개인정보 유출 가능성도 통지 의무화, 중대 위반에는 매출 최대 10% 과징금 제도 시행

오늘(9월 11일)부터 개정 개인정보 보호법과 시행령이 시행돼, 유출이 확정되지 않았더라도 객관적으로 유출 가능성이 높다고 판단되면 정보주체에게 알려야 함 불법 접근이나 개인정보 불법 거래 등 정해진 요건에 해당하면 인지 후 72시간 이내 통지해야 하며, 위조/변조/훼손도 사고 통지와 신고 대상에 포함됨 고의나 중대한 과실로 위반을 반복하거나 대규모 피해를 일으킨 경우 등에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있음 사고 전에 개인정보 보호에 투자한 기업에는 과징금 기준금액을 최대 40% 감경하며, 고의나 중대한 과실에 의한 위반은 투자 감경 대상에서 제외됨 CEO의 개인정보 보호 최종책임과 CPO의 권한을 강화하고, 일정 규모 이상의 기업과 기관은 CPO 지정/변경/해제 시 이사회 의결과 개인정보위 신고를 거쳐야 함 유출 확정 전에도 72시간 이내 통지 유출 가능성 통지는 단순한 의심만으로 적용하는 것이 아니라, 객관적으로 유출 가능성이 높다고 합리적으로 판단되는 경우를 대상으로 함 개인정보처리시스템이나 담당자 기기에 불법 접근이 발생해 유출이 의심되지만 피해자를 특정하기 어려운 경우 개인정보 불법 거래 등으로 일부 유출이 확인돼 다른 사람의 정보도 유출됐을 가능성이 있다고 인정되는 경우 해당 사실을 안 때부터 72시간 이내에 개인정보 항목, 의심 시점과 경위, 피해 최소화 방법, 피해구제 절차와 신고 연락처 등을 알려야 함 이후 실제 유출이 확인되면 추가로 통지하고, 유출되지 않았음이 확인되면 정정 통지해야 함 랜섬웨어 등으로 개인정보가 위조/변조/훼손된 경우도 통지와 신고 대상에 포함되며, 통지에는 손해배상 청구와 분쟁조정 등 법적 구제 방법도 안내해야 함 반복 위반은 제재 강화, 사전 투자와 신속 대응은 감경 전체 매출액 최대 10% 과징금은 모든 사고에 일률적으로 적용하는 것이 아니라 다음과 같은 경우에 적용할 수 있는 특례임 고의나 중대한 과실로 3년 내 위반행위를 반복한 경우 고의나 중대한 과실로 1,000만 명 이상에게 대규모 피해를 발생시킨 경우 시정명령을 이행하지 않아 개인정보 유출사고가 발생한 경우 등 사전 투자 감경은 예산과 인력, 설비 투자뿐 아니라 CEO/CPO의 실질적인 역할과 법적 의무를 넘어선 보호조치까지 평가해 기준금액의 최대 40%를 적용함 고의나 중대한 과실에 의한 위반은 제외됨 법정기한 내 신고/통지를 하지 않고 피해 확산 방지 조치도 하지 않으면 최대 30%...