개인정보 반복 유출 기업에 ‘징벌적 과징금’…개보위 SKT 후속대책 발표

앞으로 기업이 개인 정보 유출 사고를 반복적으로 낼 경우 징벌적 과징금이 부과될 전망이다. 개인정보 관리의 최종적인 책임이 기업 대표에 있다는 점도 명문화된다. 개인정보 보호를 위해 선제적으로 조치한 기업에는 인센티브도 준다.

개인정보보호위원회는 11일 이런 내용이 담긴 ‘개인정보 안전관리 체계 강화 방안’을 발표했다. 지난 4월 SK텔레콤 유심 해킹 사태 이후, 제도적ㆍ기술적 보완 필요성이 나온 데 따른 후속 조치다. 이재명 대통령은 지난 4일 “보안사고를 반복하는 기업에 징벌적 과징금을 포함한 강력한 대처가 이뤄지도록 관련 조치를 준비하라”고 말했다.

먼저 법률과 고시 개정을 통해 개인정보 유출 사고가 발생하면 엄정하게 제재한다. 같은 방식으로 해킹을 여러 번 당한 기업에 과징금을 가중 부과하는 식이다. 중장기적으로 징벌적 과징금 도입도 검토한다. 과징금을 실제 유출 사고 피해자에게 활용하는 방안도 추진한다. 또 개인정보 보호 관련 최종 책임이 기업 최고경영자(CEO)에게 있다는 점도 명시화한다.

개인정보 보호에 적극 나선 기업엔 인센티브를 준다. 법적으로 암호화 의무가 없는 전화번호나 상세 주소 등 개인정보도 암호화를 해 보관하거나, 이상 징후를 탐지해 차단하는 시스템(FDS)을 도입한 기업 등은 개인정보 유출 사고가 발생했을 때 과징금을 경감한다. 또 개인정보 100만명 이상 처리하거나 매출 1500억원 이상으로 개인정보보호책임자(CPO)를 지정해야 하는 기업의 경우 1명 이상의 개인정보 전담 인력을 배치하거나 전체 정보화 예산의 10% 이상을 개인정보 보호 예산으로 확보할 경우에도 인센티브를 준다.

개인정보위는 이날 발표한 내용 중 법률 개정사항은 올해 안에 개정안을 마련해 내년 상반기 국회에 제출할 예정이다. 징벌적 과징금 체계 등 중장기 검토가 필요한 분야는 이해관계자 의견 수렴단계를 거쳐 내년까지 개정안을 마련할 계획이다.

몽클레르코리아 과징금 8000만원

한편 개인정보위는 이날 명품 패딩 브랜드인 몽클레르코리아에 개인정보 보호법 위반으로 과징금 8101만원과 과태료 720만원을 부과한다고 밝혔다. 고객 23만명의 개인정보가 유출된 탓이다. 개인정보위 조사 결과 몽클레르는 2019년 6월부터 웹사이트를 운영하면서 개인정보 취급자가 개인정보처리시스템에 접속할 때 아이디ㆍ비밀번호 외 인증 수단을 적용하지 않았다. 해커는 이 빈틈을 악용해 관리자 권한을 가진 직원의 계정을 통해 관리 서버에 악성 소프트웨어를 배포하고 개인정보를 유출했다.

하지만 몽클레르 코리아는 2022년 1월 17일 성명, 생일, 이메일 주소, 카드번호 등 23만명의 개인정보가 유출된 사실을 인지하고도 정당한 사유 없이 24시간을 지나 늑장 통지를 한 것으로 나타났다.