한국이 개인정보보호법을 개정하여 개인정보 유출에 대한 기업의 책임을 대폭 강화했습니다. 앞으로 고의나 중대한 과실로 1천만 명 이상의 개인정보를 유출한 기업은 전체 매출의 최대 10%에 달하는 과징금을 부과받을 수 있습니다. 이는 기존 과징금 상한인 매출의 3%에서 크게 상향된 것으로, 기업들이 개인정보 보호를 단순 비용이 아닌 필수적인 예방 투자로 인식하도록 유도하려는 목적입니다.
개정된 법안은 과징금 상향과 더불어 감경 기준도 명확히 제시합니다. 유출 사고 전 개인정보 보호를 위한 투자(예산, 인력, 장비 등)와 사고 발생 후 피해 확산 방지를 위한 신속한 신고 및 이용자 통지 노력에 따라 각각 최대 40%까지 과징금을 감경받을 수 있습니다. 또한, 유출이 확정되지 않아도 개인정보 노출 가능성이 높다고 판단되면 72시간 이내에 이용자에게 통지해야 하는 의무가 신설되었습니다. 연 매출 1,800억 원 초과 기업 중 일정 규모 이상의 개인정보를 처리하는 곳은 개인정보 보호책임자(CPO) 선임, 변경, 해임 시 이사회 승인 및 개인정보보호위원회 보고가 의무화됩니다.
이러한 제도 변화는 최근 반복되는 대규모 개인정보 유출 사고에 대한 사회적 우려가 커진 데 따른 것입니다. 쿠팡(Coupang)의 경우 3,755만 명의 개인정보 유출로 6,246억 원의 과징금을 부과받았는데, 새 기준이 적용되면 과징금 규모가 수조 원대로 늘어날 수 있습니다. 이는 기업의 이익률에 심각한 영향을 미칠 수 있는 수준으로, 기업들이 개인정보 보호 시스템 구축과 보안 강화에 적극적으로 투자할 강력한 동기를 부여할 것으로 예상됩니다. 개인정보보호위원회는 이번 개정을 통해 기업들이 고객 신뢰와 기업 이익을 높이는 선제적 투자로서 개인정보 보호에 접근하기를 기대하고 있습니다.
일각에서는 '고의 또는 중대한 과실'이라는 요건이 과징금 부과의 문턱을 높일 수 있다는 의견도 있지만, 법의 취지는 기업이 개인정보 보호를 위한 최소한의 노력을 기울이지 않아 발생하는 중대한 사고에 대해 엄중한 책임을 묻겠다는 것입니다. 또한, 안전한 시스템은 존재하지 않는다는 주장도 있지만, 암호화와 같은 기본적인 보안 조치만으로도 상당수 데이터 유출 피해를 줄일 수 있으며, 제3자에게 지속적으로 피해 위험을 떠넘기는 사업 모델은 지양해야 한다는 목소리도 나옵니다. 이번 법 개정은 한국 기업뿐 아니라 한국에서 사업하는 글로벌 기업에도 적용될 수 있어, 전반적인 데이터 보안 수준 향상에 기여할 것으로 보입니다.