송경희 개보위원장 "개인정보 유출 예방 투자 비용이 오히려 더 쌀 것"

[이데일리 안유리 기자] “미리 예방 투자를 하자. 그게 오히려 비용이 더 쌀 것이다. 이용자 신뢰와 개인정보 보호를 경영의 핵심 수단으로 생각하자는 취지다.”

송경희 개인정보보호위원장은 12일 ‘예방 중심 개인정보 관리체계 전환 계획’을 발표하며 이같이 말했다.

경희 개인정보보호위원회 위원장이 12일 오후 정부서울청사에서 '예방 중심 개인정보 관리체계 전환 계획'에 대해 브리핑 하고 있다. (사진=개인정보보호위원회)

개인정보위원회는 이날 중대·반복 유출 시 매출 최대 10% 징벌적 과징금 부과와 조사 강제력을 높이는 내용을 골자로 하는 ‘사전 예방 중심 체제’를 발표했다. 예방 중심 개인정보 관리체계 전환 계획은 이날 오전 대통령 주재 국무회의에서 보고됐다. 사후 처벌만으로는 대형 개인정보 유출 사고에 대응하기 어렵다는 판단에서다.

중대·반복 사고 시 매출액의 최대 10%까지(기존 3%) 과징금을 부과하는 한편, 이행강제금과 인센티브를 제공해 기업의 보호 투자 확대를 유도하는 방안이다. 과징금 부과 매출 기준도 기존 3년 평균 매출액에서 ‘직전 매출액’과 ‘3년 평균 매출액’ 중 높은 금액으로 정하기로 했다.

송 위원장은 “법정 최소 기준을 넘어서는 선제적인 보호 조치를 하거나 실효적인 관리체계를 운영하는지 여부를 종합적으로 평가해 과징금 감경 등 확실한 인센티브를 부여하겠다”고 밝혔다. 구체적인 인센티브 내용은 5월 말 경제관계장관회의에서 상세 발표할 예정이다.

다만 모든 유출 사고에 매출의 최대 10% 과징금을 적용하는 것은 아니며, 반복·중대 사고 등 일정 요건 충족 시에만 적용된다. 부과 요건은 △3년 내 반복 사건 △고의·중과실 △1000만명 이상 피해 △시정명령 무시 후 사고 등이다.

◇개인정보위 조사 강제력 강화…이행강제금 부과·신고포상금 도입

개인정보위는 앞으로 시정명령 이후 이행 여부를 집중 점검하고, 조사에 비협조하거나 명령을 이행하지 않는 경우 이행강제금을 부과하는 제도 도입도 추진하기로 했다. 현재 조사 비협조 시 3000만원 이하 과태료에 그쳤던 제재 수단을 강화하는 셈이다. 증거보전명령 도입과 증거 은닉·폐기 행위에 대한 제재 강화, 신고포상금 제도 도입도 함께 추진된다.

개인정보위는 이미 이행 점검을 통해 일정 효과를 확인했다고 설명했다. 지난해 하반기부터 올해까지 SK텔레콤, 국민건강보험공단 등 92개 기업·기관에 대한 시정명령 이행 여부를 점검한 결과 총 207개 항목이 개선됐다. 안전조치 강화, 내부통제 체계 정비, 수탁자 관리·감독 강화, 주민등록번호 수집 제한 등이 대표 사례다.

고위험 분야에 대한 정기 점검도 확대된다. 개인정보위는 올해 하반기부터 100만명 이상 개인정보를 처리하는 공공기관·기업 약 1700개와 클라우드 사업자, 시스템 공급사 등을 대상으로 정기·수시 점검을 실시할 계획이다. 상조회사, 고객상담센터, 결혼정보업체, 에듀테크 등 개인정보 침해 우려가 큰 분야도 추가 점검 대상에 포함된다. 다만 이들 기업을 조사하는 데에는 최소 3~5년이 걸릴 전망이다.

송 위원장은 “특히 위험이 높다고 생각하는 분야는 개보위가 직접 관리를 하고, 중간 정도 위험 수준은 관계부처와 협의해서 실질적으로 관계부처와 점검하고, 저위험 분야는 스스로 할 수 있게 체크리스트 등을 배포·지원할 예정”이라고 말했다.

◇쿠팡·KT, 개인정보 유출 조사 마무리…징벌적 과징금은 제도 시행 이후 사건부터

징벌적 과징금 도입은 소급 적용되지 않아 쿠팡, KT 등 현재 유출사고 조사가 진행된 기업에는 새로 도입되는 ‘최대 10% 과징금’ 대신 기존 개인정보보호법상 과징금·시정명령 등 처분이 이뤄질 전망이다.

송 위원장은 “지금 징벌적 과징금 9월 11일부터 시작하고, 3년 매출액 기준 변경도 5월 19일부터 적용인데, 이는 이후에 일어난 사건부터 적용된다”고 부연했다. 그는 “쿠팡과 KT에 대해서도 조사를 마무리하고, 사전 통지를 보내 사업자의 의견 제출을 받고 있고, 의견을 받아 검토중이고 완료되면 전체회의 의결을 하도록 할 것”이라고 말했다.