한국, 개인정보 유출 과징금을 매출의 10%까지 상향

본문

한국의 개인정보 규제 기관인 개인정보보호위원회(Personal Information Protection Commission, PIPC)가 데이터 유출 비용을 대폭 끌어올렸습니다. 기업이 데이터 보호를 '영업 비용'이 아닌 '예방적 투자'로 취급하도록 유도하는 것이 목표이며, 개정 개인정보보호법(Personal Information Protection Act)과 함께 금요일부터 시행됩니다. 핵심은 고의 또는 중과실로 1천만 명 이상의 개인정보를 유출한 기업에 총매출의 최대 10%까지 과징금을 부과할 수 있다는 점입니다. 기존 상한은 매출의 3%였습니다.

과징금 상한과 적용 조건

시행령에 따르면 10% 상한은 세 가지 조건에 해당할 때 적용됩니다. 3년 내에 고의 또는 중과실 위반을 반복한 기업, 시정 명령을 이행하지 않다가 그 결과 유출 사고를 겪은 기업이 대상입니다. 과징금은 위반의 성격과 중대성, 관련 정황, 피해 규모를 종합해 산정합니다.

기사는 실제 사례로 격차를 보여줍니다. 전자상거래 기업 Coupang은 3,755만 명의 개인정보 유출로 지난 6월 6,246억 원(약 4억 6,630만 달러)의 과징금을 부과받았는데, 새 기준을 적용하면 과징금이 조 단위로 올라갈 수 있습니다. 다만 실제 과징금은 고의성, 과실 정도, 피해 규모, 감경 사유에 따라 달라집니다.

감경 제도와 신규 통지 의무

사전에 데이터 보호에 투자한 기업에는 감경 인센티브가 있습니다. 데이터 보호 예산, 인력, 장비 투자의 규모와 지속성, 최고개인정보보호책임자(Chief Privacy Officer, CPO)를 포함한 보호 체계 전반을 고려해 최대 40%까지 감경됩니다. 유출을 조기에 탐지해 신고·통지하고 피해 확산을 막은 경우에도 최대 40% 감경이 가능합니다.

'잠재적 유출 통지 제도'도 새로 도입됩니다. 데이터 처리 시스템에 대한 불법 접근이 있었거나, 일부 개인정보가 불법 거래된 정황이 발견되어 다른 개인정보도 유출됐을 가능성이 높다고 판단되면, 확정되지 않았더라도 인지 후 72시간 이내에 이용자에게 통지해야 합니다. 랜섬웨어 등으로 위조·변조·훼손된 데이터도 동일한 신고·통지 의무 대상입니다.

CPO의 권한과 책임도 확대됩니다. 연 매출 1,800억 원을 초과하면서 100만 명 이상의 개인정보, 또는 5만 명 이상의 민감정보·고유식별정보를 처리하는 기업은 CPO의 선임·변경·해임에 이사회 승인을 받아야 하고 PIPC에 보고해야 합니다. 학생 2만 명 이상의 대학, 상급종합병원, 주요 공공 시스템 운영 기관도 같은 의무를 집니다. PIPC 양청삼 사무총장은 유통·통신 등 생활 밀접 분야에서 유출이 반복되고 규모가 커졌다며 중대 위반에 엄정 책임을 묻는 동시에 예방을 돕겠다고 말했고, 송경희 위원장은 기업이 보호 투자를 비용이 아닌 고객 신뢰와 수익 확대를 위한 선제 투자로 보게 되길 기대한다고 밝혔습니다.

Hacker News 반응

• @quickthrowman — 이 법이 삼성 같은 재벌이 위반해 매출 10%의 과징금을 맞는 첫 순간에 무시될지 내기를 걸고 싶다. 거의 장담할 수 있다. 저마진 사업은 그 정도 과징금이면 그 해에 흑자에서 적자로 돌아설 만큼 큰 금액이고, 안전한 컴퓨터 시스템 같은 건 존재하지 않는다. 준수를 보장하는 유일한 방법은 데이터를 아예 저장하지 않는 것인데, 어떤 비즈니스 모델에는 그게 합리적이지 않다.
• @buellerbueller — 제3자에게 지속적으로 피해 위험을 끼치는 비즈니스 모델이라면, 애초에 존재하면 안 되는 것일지도 모른다.
• @google234123 — 사업자는 법적으로 거래 기록을 수년간 보관해야 한다.
• @josephg — 그럼 데이터베이스를 보안하면 된다. 이건 로켓 과학이 아니다. 과거 거래 기록을 온라인에 보관할 필요도 없다. 서랍에 넣어둔 하드 드라이브는 해커가 접근하기 아주 어렵다.
• @google234123 — 아마 외국 기업을 겨냥한 법일 것이다.

원문: Korea JoongAng Daily / 번역·요약: Trawling