개인정보 보호에 투자하면 과징금 줄어드나…보안예산만 늘린다고 감경되지 않는다
9월 11일부터 개인정보 보호법 개정안 시행…사전 예방투자 과징금 감경 제도 도입
투자 규모·지속성에 CEO·CPO 역할, 조직·인력, 안전조치 수준까지 종합 평가
개인정보 유출사고가 발생한 기업이 사고 전에 보안 예산과 인력을 충분히 투입했다면 앞으로 과징금 산정에서 감경을 받을 수 있다. 그러나 정보보호 예산을 많이 편성했다는 사실만으로 과징금이 자동으로 줄어드는 것은 아니다.
개인정보보호위원회는 개인정보 보호를 위한 사전 예방적 투자를 과징금 산정에 반영하는 제도를 9월 11일부터 시행한다. 평가 대상에는 예산과 인력, 설비·장치뿐 아니라 대표자와 개인정보 보호책임자(CPO)의 역할, 조직 운영 수준, 안전성 확보를 위한 추가 노력 등이 포함된다. 고의 또는 중대한 과실로 개인정보 보호법을 위반한 경우에는 감경 대상에서 제외된다.
보안투자하면 과징금 감경하는 제도가 생긴다
이번 제도의 출발점은 3월 10일 공포된 개정 개인정보 보호법이다. 개정법은 반복적이거나 중대한 개인정보 침해행위에 대한 제재를 강화하는 동시에 기업이 사고 발생 전에 개인정보 보호에 투자하도록 유도하는 장치를 함께 마련했다.
기업이 개인정보 보호를 위해 예산과 인력, 설비·장치 등을 투자하고 실제로 운영했다면 과징금 산정 과정에서 이를 감경 사유로 반영할 수 있도록 한 것이다. 제도 시행일은 9월 11일이다.
개인정보위는 이를 기존의 사고 발생 후 제재 중심 체계에서 사전 예방 중심 체계로 전환하는 조치로 설명한다. 기업 입장에서는 개인정보 보호에 투입한 비용이 단순한 비용 지출을 넘어 향후 제재 수준에도 영향을 미칠 수 있게 된 셈이다.
투자액이 많다고 자동 감경되는 것은 아니다
가장 중요한 부분은 감경 판단 기준이다. 개인정보위가 마련한 시행령 개정안에서는 개인정보 보호를 위한 투자 규모와 지속성을 평가하도록 했다. 일회성 예산 증액보다 실제로 개인정보 보호체계를 꾸준히 운영했는지를 보겠다는 의미다.
여기에 사업주 또는 대표자와 개인정보 보호책임자의 역할도 포함된다. 개인정보 보호를 전담하는 조직과 인력이 제대로 구성돼 있는지, 경영진이 관리·감독 책임을 수행했는지도 판단 요소가 된다.
안전성 확보조치를 강화하기 위해 어떤 추가 노력을 했는지도 평가 대상이다. 서버나 보안장비를 구입했다는 사실만으로 충분하지 않고 실제 개인정보 침해 가능성을 낮추는 방향으로 작동했는지를 살피는 구조다.
결국 과징금 감경은 ‘보안에 얼마를 썼는가’보다 ‘그 투자가 실제 개인정보 보호체계로 작동했는가’를 보는 제도에 가깝다.
CEO와 CPO 책임도 함께 본다
이번 제도 변화에서 눈에 띄는 부분은 경영진 책임이다.
개정 개인정보 보호법은 개인정보 보호에 대한 최고경영자와 개인정보 보호책임자의 책임을 이전보다 분명하게 했다. CPO를 지정하거나 변경할 때 이사회 의결과 개인정보위 신고를 요구하는 등 개인정보 보호를 기업 내부의 실무 부서만의 문제로 두지 않는 방향으로 제도를 바꿨다.
이는 과징금 감경에서도 중요한 의미를 갖는다. 보안 인력이나 장비를 갖췄더라도 경영진이 위험을 보고받고도 방치했거나 개인정보 보호책임자가 실질적인 권한 없이 형식적으로 운영됐다면 예방투자의 실효성이 낮게 평가될 수 있다.
반대로 개인정보 보호책임자가 독립적으로 위험을 점검하고 필요한 예산과 인력을 확보했으며 경영진이 이를 지속적으로 관리했다면 사전 예방 노력을 입증하는 근거가 될 수 있다.
