오늘(9월 11일)부터 개정된 개인정보 보호법과 시행령이 본격 시행됩니다. 이번 개정안의 핵심은 개인정보 유출이 확정되지 않았더라도 객관적으로 유출 가능성이 높다고 판단되면 정보주체에게 통지해야 하는 의무가 신설되었다는 점입니다. 기업들은 불법 접근이나 개인정보 불법 거래 등으로 유출이 의심되는 경우, 인지 후 72시간 이내에 관련 사실을 알려야 합니다. 이는 정보주체의 피해를 최소화하고 신속한 대응을 유도하기 위한 조치입니다.
새로운 법규에 따르면, 유출 가능성 통지는 단순한 의심이 아닌, 개인정보처리시스템 불법 접근이나 불법 거래 등으로 유출 가능성이 합리적으로 판단될 때 적용됩니다. 이때 개인정보 항목, 의심 시점과 경위, 피해 최소화 방법, 피해 구제 절차 등을 상세히 안내해야 합니다. 만약 랜섬웨어 등으로 개인정보가 위조, 변조, 훼손된 경우에도 통지 및 신고 대상에 포함됩니다. 특히, 고의나 중대한 과실로 3년 내 위반을 반복하거나 1천만 명 이상에게 대규모 피해를 발생시킨 경우, 또는 시정명령을 이행하지 않아 사고가 발생한 경우에는 전체 매출액의 최대 10%까지 과징금이 부과될 수 있습니다.
반면, 개인정보 보호를 위한 사전 투자와 신속한 대응은 과징금 감경 요인으로 작용합니다. 예산, 인력, 설비 투자뿐만 아니라 CEO와 CPO(개인정보 보호 책임자)의 실질적인 역할과 법적 의무를 넘어선 보호 조치까지 평가하여 과징금 기준금액의 최대 40%까지 감경받을 수 있습니다. 또한, 법정 기한 내 신고 및 통지를 하고 피해 확산 방지 등 회복 노력을 이행한 경우에도 최대 40% 감경 혜택이 주어집니다. 이는 기업들이 개인정보 보호에 적극적으로 투자하고 사고 발생 시 책임감 있게 대응하도록 독려하는 중요한 변화입니다.
이번 개정안은 CEO를 개인정보 보호의 최종 책임자로 명시하고, CPO의 권한을 강화하는 내용도 포함하고 있습니다. 일정 규모 이상의 기업과 기관은 CPO 지정, 변경, 해제 시 이사회 의결을 거쳐 개인정보보호위원회에 신고해야 합니다. 이는 개인정보 보호가 단순한 실무 차원을 넘어 기업 경영의 핵심적인 부분으로 인식되어야 함을 강조하는 것입니다. 2027년 12월 31일까지 계도 기간이 운영되지만, 기업들은 지금부터라도 강화된 개인정보 보호 의무에 대한 철저한 대비가 필요합니다.