개인정보 반복·중대 유출 과징금 최대 매출 10%…9월 11일부터 CPO·유출통지도 강화

개정법은 반복적이거나 고의·중과실로 개인정보 유출이 발생한 경우 전체 매출액의 10% 이내에서 징벌적 과징금을 부과할 수 있도록 했습니다. 동시에 개인정보 보호를 위해 미리 투자한 예산·인력·설비 등은 과징금 감경과 연결하는 장치도 마련했습니다.

모든 사고에 일률적으로 10%가 적용되는 것은 아닙니다. 과징금은 위반의 성격과 시행령상 기준에 따라 결정되므로 ‘유출=매출 10%’로 단순화하면 안 됩니다.

사업주·대표자의 최종책임이 법에 명시됐고 CPO는 전문인력 관리와 예산 확보, 이사회 보고 등 직무 권한이 강화됐습니다. 일정 대상 개인정보처리자가 CPO를 지정·변경·해제할 때는 이사회 의결과 개인정보위 신고 절차도 요구됩니다.

기업 입장에서는 개인정보 보호를 실무 담당자의 문제로만 두기 어려워졌습니다. 이사회 보고선과 사고 대응 의사결정 체계를 실제 조직 운영에 반영해야 합니다.

정보주체 피해구제를 위해 개인정보 유출 가능성을 알게 된 경우의 통지제도가 도입됐고, 분쟁조정 신청과 손해배상 청구 방법 등 통지 항목도 확대됐습니다. 랜섬웨어 등으로 개인정보가 위조·변조·훼손된 경우도 신고·통지 대상에 포함됩니다.

공공·민간의 중요 개인정보처리자에 대한 ISMS-P 인증 의무화 규정은 준비기간을 고려해 2027년 7월 1일부터 시행될 예정입니다.