정부가 개인정보 유출이 반복된 기업에 과징금을 가중하고 장기적으로 징벌적 과징금 도입을 검토한다. 적극적인 개인정보 보호조치를 한 기업에는 인센티브를 줄 방침이다.

개인정보보호위원회는 11일 이 같은 내용을 담은 ‘개인정보 안전관리 체계 강화 방안’을 발표했다. 지난 4월 SK텔레콤의 대규모 유심 정보 유출 사태를 계기로 마련했다.

개인정보위는 유사사고 예방을 위해 제도 개선에 나선다. 주요 개인정보처리시스템의 취약점을 제거하고 이상징후를 탐지하는 등 ‘공격표면관리’를 강화하고, 주요 정보에 대한 암호화 적용을 확대한다. 평소 선제적·적극적 보호조치를 한 기업에는 과징금 감경 등 인센티브를 제공할 계획이다.

유출된 정보가 다크웹 등에서 불법 유통되는지를 탐지해 2차 피해를 차단한다. 개인정보보호관리체계(ISMS-P) 인증은 현장심사 중심으로 고도화하고 사고가 일어난 기업 대상 사후관리를 철저히 한다.

기업 내부 통제도 강화한다. 개인정보 보호 인력·예산 투자 기준을 제시하고 이를 충족한 기업에는 혜택을 부여한다. 인력 기준으로는 전문 개인정보보호책임자(CPO) 지정 의무기관이 최소 1명 이상 개인정보보호 전담인력을 배치하도록 추진한다. 전문 CPO 지정 의무기관은 매출액 1500억원 이상이고 100만명 이상의 개인정보를 처리하는 기업 등을 말한다. 일반 기업과 상급종합병원, 대학, 주요 공공시스템 운영기관 등 700곳이 해당한다. 전체 정보화 예산의 10% 이상을 개인정보보호예산으로 확보하도록 예산 기준도 둔다.

기업 최고경영자(CEO)에게 개인정보 보호 관련 위험관리 및 내부통제에 관한 최종 책임이 있음을 명확히 하는 방향으로 제도를 손질한다. 실질적인 관리주체인 개인정보보호책임자(CPO)의 경우 지정 신고제를 도입해 법적 권한과 역할을 강화한다.

기업 제재는 무겁게 하고, 피해자 구제는 실효성을 높인다. 같은 방식으로 여러 번 해킹을 당하는 등 개인정보 유출 사고가 반복되는 기업에는 과징금을 가중한다. 중장기적으로는 징벌적 과징금 도입도 검토한다. 개인정보보호법 위반에 따른 과징금을 피해자 구제에 활용하는 방안도 추진한다. 과징금이 전액 국고에 귀속되는 만큼 실제 피해자 구제에 도움이 되지 못한다는 지적에 따른 대응이다.

개인정보위는 사업자 설명회와 의견수렴을 거쳐 합리적 기준을 마련한 뒤 법령 개정과 예산 확보 등 후속 조치를 이어갈 예정이다.

고학수 개인정보위 위원장은 “이번 사고를 계기로 대규모 개인정보를 처리하는 사업자들이 개인정보 보호를 위한 투자를 ‘불필요한 비용’이 아닌 고객의 신뢰 확보를 위한 ‘기본적 책무’이자 ‘전략적 투자’로 인식하길 바란다”고 말했다.