[개인정보보호법 개정] 중대·반복된 개인정보 유출, 전체 매출 최대 10% 징벌적 과징금 부과

[개인정보보호법 개정] 중대·반복된 개인정보 유출, 이제 전체 매출의 최대 10%가 징벌적 과징금으로 부과됩니다.

최근 국내 대형 이커머스 C사, 주요 통신사 K사 등에서 대규모 개인정보 유출 사고가 연이어 발생하고 있습니다. 이에 정부는 중대하거나 반복적인 유출 사고를 낸 기업에 대해 '전체 매출액의 최대 10%'를 부과하는 강력한 징벌적 과징금 제도를 도입 추진 중입니다. 기업의 생존을 위협할 수 있는 막대한 재무적 리스크가 현실화된 만큼, 경영진과 CISO(정보보호최고책임자)의 선제적인 컴플라이언스 점검이 시급합니다.

"한 번의 방심이 기업의 존폐를 가르는 시대, 개인정보보호 컴플라이언스는 선택이 아닌 생존입니다."

Written by. (법무법인 오킴스) 김용범 변호사

개인정보보호법, 징벌적 제재의 칼을 빼들다

최근 개인정보보호위원회 등 관계 부처는 끊이지 않는 대규모 고객 정보 유출 사태를 막기 위해 개인정보보호법 개정안(징벌적 과징금 도입)을 발표했습니다. 과거에는 유출 사고가 발생해도 기업이 부담하는 과징금이 실질적인 제재 효과를 거두지 못한다는 비판이 있었습니다. 하지만 이번 개정안은 기업의 뼈를 깎는 수준의 강력한 재무적 제재를 예고하고 있습니다.

📋 무엇이 달라지나요?

이번 개정안의 핵심은 '고의적이고 반복적인 안전조치 의무 위반'에 대한 철퇴입니다.

1. 중대·반복 유출 사고의 기준 신설

단순 실수나 해킹 피해를 넘어, 과거 시정명령을 받았음에도 개선하지 않았거나, 보안 투자를 고의로 방치하여 발생한 대규모 유출 사고를 '중대·반복 사고'로 규정합니다.

1. 징벌적 과징금 상한액 대폭 상향

기존 과징금 상한선을 훌쩍 뛰어넘어, 기업 '전체 매출액'을 기준으로 최대 10%까지 과징금을 부과할 수 있는 법적 근거가 마련됩니다.

1. 경영진 및 CISO의 책임 강화

사고 발생 시 실무자 선에서 끝나는 것이 아니라, 정보보호최고책임자(CISO)와 대표이사의 관리·감독 의무 위반 여부를 엄격하게 따져 묻습니다.

🔍 기존 vs 변경 비교

[과징금 부과 기준 변화] - 기존: 전체 매출액의 최대 3% 이하 (위반행위와 무관한 매출은 산정에서 제외 가능) - 개정(안): 전체 매출액의 최대 10% 이하 (중대·반복 유출 사고 시 징벌적 부과) ※ 예: 연 매출 1조 원 기업의 경우, 기존 최대 300억 원 수준에서 개정 후 최대 1,000억 원의 과징금 리스크 발생

⚖️ 변호사가 본 의미 (김용범 변호사's Deep Dive 📝)

결론부터 말씀드리면, 이번 개정은 개인정보 유출을 단순한 'IT 부서의 관리 소홀'이 아닌 '기업 전체의 중대 경영 리스크'로 격상시킨 조치입니다. 기업은 다음과 같은 다중 리스크에 직면하게 됩니다.

• [Risk] 행정적·재무적 리스크:

전체 매출의 10%에 달하는 과징금은 영업이익률이 낮은 기업에게는 사실상 파산 선고와 같습니다. 특히 '위반행위와 무관한 매출'을 제외해 주던 기존의 방어 논리가 징벌적 목적 앞에서는 무력화될 수 있습니다.

• [Risk] 민사적 리스크:

과징금 처분 결과는 곧바로 정보주체(고객)들의 대규모 집단 손해배상 소송으로 이어집니다. 법 위반 사실이 행정처분으로 명확해지면, 기업은 민사 소송에서 방어하기 매우 어려워집니다.

• [Risk] 형사적 리스크:

개인정보보호법 위반에 따른 형사 처벌 규정이 적용될 수 있습니다. 특히 CISO나 대표이사가 법령에서 요구하는 '안전확보조치 의무'를 다하지 않은 것으로 밝혀질 경우, 업무상 과실 또는 관련 법령 위반으로 형사 입건될 수 있습니다.

🏠 실무 확인 사항: 우리 기업은 안전한가요?

과징금 폭탄을 피하기 위해서는 '우리는 법이 요구하는 최소한의 안전조치를 모두 이행했다'는 것을 입증할 수 있어야 합니다. 사내 변호사 및 컴플라이언스 담당자는 아래 항목을 즉시 점검하십시오.

• 법률 체크리스트

• ▢ CISO의 독립성 및 권한 보장: CISO가 실질적인 예산 집행권과 의사결정권을 가지고 업무를 수행하고 있습니까?

• ▢ 내부관리계획의 실효성: 서류상으로만 존재하는 계획이 아니라, 실제 업무 환경(원격근무, 클라우드 도입 등)이 반영된 최신 내부관리계획을 운영 중입니까?

• ▢ 수탁사(제3자) 관리·감독: 고객 정보를 취급하는 외부 협력업체나 IT 유지보수 업체에 대한 정기적인 보안 점검과 계약서상 책임 소재를 명확히 했습니까?

• ▢ 접근 권한 통제 및 접속 기록 보관: 개인정보처리시스템에 대한 접근 권한을 최소화하고, 접속 기록을 법정 기간(최소 1년~2년 이상) 동안 위·변조 없이 보관하고 있습니까?

• ▢ 유출 사고 대응 매뉴얼: 사고 발생 시 '72시간 내' 개인정보보호위원회 신고 및 정보주체 통지를 완벽히 수행할 수 있는 모의 훈련이 되어 있습니까?

마치며

개인정보 유출 사고는 예고 없이 찾아옵니다. 하지만 사고 발생 후 기업이 받게 될 제재의 크기는 '사전 컴플라이언스를 얼마나 철저히 구축했느냐'에 따라 천양지차로 달라집니다. 법 개정이 현실화되기 전, 지금이 바로 사내 개인정보 관리 체계를 전면 재검토할 골든타임입니다.

참조기사: 아시아경제 - "중대 개인정보 유출 기업에 매출 10% 과징금" ... 쿠팡, KT 등은 적용 불가(종합)

LawKit의 [개인정보 컴플라이언스 진단] 검토 서비스

법무법인 오킴스의 IT·정보보안 전문 변호사들이 기업의 실질적인 리스크를 진단하고 방어 논리를 구축해 드립니다.

• 개인정보 처리방침 및 내부관리계획 법률 검토

• 수탁사 및 제3자 제공 관련 계약서 리스크 분석

• 개인정보보호법 개정 대비 사내 보안 규정 업데이트

• 유출 사고 발생 시 행정조사 대응 및 민·형사 방어 전략 수립

👉 [LawKit에서 개인정보 컴플라이언스 진단 의뢰하기]