개인정보 대량유출 과징금, 매출의 10%까지 — 9월 11일부터 달라지는 기업 책임

내일부터 과징금 상한이 3배 넘게 뜁니다

아무 유출에나 걸리는 것은 아닙니다

10% 과징금이 실제로 부과되는 경우는 법이 정한 세 가지 상황으로 좁혀져 있습니다. ① 고의 또는 중대한 과실로 3년 이내에 반복적으로 법을 위반한 경우, ② 고의 또는 중대한 과실로 1,000만 명 이상의 대규모 피해가 발생한 경우, ③ 개인정보보호위원회의 시정조치 명령을 따르지 않아 유출이 발생한 경우입니다. 실수로 한 번 유출 사고를 낸 중소기업이 곧바로 매출의 10%를 물어내는 구조는 아니라는 뜻입니다.

'중대한 과실'은 구체적으로 무엇을 뜻하나

과징금 최고 상한이 걸리는 기준에 "중대한 과실"이라는 표현이 두 차례나 들어가는데, 이 판단은 사안마다 개인정보보호위원회의 심의를 거쳐 정해집니다. 다만 그동안의 처분 사례를 보면 암호화 등 기본적인 안전조치를 하지 않았거나, 이미 알려진 보안 취약점을 방치했거나, 접근권한 관리를 소홀히 한 경우가 중대한 과실로 인정되는 경향을 보여 왔습니다. 반대로 알려지지 않은 방식의 공격을 받았거나 통상적인 보안 수준을 갖추고도 뚫린 경우라면 같은 유출이라도 평가가 달라질 수 있습니다.

투자를 많이 한 기업은 감경받습니다

같은 유출 사고라도 평소에 개인정보 보호를 위한 예산·인력·설비에 투자한 이력이 있는 기업은 과징금을 최대 40%까지 깎아줍니다. 반대로 말하면 개인정보보호 담당 인력을 두지 않고 관련 투자를 하지 않은 회사일수록 사고가 났을 때 감경받을 근거가 없어 상한에 가까운 과징금을 맞을 가능성이 커진다는 뜻이기도 합니다.

이용자 입장에서는 무엇이 달라지나

과징금이 커진다고 이용자가 유출 피해를 직접 배상받는 절차가 새로 생기는 것은 아닙니다. 다만 과징금 재원 일부가 국민 피해구제 목적으로 쓰이도록 설계돼 있어, 대규모 유출 사고가 났을 때 정부 차원의 피해구제 재원이 이전보다 두터워지는 효과는 기대할 수 있습니다. 개별 피해자가 손해배상을 받으려면 여전히 별도로 유출 통지를 받은 뒤의 확인·차단·보상 청구 절차를 그대로 밟아야 합니다.

기업이 지금 점검해야 할 것

과징금 상한이 뛴 만큼 기업 입장에서는 시정조치 명령을 받았을 때 기한 안에 이행했는지 기록을 남기는 것이 특히 중요해집니다. 세 번째 부과 사유가 "시정조치 명령 불이행으로 인한 유출"이기 때문에, 명령을 받고도 대응이 늦어지는 것 자체가 최고 수준 과징금으로 이어질 수 있는 구조입니다. 개인정보 보호 담당자를 지정하고 접근권한 관리, 암호화, 정기 점검 이력을 문서로 남겨두는 기본적인 조치가 감경 사유를 만드는 첫걸음입니다.

내 정보가 이미 유출된 적이 있다면

이번 개정은 앞으로 발생하는 유출에 적용되는 제재 강화이지, 과거에 이미 일어난 유출 건에 소급 적용되지는 않습니다. 최근 몇 년 새 유출 통지를 받은 적이 있다면 주민등록번호 변경이나 개인정보 열람·삭제 청구 같은 개인 차원의 대응 절차는 이번 개정과 무관하게 지금도 그대로 이용할 수 있다는 점을 기억해두는 것이 좋습니다.

정리하면

과징금 상한 10%는 "아무 때나 매출의 10%를 뗀다"는 뜻이 아니라, 반복 위반·대규모 피해·시정명령 불이행이라는 세 가지 중대 사안에 대한 상한선이 오른 것입니다. 기업은 평소 투자 이력을 남겨 감경 근거를 확보하는 것이 핵심이고, 개인은 과징금 강화와 별개로 기존의 유출 통지·삭제청구 절차를 그대로 활용하면 됩니다. 구체적인 위반 여부 판단과 감경 비율은 사안별로 개인정보보호위원회의 심의를 거쳐 정해지므로, 실제 처분을 받은 경우라면 전문가 자문을 받는 것이 안전합니다.