앞으로 기업들은 개인정보 유출 시 연 매출의 최대 10%에 달하는 과징금을 물게 됩니다. 개인정보보호위원회(PIPC)는 개정된 개인정보 보호법 시행령에 따라, 고의 또는 중대한 과실로 1천만 명 이상의 개인정보를 유출한 기업에 대한 과징금 상한을 기존 매출의 3%에서 10%로 대폭 상향한다고 밝혔습니다. 이는 기업들이 개인정보 보호를 단순한 비용이 아닌, 고객 신뢰를 구축하고 기업 이익을 확대하는 사전 예방적 투자로 인식하도록 유도하기 위함입니다.
새로운 규정은 반복적인 위반이나 시정 명령 불이행 후 유출이 발생한 경우에 적용되며, 과징금은 위반의 성격, 심각성, 피해 규모 등을 종합적으로 고려하여 산정됩니다. 예를 들어, 과거 쿠팡의 3,755만 명 개인정보 유출 사례에 새로운 기준을 적용할 경우, 과징금 규모가 수조 원대에 달할 수 있습니다. 또한, 유출이 확정되지 않았더라도 개인정보 노출 위험이 높다고 판단되면 72시간 이내에 사용자에게 통보해야 하는 '잠재적 유출 통보 시스템'도 도입됩니다. 랜섬웨어 등으로 인한 데이터 위변조나 손상도 동일한 보고 및 통보 의무를 가집니다.
이번 개정안은 기업의 개인정보 보호 투자를 장려하는 인센티브도 포함합니다. 데이터 보호 예산, 인력, 장비 투자 및 최고 개인정보보호책임자(CPO)를 포함한 보호 시스템을 잘 갖춘 기업은 과징금을 최대 40%까지 감경받을 수 있습니다. 유출을 조기에 감지하고 신속하게 보고 및 통보하여 피해 확산을 막은 경우에도 최대 40% 감경 혜택이 주어집니다. 연 매출 1,800억 원 이상이면서 100만 명 이상의 개인정보를 처리하는 기업 등은 CPO 임명, 변경, 해임 시 이사회 승인을 받고 PIPC에 보고해야 하는 등 CPO의 권한과 책임도 강화됩니다.
이러한 변화는 기업들에게 개인정보 보호를 위한 선제적 투자의 중요성을 강조하며, 단순한 규제 준수를 넘어 기업의 핵심 가치로 자리매김하게 할 것입니다. 특히 대규모 데이터를 다루는 이커머스, 통신, 금융 등 주요 산업 분야 기업들은 더욱 엄격한 책임감을 가지고 개인정보 보호 시스템을 강화해야 할 것입니다. 궁극적으로는 사용자들의 개인정보 보호에 대한 신뢰를 높이고, 안전한 디지털 환경을 조성하는 데 기여할 것으로 기대됩니다.