​​​​​​​개인정보위, 예방 중심 관리체계 구축…매출액 최대 10% 과징금

개인정보 보호 투자·책임경영 확대 유도…보안 투자 기업엔 과징금 감경 인센티브

다크패턴·민감정보 불법유통 집중 점검…"유출 피해 회복 어려워 예방 관리 강화"

송경희 개인정보보호위원회 위원장이 12일 오후 정부서울청사에서 '예방 중심 개인정보 관리체계 전환 계획'에 대해 브리핑 하고 있다 [사진=개인정보보호위원회]

개인정보보호위원회(이하 개인정보위)가 사고 예방 중심의 개인정보 보호 관리 체계 구축에 나선다. 중대·반복 위반 행위에 대해서는 매출액의 최대 10%까지 징벌적 과징금을 부과한다. 

개인정보위는 12일 대통령 주재 국무회의에서 '예방 중심 개인정보 관리체계 전환 계획'을 보고했다. 이번 계획은 인공지능(AI) 디지털 전환과 플랫폼 경제 확산으로 개인정보 활용이 전 분야에서 빠르게 늘어남에 따라 사회 전반의 개인정보 보호 수준을 높이고 대형화되는 유출 사고에 보다 실효적으로 대응하기 위함이다. 

송경희 개인정보보호 위원장은 "중대한 위반 행위는 끝까지 엄중한 책임을 묻는 동시에 실질적인 위험 관리와 예방 투자가 이루어지도록 사전 예방 중심 체계로 전환할 것"이라고 말했다. 

송 위원장은 현 시기 예방 중심 개인정보 보호 체계로 전환하는 이유에 대해 "AI·디지털 전환과 플랫폼 경제 확산으로 개인정보 활용 규모·범위 확대됐다"며 "유출사고는 대형화되고 이에 따라 새로운 개인정보 위험영역이 증대되고 있다"고 말했다. 

송 위원장은 또 "AI 시대에서 최적의 개인정보 보호 방법은 사전 예방 관리"라고 강조했다. 사후 규제만으로는 피해 회복이 어렵고 기존 제도보다 앞서는 새로운 위협에 대한 통제가 어렵다는 이유다. 그는 이어 "사전 예방 관리로 개인정보 접근 권한 최소화 등 예방 관리를 철저히 해 유출 사고를 미연에 방지할 것"이라고 말했다. 

이에 따라 올해 9월부터는 징벌적 과징금 제도가 도입된다. 반복적이거나 중대한 개인정보 보호법 위반 행위에 대해서는 매출액의 최대 10%까지 과징금을 부과해 경제적 제재의 실효성을 높인다. 과징금 산정 기준도 현행 3년 평균 매출액에서 '직전 연도 매출액'과 '3년 평균 매출액' 중 높은 금액을 적용한다. 현행 기준은 3년 평균 매출액이다. 

신속한 조사와 처분을 위해 이행강제금 제도도 도입한다. 조사에 협조하지 않거나 명령을 이행하지 않는 경우 이행강제금을 부과하고 증거 은닉 행위에 대한 제재도 강화한다. 신고포상금 제도도 함께 마련할 예정이다.

영세기업의 경미한 위반에 대해서는 재발 방지와 개선을 위한 시정 기회를 제공한다. 다만 같은 위반이 반복될 경우에는 엄정하게 대응한다.

기업의 개인정보 보호 투자와 책임경영을 확대하기 위한 유도책도 마련된다. 법정 기준을 넘어서는 선제적 보호조치와 적극적인 투자, 실효성 있는 안전관리 체계 운영 여부를 종합적으로 평가해 과징금 감경 등 인센티브를 부여한다.

개인정보위는 위험 수준에 따라 점검 강도를 달리하는 위험기반 관리 체계를 구축한다. 주요 공공시스템과 교육·복지 등 고위험 분야는 개인정보위가 직접 집중 관리한다.

또 서비스 기획과 설계 단계부터 개인정보 중심 설계 원칙(PbD, 프라이버시 바이 디자인)이 반영되도록 PbD 원칙을 제도화한다. 개인정보 영향평가 기준과 ISMS-P 인증 기준에도 개인정보 보호 중심설계 원칙을 반영할 계획이다.

개인정보위는 지난 2월 공공부문의 개인정보 보호 인력과 예산 부족을 현장 조사로 확인한 바 있다. 이를 통해 관계 부처와 협력, 전담 인력과 예산을 확충할 계획이다. 

공공부문에서는 개인정보 보호 전담 인력과 예산을 확대하고, 개인정보 보호 전문인력을 양성하기 위한 기반도 마련한다.

개인정보 유출 피해를 입은 국민을 위한 실질적인 구제 방안도 추진된다. 유출 사고 발생 시 기업과 기관의 손해배상 책임을 원칙 하에 전반적인 입증 책임을 기업이 지도록 해 법정 손해배상 제도를 활성화한다.

이용자를 속이거나 오인하게 해 개인정보 수정, 동의 철회, 탈퇴를 어렵게 하는 다크패턴 행위를 집중 점검한다. 개인정보 침해신고센터의 전문상담, 컨설팅, 피해조치 지원 기능도 강화한다. 민감정보가 유출될 경우 SNS에서의 불법 유통 여부를 확인해 탐지하고 삭제 조치한다.

송 위원장은 "개인정보는 한 번 유출되면 피해를 온전히 되돌리기 어렵고 회복에도 시간이 오래 걸린다"며 "앞으로 사전예방이 잘 작동할 수 있는 체계를 구축해 국민 정보를 안전하게 지키고 국민이 신뢰할 수 있는 개인정보 활용 환경을 만들어가겠다"고 말했다.