대형 개인정보 유출이 반복되자 정부가 과징금과 경영진 책임을 동시에 끌어올렸다. 처벌 강화와 예방투자 유인을 결합해 기업의 보안 대응을 사후 수습에서 선제 대응으로 바꾸겠다는 것이다.
◇잇단 대형 유출…'사후 처벌' 한계에 규제 대수술
개인정보 보호법을 대폭 손질한 배경에는 연이은 유출 사고가 있다. 개인정보위에 접수된 개인정보 유출 신고는 2021년 163건에서 지난해 447건으로 4년 만에 2.7배 증가했다. 특히 해킹에 따른 신고는 같은 기간 55건에서 276건으로 약 5배 늘었다. 업무과실에 따른 신고가 60건에서 110건으로 증가한 것과 비교하면 외부 공격에 따른 유출 증가세가 두드러진다.
대규모 유출 사고도 통신·플랫폼·금융 등 여러 업종에서 잇따라 발생했다. SK텔레콤, KT, LG유플러스 등 주요 통신사에서 잇달아 개인정보 유출 사고가 발생했고 쿠팡, 롯데카드 등 대규모 개인정보를 수집·처리하는 기업에서도 사고가 이어졌다.
올해도 상황은 달라지지 않았다. 지난 6월 온라인동영상서비스(OTT) 티빙에서는 침해사고로 활성·휴면·탈퇴 계정 등을 포함해 중복 기준 3954만개 계정 정보가 외부로 유출됐다.
이에 개인정보위의 조사 부담도 커지고 있다. 유출 신고가 빠르게 늘면서 사고조사 수요가 증가했지만 처리 속도는 이를 따라가지 못했다. 의결이 완료된 사건의 평균 조사기간은 최근 5년간 200일을 웃돌았다. 신고부터 최종 처분까지는 평균 490.6일이 걸리는 것으로 조사됐다.
정부는 처벌 수위를 높이는 것만으로는 반복되는 사고를 막기 어렵다고 판단했다. 이에 기업이 사고를 숨기거나 늦게 알리는 대신 이상 징후를 조기에 알리고, 사고가 나기 전부터 보안 체계를 강화하도록 제도적 유인을 마련하는 방향으로 법을 손질했다.
◇최대 매출 10% 과징금…예방투자엔 감경 '당근'
가장 강력해진 것은 과징금이다. 개정법은 반복적이거나 중대한 개인정보 침해행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 기존 과징금 상한은 전체 매출액의 3%였다. 최근 3년간 고의 또는 중대한 과실로 위반행위를 반복하거나, 고의·중과실로 1000만명 이상 대규모 피해를 초래한 경우, 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우 등이 적용 대상이다.
처벌 수위만 높인 것은 아니다. 개인정보 보호를 위해 선제적으로 투자한 기업에는 과징금을 감경하는 인센티브도 함께 마련했다.
개인정보 보호 관련 예산·인력·설비·장치 등에 투자하고 관리체계를 운영한 정도를 과징금 산정 때 반영하도록 한 것이다. 고의 또는 중대한 과실로 위반한 경우는 감경 대상에서 제외된다.
개인정보위가 지난 6월 입법예고한 시행령 개정안은 투자 감경 기준을 더 구체화했다. 투자 규모와 지속성, 대표자와 개인정보 보호책임자(CPO)의 역할, 조직·인력 구성, 안전성 확보를 위한 추가 노력 등을 평가하고 감경 상한은 최대 40%로 제시했다.
기업 입장에서는 사고 이후 제재 부담을 감당하기보다 평소 보안 인력과 설비, 관리체계에 투자할 유인이 한층 커진 셈이다.
김용대 한국과학기술원(KAIST) ICT 석좌 교수는 “이번 개정은 사후 책임 구조를 정비하면서 예방 인센티브를 함께 넣었다는 점이 눈에 띈다”며 “과징금 감경을 재량이 아닌 의무로 규정한 것은 예방 행위에 법이 값을 매겼다는 점에서 의미가 있다”고 말했다.
이어 “다만 감경 기준이 예산·인력·설비·장치 등 투입 중심이어서 실제 보안 수준이 얼마나 개선됐는지까지 평가하지 못한다는 한계가 있다”고 지적했다.
◇보안부서 문제서 '경영 리스크'로…CEO 책임 명문화
개정법은 개인정보 보호 책임의 범위를 실무부서에서 경영진까지 확대했다. 사업주 또는 대표자(CEO)를 개인정보 처리·보호의 최종책임자로 명확히 하고 관리·감독 의무를 부여했다. 개인정보 유출 사고가 발생했을 때 보안 담당자의 관리 소홀만 따지는 것이 아니라, 회사가 평소 충분한 인력과 예산을 투입하고 적절한 보호체계를 갖췄는지까지 경영 차원에서 책임을 묻겠다는 취지다.
이에 따라 개인정보 보호는 정보기술(IT)·보안부서의 실무 영역을 넘어 경영 리스크로 성격이 바뀌게 됐다. CEO가 개인정보 보호 수준과 사고 대응체계, 관련 인력과 예산을 직접 점검해야 하는 구조로 전환된 것이다.
보안 사고가 발생했을 때 실무자의 대응 적정성뿐 아니라 경영진이 위험을 사전에 보고받고 필요한 조치를 지원했는지도 중요해질 수 있다. 개인정보 보호 관련 의사결정이 경영진의 상시 관리 영역으로 들어오는 것이다. 경영진이 개인정보 보호 현황을 정기적으로 보고받고 필요한 투자와 인력 배치를 결정해야 하는 책임도 한층 분명해졌다.
개인정보 보호책임자(CPO)의 역할도 강화된다. CPO는 개인정보 보호에 필요한 전문인력을 관리하고 예산을 확보하며, 주요 보호 현황과 현안을 CEO와 이사회에 보고해야 한다. 일정 규모 이상의 개인정보처리자는 CPO 지정·변경·해제 때 이사회 의결을 거쳐 개인정보위에 신고해야 한다.
결국 개인정보 보호를 '보안부서가 알아서 챙기는 문제'가 아니라 경영진이 상시 관리해야 하는 핵심 리스크로 끌어올린 것이 이번 개정의 주요 변화다.
보안업계 한 관계자는 “그동안 보안 담당자는 권한보다 책임이 큰 구조였다”며 “이번 개정으로 개선이 기대되지만, 여러 법들이 규정하는 보안 관련 직책이 복수인 만큼 각자의 역할과 책임(R&R)을 명확히 해야 보호체계가 제대로 작동할 것”이라고 말했다.
박진형 기자 jin@etnews.com
