개인정보 보호위원회

- 고의·중과실 등으로 반복·대규모 유출시 엄정 대응, 사전예방 투자에는 인센티브

- 개인정보 보호책임자(CPO) 권한·책임 강화, 이사회 의결·개인정보위 신고 의무

- 개인정보 유출 가능성 통지제 도입, 유출통지 항목 및 대상 확대

국민 일상생활과 밀접한 분야에서 최근 대규모 개인정보 유출사고가 연이어 발생하면서 국민들의 불안과 우려가 지속되고 있는 가운데, 개인정보보호위원회(이하 ‘개인정보위’, 위원장 송경희)는

개인정보 유출사고를 사전에 예방하고 국민의 개인정보 보호와 피해구제를 강화하기 위해 제도 개선을 추진하였다. 이를 위해 지난 3월 개정된 ｢개인정보 보호법｣(이하 ‘법’)과 위임사항을

구체화한 개정 ｢개인정보 보호법 시행령｣(이하 ‘시행령’)이 9월 11일부터 시행된다.

지난 3월 개정법에서는 개인정보 유출에 엄정히 대응하고 선제적 예방 투자를 촉진하기 위해 ▴반복적이거나 고의·중과실로 인한 개인정보 유출에 대한 징벌적 과징금(전체 매출액 10% 이내),

▴사전 예방적 개인정보 보호 투자와 연계한 과징금 의무 감경제를 도입하였다.

또한 개인정보 보호 책임과 관리체계를 강화하기 위해 ▴사업주·대표자(이하 ‘CEO’)의 최종책임을 명시하고,

▴개인정보 보호책임자(이하 ‘CPO’)의 직무권한을 강화(전문인력 관리·예산 확보, 이사회 보고 의무)하였으며,

▴개인정보처리자의 CPO 지정·변경·해제 시 이사회 의결 및 신고를 의무화하였다.

아울러, 정보주체의 피해구제를 강화하기 위해 ▴개인정보 유출 가능성 통지제를 신설하고, ▴유출통지 항목(분쟁조정 신청, 손해배상 청구 방법도 통지)을 확대하였으며,

▴개인정보의 위조·변조·훼손(랜섬웨어 등)도 유출신고·통지 대상에 포함하였다.

법 개정을 통해 공공·민간 부문 중요 개인정보처리자에 대해 개인정보 보호(ISMS-P) 인증을 의무화하는 내용도 포함하였으나, 해당 개정 규정은 ISMS-P 인증 취득을 위한 기업·기관의

예산 확보에 소요되는 기간을 고려하여 2027년 7월 1일부터 시행될 예정이다.

※ ISMS-P 인증 의무화 관련 시행령 개정은 해당 법 규정 시행(’27.7.1.) 전까지 별도 추진

이번 시행령 개정안은 ▴과징금 부과 기준과 절차 ▴선제적 예방투자에 대한 과징금 감경기준, ▴CPO 지정·변경·해제 시 이사회 의결 및 신고가 의무화되는 대상 기준과 신고 방법,

▴개인정보 유출 가능성 통지 요건·절차 등 개정법에서 위임한 사항을 구체화하였다.

 개정시행령 및 고시의 세부 내용은 다음과 같다.

※ 이하 전문 붙임 참조