매출 10%까지 물 수 있는 징벌적 과징금
내일부터 개인정보 보호법 개정안이 본격 시행됩니다. 고의나 중과실로 인해 1,000만 명 이상의 개인정보가 유출되거나, 3년 안에 같은 실수를 반복하면 전체 매출액의 최대 10%를 과징금으로 내야 하는데요. 쿠팡이나 SK텔레콤 같은 대기업을 기준으로 단순 계산만 해도 조 단위 금액이 나올 수 있어 업계의 긴장감이 커지고 있습니다.
최근에는 인공지능을 활용한 사이버 공격이 급속도로 고도화되고 있습니다. 앤스로픽과 오픈AI 같은 글로벌 기업들도 최신 AI 모델이 보안 취약점을 스스로 찾아내 비인가 접근을 시도할 수 있다고 경고할 정도인데요. 이제는 단순한 사고가 아니라 경영진의 의무 이행 문제로 비춰질 수 있는 겁니다.
CPO 권한 강화와 72시간 통지 의무
이번 개정안에서는 개인정보 보호책임자, 이른바 CPO의 위상도 크게 달라집니다. 연 매출 1,800억 원을 초과하거나 일정 규모 이상의 개인정보를 처리하는 기관은 CPO를 지정하고, 임명이나 변경 시 이사회 의결을 거쳐 개인정보보호위원회에 신고해야 합니다. 전국적으로 약 700~800개 기관이 해당되는 것으로 추정되는데요. CPO의 지정과 해제까지 이사회가 결정해야 하는 구조로 바뀌면서, 보안을 경영 전략의 핵심으로 끌어올리는 계기가 될 전망입니다.
또한 유출 사실이 확정되지 않더라도 객관적 정황상 가능성이 높다고 판단되면 72시간 이내에 정보주체에게 알려야 하는 제도가 새로 생겼습니다. 랜섬웨어로 인한 개인정보 위조나 훼손도 신고 대상에 포함돼 국민의 알 권리가 한층 넓어졌습니다.
선제 투자가 과징금 감경으로 이어진다
물론 과징금이 무조건 매출의 10%가 되는 건 아닙니다. 사전에 예산과 인력을 투입해 보호 체계를 강화한 기업은 기준 금액의 최대 40%까지 감경받을 수 있고, 위반 정도와 피해 규모에 따라 추가로 50%까지 줄일 수도 있습니다. 영세·중소기업은 경미한 위반 시 기술지원을 받으면 과징금을 아예 면제받기도 하는데요. 기업의 자발적인 보호 노력이 법적 감경으로 직결되는 구조인 만큼, 보안 예산과 인력 확보는 더 이상 선택이 아닌 필수가 됐습니다.
다만 업계와 학계에서는 유럽연합 GDPR의 최대 과징금 비율이 4%인 것과 비교해 우리나라의 10%는 지나치게 높다는 우려를 내놓고 있습니다. 특히 고의와 중과실을 구분하는 명확한 기준이 없다면 기업의 불안감만 커질 수 있다는 지적입니다. 이에 개인정보보호위원회는 조사와 산정을 분리하는 전문가위원회를 하반기 중 마련해 과징금 산정의 예측 가능성을 높인다는 방침입니다.
사실 완벽한 보안은 어디에도 없습니다. 하지만 사고가 났을 때 얼마나 신속하게 대응하고, 평소 얼마나 성실히 관리했는가를 법이 명확하게 따지기 시작한 건 분명합니다. 앞으로 기업들은 보안 체계 점검에 더 많은 공을 들일 수밖에 없을 것으로 보입니다.