개인정보 보호를 정보기술 부서 한 곳에 맡기는 방식에서 전사적 관리체계로 바뀌고 있는 셈이다.
과징금 감경 한도는 최대 40%
개인정보위가 6월 입법예고한 시행령 개정안에서는 사전 예방투자 등에 따른 과징금 감경 상한을 40%로 제시했다.
감경 사유에는 개인정보 보호를 위한 예산·인력·설비·장치의 투자 규모와 지속성, 대표자와 CPO의 역할, 조직 및 인력 구성, 개인정보 보호체계 운영 수준, 안전성 확보조치를 강화하기 위한 추가 노력이 포함됐다.
다만 최대 40%라는 숫자가 모든 기업에 일률적으로 적용되는 것은 아니다. 각각의 감경 요소가 얼마나 충족됐는지에 따라 실제 감경 정도가 달라질 수 있다.
또한 사고 발생 뒤 급하게 보안예산을 늘렸다는 이유만으로 과거 위반행위에 대한 사전 예방투자로 인정되는 것도 어렵다. 제도 취지 자체가 사고를 막기 위한 선제적 투자에 있기 때문이다.
고의·중과실이면 감경에서 제외된다
기업이 상당한 규모의 보안투자를 했더라도 모든 위반행위가 감경 대상이 되는 것은 아니다.
개인정보위는 고의 또는 중대한 과실로 위반행위를 한 경우 사전 예방투자에 따른 과징금 감경을 적용하지 않도록 했다.
예를 들어 개인정보 보호상 중대한 위험을 알고도 경영진이 이를 방치하거나 필수적인 안전조치를 의도적으로 하지 않은 경우에는 사전에 일부 투자를 했다는 이유만으로 제재를 낮춰주지 않겠다는 취지다.
이는 감경제도가 면책수단으로 활용되는 것을 막기 위한 장치다.
기업이 보안 예산을 편성했다는 사실과 개인정보 보호법상 의무를 제대로 이행했다는 사실은 별개로 판단된다.
중대·반복 위반은 오히려 과징금이 크게 늘어난다
예방투자에 대한 감경 제도가 도입되는 동시에 중대한 개인정보 침해에 대한 과징금은 훨씬 강해진다.
개정 개인정보 보호법은 반복적이거나 중대한 위반행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 근거를 마련했다. 기존 일반 과징금 체계보다 훨씬 높은 수준이다.
대상은 최근 3년 동안 고의 또는 중대한 과실로 위반행위를 반복하거나, 고의 또는 중대한 과실로 1000만명 이상의 대규모 피해를 발생시킨 경우 등이 대표적이다.
개인정보위의 시행령 개정안은 위반행위의 내용과 정도, 경위, 피해 규모 등을 종합적으로 고려해 기준금액을 산정하고 이후 가중·감경 요소를 반영하도록 했다.
기업에는 예방투자를 하면 인센티브를 주되 고의적이고 반복적인 침해에는 훨씬 강한 책임을 묻는 이중 구조가 만들어진 셈이다.
‘보험성 보안투자’는 통하기 어렵다
기업 입장에서는 이번 감경제도를 과징금에 대비한 일종의 보험처럼 이해할 가능성이 있다. 그러나 제도 구조를 보면 단순한 비용 지출만으로 감경을 확보하기는 어렵다.
개인정보위는 투자 규모뿐 아니라 지속성과 운영 수준을 함께 평가한다. 장비를 구입해 놓고 실제로 사용하지 않거나 보안인력이 있어도 권한과 책임이 불분명하다면 실질적인 보호조치로 인정받기 어렵다.
반대로 대규모 예산을 투입하지 못한 기업이라도 조직 규모에 맞게 적절한 보호체계를 구축하고 취약점을 지속적으로 개선했다면 평가가 달라질 수 있다.
개인정보 보호에서 중요한 것은 투자액의 절대 규모가 아니라 위험에 비례한 관리체계다.
사고 전 투자와 사고 후 대응도 구분된다
개인정보 유출 사고가 발생한 뒤 기업들은 보안투자를 크게 늘리는 경우가 많다. 보안인력을 충원하고 시스템을 교체하며 외부 컨설팅을 받기도 한다.
이런 조치는 재발방지 측면에서는 의미가 있지만 사고 발생 이전의 예방투자와는 성격이 다르다.
