도 하지 않는 경우 과징금을 가중(최대 30%)했다. 즉 현재는 1회(+15%), 2회이상(+30%)인데 이를 개정해 (1회)+20%, (2회)+40%, (3회이상)+80%로 높였다. 투자감경 도입과 함께 ISMS-P 인증, 자율규약 등 개인정보 보호 노력에 대한 과징금 감경 비율을 조정해 현실화하는 한편, 높은 수준의 개인정보 관리 책임성이 요구되는 주요 공공기관에 대해서는 업무 형태·규모에 따른 과징금 감경을 하지 않도록 명확히 규정했다. (현행) ISMS-P(최대 50%), 자율규약(최대 40%), 보호수준 평가등 (최대 30%) → (개정) ISMS-P(최대 30%), 자율규약(최대 20%), 보호수준 평가등 (최대 15%) 아울러, 사전 예방 뿐만 아니라 사후 신속 대응 노력도 과징금 감경에 반영한다. 사고 발생에 대비한 대응 체계를 구축·운영하고, 사고 시 조기 탐지, 신속 신고·통지 및 피해 확산 방지 조치를 이행하는 등 안전한 개인정보 보호체계로 신속하게 회복·개선한 경우 과징금을 감경(최대 40%)한다. 부과 과징금 결정 시 위반행위의 구체적인 내용, 정도와 피해규모 및 영향 등을 고려해 추가적으로 감경(최대 50%)할 수 있게 하는 등 비례성을 강화하고, 영세·중소기업 등의 경미한 위반에 대해서는 기술지원을 받아 시정하는 경우에도 과징금을 면제할 수 있게 해 처분 부담을 경감했다. 개인정보 유출 가능성 단계부터 국민에게 신속히 통지 개인정보 유출에 따른 국민 피해를 최소화하기 위해 유출 사실이 최종적으로 확인되기 전이라도 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우에는 정보주체에게 이를 통지하도록 하는 유출 가능성 통지제를 도입, 요건·절차·항목 등을 구체적으로 마련했다. ▲개인정보처리시스템, 개인정보취급자가 이용하는 기기에 불법적인 접근이 발생해 개인정보 유출 등이 의심되나 정보주체를 특정하기 곤란한 경우 ▲개인정보가 불법적으로 거래되는 등 일부 개인정보 유출이 확인돼 다른 정보주체의 개인정보도 유출 가능성이 있다고 인정되는 경우 해당 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지(개인정보 항목, 의심시점 및 경위, 피해최소화 방법, 피해구제절차, 피해신고 연락처, 유출 등 확정시 추가통지하겠다는 사실 등)해야 한다. 이 때 통지 항목은 유출 등 통지에 준하는 수준으로 알려야 한다. 또 유출 등 사고 시 대응 및 국민 피해구제가 보다 신속히 이루어질 수 있게 법 개정사항을 반영하고 구체적 기준 및 사례 안내 등을 보강해 '개인정보 유출 등 대응 안내서'를 개정했다. 대응 안내서는 개인정보위 누리집의 정책‧법령->법령정보->안내서에서 내려받기가 가능하다. 송경희 개인정보위 위원장은 “이번 개정법과 시행령 시행을 계기로 사전예방 중심의 개인정보 보호, 강화된 안전관리 체계가 확립되고, 개인정보 보호를 위한 투자를 '비용'이 아니라 고객 신뢰 확보와 기업 이익 확대를 위한 '선제적 투자'로 인식이 전환될 것으로 기대한다”고 밝혔다. 이어 " 개정법령 시행을 통해 개인정보 유출 등 침해에 대한 기업·기관의 책임이 강화되고, 국민들은 개인정보 유출 위험을 보다 신속하게 안내받을 수 있게 된다"면서 "아울러 개인정보 보호 사전예방 투자와 연계한 과징금 감경제 도입, CEO·CPO 책임 강화를 통해 개인정보처리자의 상시적인 개인정보 안전관리 체계가 정착될 수 있을 것으로 기대한다"고 덧붙였다. 한편 개인정보위는 새로 시행하는 제도가 현장에서 안정적으로 운영되고 기업·기관과 국민이 쉽게 이해할 수 있게 지속적으로 안내할 계획이다.
