[블랙엣지뉴스=강호림 기자] 개인정보보호위원회(위원장 송경희)가 오는 9월 시행되는 개정 「개인정보 보호법」의 후속 조치로 시행령 개정안 두 건을 동시에 입법예고했다. 하나는 유출 사전예방 강화를, 다른 하나는 과징금 등 제재 실효성 강화를 각각 담고 있다. 두 개정안 모두 6월 1일부터 7월 13일까지 의견 수렴을 거친다.

개인정보 보호책임자, 이사회 의결 거쳐 개인정보위에 신고해야

사전예방 강화 시행령에는 개인정보 보호책임자(CPO)의 독립성 강화 방안이 담겼다. 일정 규모 이상의 개인정보처리자는 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거치고 개인정보위에 신고해야 한다. 의무 대상은 현행 전문 CPO 지정 의무 대상과 동일하게 ▲연 매출액·수입 1,800억 원 이상이면서 5만 명 이상 민감·고유식별정보 또는 100만 명 이상 개인정보처리자 ▲재학생 수 2만 명 이상인 대학 ▲상급종합병원 ▲공공시스템운영기관 등이다. 신고는 의무 발생일로부터 1개월 이내에 해야 한다.

ISMS-P 인증 의무 대상 구체화…2028년까지 인증 완료

개인정보 보호 인증(ISMS-P) 의무 대상도 구체화됐다. ▲공공시스템운영기관 중 개인정보위가 고시하는 자 ▲이동통신사업자 ▲본인확인기관 ▲전년도 매출액 1조 원 이상이고 정보통신서비스 부문 매출액 100억 원 이상이며 일일평균 국내 정보주체 수가 3,000만 명 이상인 자는 2028년 12월 31일까지 ISMS-P 인증을 받아야 한다.

유출 가능성 단계부터 72시간 내 통지 의무화

유출 통지 의무도 강화됐다. 개인정보처리시스템에 대한 불법 접근을 알게 됐거나 개인정보가 불법으로 거래·유통되고 있음을 알게 된 때에는 72시간 이내에 정보주체에게 통지해야 한다. 기존 분실·도난·유출뿐 아니라 위조·변조·훼손의 경우에도 통지·신고 의무가 부과된다. 경미한 위반에 대한 경고 처분도 향후 동일 위반 재발 시 가중 횟수에 반영된다.

반복·중대 위반 시 매출액 최대 10% 과징금…세부 기준 마련

제재 실효성 강화 시행령은 징벌적 과징금의 구체적인 산정 기준을 담았다. ▲고의·중과실로 3년 내 위반 반복 ▲고의·중과실로 1,000만 명 이상 피해 발생 ▲시정명령 불이행 상태에서 유출 발생 중 하나에 해당하면 위반행위의 내용·경위·피해 규모 등을 종합 고려해 기준금액을 산정하고, 이후 가중·감경을 거쳐 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.

사전 보호 투자 기업엔 최대 40% 감경…고의·중과실은 제외

반면 개인정보 보호를 위한 예산·인력·설비·장치 투자 규모와 지속성, CPO와 경영진의 역할, 안전성 확보를 위한 추가 노력 등이 인정되면 과징금을 최대 40%까지 감경할 수 있다. 다만 고의 또는 중대한 과실로 위반한 경우는 감경 대상에서 제외된다. 영세·중소기업의 경미한 위반행위 시정에 대한 과징금 면제 요건도 함께 정비됐다.

개인정보위는 두 개정안 모두 9월 11일 법 시행일에 맞춰 시행될 수 있도록 입법예고 기간 중 이해관계자 의견을 수렴하고 법제처 심사 등 절차를 신속히 진행할 계획이다. 개정안 전문은 개인정보위 홈페이지(www.pipc.go.kr) 공지사항에서 확인할 수 있으며, 의견은 국민참여입법센터(http://opinion.lawmaking.go.kr) 또는 전자우편으로 제출하면 된다.

감사·내부통제 전문지 BLACK EDGE / 강호림 기자