이번 제도의 핵심은 ‘사전 예방’이다. 사고 이전에 어떤 위험을 파악했고 이를 막기 위해 어떤 조치를 지속했는지가 중요하다.
사고 이후의 적극적인 대응과 피해구제 노력은 별도의 감경 요소로 고려될 수 있지만 사전 예방투자를 대신할 수는 없다.
따라서 기업은 유출사고가 발생한 뒤 투자내역을 만드는 것이 아니라 평상시에 의사결정과 투자기록을 남겨야 한다.
투자를 했다는 증거도 중요해진다
과징금 감경을 받으려면 실제 투자를 입증할 자료가 필요하다.
예산서와 보안장비 구매내역만으로는 부족할 수 있다. 개인정보 보호 조직과 인력 운영 기록, 위험평가 결과, 취약점 개선 내역, 경영진 보고자료, CPO 활동기록, 교육 및 점검자료 등이 함께 중요해질 가능성이 크다.
개인정보 보호를 위한 조치가 실제로 시행됐다는 사실을 보여줘야 하기 때문이다.
이는 기업의 개인정보 보호 업무 자체에도 변화를 줄 수 있다. 지금까지 보안 활동이 실제 시스템 운영에 초점을 맞췄다면 앞으로는 누가 어떤 위험을 언제 발견했고 어떤 의사결정을 통해 개선했는지를 기록하는 관리체계가 더욱 중요해진다.
보호조치와 이를 증명하는 문서화가 동시에 필요해지는 셈이다.
대기업과 중소기업에 같은 투자액을 요구하는 제도는 아니다
기업 규모에 따른 차이도 있다. 모든 기업에 동일한 수준의 예산과 인력을 요구하는 방식은 현실적이지 않다.
개인정보위는 영세·중소기업의 경미한 위반행위에 대해서는 시정과 기술지원을 전제로 과징금을 면제할 수 있는 요건도 정비했다.
이는 개인정보 보호책임 자체를 면제한다는 의미는 아니다. 기업 규모와 위반 정도, 피해 규모를 고려해 제재의 비례성을 확보하겠다는 취지다.
소규모 기업은 거액의 보안예산보다 기본적인 접근권한 관리와 계정 보호, 암호화, 백업, 개인정보 최소수집, 내부점검 등을 얼마나 충실히 수행했는지가 더 중요할 수 있다.
제재 강화와 감경을 동시에 도입한 이유
이번 제도의 특징은 한쪽에서는 과징금을 강화하면서 다른 한쪽에서는 감경제도를 넓혔다는 데 있다.
겉으로 보면 서로 반대되는 정책처럼 보일 수 있다. 그러나 개인정보위가 제시한 방향은 비교적 명확하다.
개인정보를 반복적으로 침해하거나 중대한 피해를 발생시킨 기업에는 최대 전체 매출액의 10%까지 강한 제재를 적용하고, 반대로 사고 발생 전에 실질적인 예방조치를 취한 기업에는 그 노력을 과징금 산정에서 인정하겠다는 것이다.
과징금을 사고 뒤 부과하는 벌금성 비용으로만 운영하는 대신 기업이 사고를 막기 위해 움직이도록 경제적 유인을 만들겠다는 구조다.
9월 11일부터 기업 개인정보 보호전략도 달라진다
개정 개인정보 보호법이 9월 11일부터 시행되면서 기업의 개인정보 보호 전략도 달라질 가능성이 크다.
이제 기업은 개인정보 유출 사고가 발생했을 때 ‘법정 안전조치를 했는가’만 설명해서는 충분하지 않을 수 있다. 얼마를 투자했는지, 투자가 얼마나 지속됐는지, CPO가 어떤 권한을 행사했는지, 경영진이 어떤 관리·감독을 했는지까지 설명해야 한다.
반대로 개인정보 보호체계를 선제적으로 구축한 기업은 이런 기록을 과징금 산정에서 적극적으로 제시할 수 있다.
보안예산 자체보다 조직 운영과 경영진 책임이 중요한 이유가 여기에 있다.
개인정보 보호를 위한 투자가 과징금을 줄일 수 있는 시대는 시작되지만 돈을 많이 썼다는 사실이 면책의 근거가 되는 것은 아니다. 앞으로 기업이 입증해야 할 것은 투자액이 아니라 사고 발생 전에 개인정보 침해 위험을 얼마나 실질적으로 낮추기 위해 노력했는가다.