개인정보 유출기업 '징벌적 과징금' 도입 검토…SKT 사태에 칼 빼든 정부

정부가 최근 SK텔레콤의 고객정보 대량 유출 사고를 계기로, 개인정보 유출에 대한 제재 수위를 대폭 강화한다는 방침을 내놓았다. 같은 원인으로 사고가 반복되는 기업에는 과징금을 가중하고, 중장기적으로는 징벌적 과징금까지 도입하는 방안을 검토하기로 했다.

이번 대책은 9월 11일 개인정보보호위원회가 발표한 ‘개인정보 안전관리 체계 강화 방안’에 담겼으며, 기술 발전에 따라 고도화되는 해킹 수법과 기업들의 미흡한 대응 체계를 동시에 보완하기 위한 목적에서 추진됐다. 특히 SK텔레콤의 유심(USIM) 관련 대형 유출 사고는 기존 위험 통제가 시스템적으로 부족했음을 보여주는 사례로, 정부가 실효성 있는 제도 정비를 강하게 추진하게 된 결정적 계기로 작용했다.

개인정보위는 앞으로 주요 개인정보처리 시스템의 보안 취약점을 사전에 제거하고 이상 징후를 실시간 탐지하는 '공격표면 관리 체계'를 강화할 계획이다. 또 민감한 정보에 대해서는 암호화 적용 범위를 넓히는 한편, 유출 정보가 다크웹 등지에서 불법으로 유통되는지도 감시해 2차 피해를 최소화하겠다는 것이다. 반대로, 선제적으로 보안에 투자한 기업에게는 과징금을 감경해주거나 인증 혜택을 주는 인센티브도 제공할 방침이다.

기업 내부의 개인정보 보호 실천역량을 높이기 위해 인력과 예산 기준도 구체화된다. 일정 요건을 갖춘 기업에는 전문 개인정보보호책임자(CPO)를 필수로 지정하고, 최소 1명 이상의 전담 인력을 배치해야 한다. 이 요건은 연간 매출 1,500억 원 이상이면서 100만 명 이상의 개인정보를 처리하는 기업이나 대형 병원, 대학, 주요 공공시스템 운영기관 등 약 700여 곳에 적용될 전망이다. 예산 기준으로는 정보화 예산의 최소 10%를 개인정보 보호 항목에 투입하도록 권고하며, 기준을 충족한 기업에는 다양한 형태의 행정적 혜택을 제공하는 방안도 검토되고 있다.

개인정보 보호에 대한 경영진의 책임도 강화된다. 기업의 최고경영자(CEO)는 개인정보 보호에 최종 책임을 지며, 실무자인 CPO에게는 서비스 핵심망 접근 권한은 물론, 이사회 보고 및 직무 독립성을 보장해 실질적인 역할을 수행할 수 있도록 법과 시행령 개정도 추진된다. 다만 CPO와 정보보호최고책임자(CISO)가 동일 인물일 수 있도록 하는 현행 체계는 그대로 유지된다. 두 직무 간 경계가 뚜렷하지 않은 만큼 협업이 중요하다는 것이 정부의 입장이다.

이와 함께 기업들이 유출 사건에 따른 손해를 보전할 수 있도록 개인정보 유출 전용 보험 도입도 유도된다. 또한 공공부문에만 적용되던 ‘개인정보 영향평가’를 민간기업으로 확대하고, 클라우드 업체나 정보기술 솔루션 기업 등 그간 규제 사각지대에 있었던 분야에 대해서도 감독을 강화한다는 계획이다. 개인정보 보호 관련 시장 감시와 이용자 권리 구제를 위한 ‘개인정보 옴부즈만’도 신설된다.

이러한 조치들은 기업들이 개인정보 보호를 비용이 아닌 고객 신뢰를 확보하기 위한 필수 투자로 받아들이게 하려는 정책적 유도책으로 볼 수 있다. 향후 법령 정비와 예산 확보 과정을 거쳐 제도적 기반이 완비되면, 한국의 개인정보 보호 수준은 한층 높은 단계로 진입할 수 있을 것으로 기대된다.