개인정보 보호법 시행령 개정

안녕하십니까? 개인정보보호위원회 사무처장 양청삼입니다.

바쁘신 가운데서도 오늘 브리핑에 참석해 주신 기자님들께 감사의 말씀을 드립니다.

내일부터 개인정보 유출사고에 강력히 대응하고 사전 예방 중심의 개인정보 보호체계로 전환하기 위해 지난 3월 개정된 개인정보보호법이 시행됩니다.

최근 유통, 통신 등 국민들의 일상생활과 밀접한 분야에서 개인정보 유출사고가 연이어 발생하고 대규모화되면서 국민들의 불안과 우려가 어느 때보다도 커지고 있습니다.

이에 우리 위원회는 중대한 개인정보 침해에는 엄중한 책임을 묻되, 개인정보 보호체계를 강화하도록 하여 유출사고를 사전에 예방할 수 있도록 제도를 개선하였습니다.

이번 법 개정의 핵심은 사후 제재를 넘어 사전 예방을 중심으로 하는 개인정보 보호정책의 패러다임 전환입니다.

기업과 기관의 선제적인 개인정보 보호 투자를 촉진하는 인센티브를 강화하는 한편, 최고경영자를 중심으로 개인정보 보호에 대한 책임경영을 확립하는 계기가 될 것으로 기대하고 있습니다.

9월 11일 시행되는 개정법령의 주요 내용을 설명드리도록 하겠습니다.

첫째, 반복적이거나 중대한 개인정보 침해에 대해서는 제재를 대폭 강화하되, 유출 등 사고를 예방하기 위한 기관·기업의 노력은 적극적으로 장려하고자 합니다.

고의 또는 중대한 과실로 개인정보 침해를 반복하거나 1,000만 명 이상의 대규모 피해를 발생시키는 등 중대한 침해에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과하겠습니다.

기업 등 개인정보처리자가 실질적으로 체감할 수 있는 수준으로 강화된 책임을 지도록 하여 국민들의 개인정보 자기결정권을 침해하는 행위에 대해서 엄중히 대응하겠습니다.

한편, 개인정보 보호를 위해 사전에 투자한 노력은 과징금 감경 요소로 충실하게 반영할 수 있도록 하겠습니다.

개인정보 보호 예산과 인력, 설비와 장치에 대한 투자 내역뿐만 아니라 사업주, 대표자와 개인정보보호책임자의 역할, 개인정보 보호 관리체계 및 안전조치 수준을 종합적으로 고려하여 과징금을 최대 40%까지 감경할 수 있도록 하겠습니다.

이러한 제도 개선을 통해 개인정보 보호를 유출 등 사고 발생 이후 부담해야 하는 비용이 아니라 사고를 사전에 예방함으로써 고객의 신뢰와 기업의 가치를 높이는 선제적 투자로 인식할 수 있도록 하겠습니다.

둘째, 개인정보 보호와 안전한 관리가 담당 실무자만의 업무가 아니라 기업·기관의 핵심적인 경영 책임으로 자리 잡도록 하겠습니다.

사업주와 대표자에게 개인정보 보호의 최종책임자로서의 관리·감독 의무를 법률에 명시함에 따라 경영진이 개인정보 보호에 직접 관심을 갖고 조직 전체의 주요 업무에 수반되는 개인정보 침해 위험을 관리하여야 합니다.

아울러, 개인정보보호책임자의 권한 역할을 강화하기 위해 개인정보 보호에 필요한 전문인력과 예산을 확보하고 CEO와 이사회에 개인정보 보호 현황을 보고하도록 하였으며, 개인정보 보호 실태에 대해 정기적으로 조사·개선하도록 명확히 규정하였습니다.

현재 전문 CPO 지정 의무... 의무 대상으로 지정된 일정 규모 이상의 주요 개인정보처리자에 대해서는 CPO를 지정·변경·해제할 때 이사회 의결을 거치도록 하고 개인정보위에 신고하도록 의무화하였습니다.

이를 통해 CPO의 독립성이 강화되고 개인정보 보호에 관한 중요한 의사결정이 실무진에만 머무르지 않고 기업·기관의 최고의사결정 프로세스에서 실질적으로 논의되어 책임 있게 관리될 수 있도록 하겠습니다.

셋째, 개인정보 유출사고가 지속 증가하는 상황에서 국민들이 개인정보 유출 등 위험을 보다 신속하게 알 수 있도록 하여 피해를 최소화하겠습니다.

개인정보가 실제로 유출되었다는 사실을 확인한 이후 정보 주체에게 통지하도록 했던 기존 제도에서는 유출 등 여부를 최종적으로 확인하기까지 시간이 소요되는 동안 국민이 자신의 개인정보가 유출된 사실을 모른 채 추가 피해에 노출될 수 있는 문제가 있었습니다.

앞으로는 유출 등 사실을 최종 확인하기 전이라도 불법적 접근이 발생하거나 개인정보의 불법적 거래를 확인한 경우 등 객관적으로 유출 등 가능성이 높다고 합리적으로 판단되는 경우 가능성 단계에서부터 정보 주체에게 통지하도록 하였습니다.

한편, 유출 등 사고 발생을 통지할 때에는 사고 발생 사실뿐만 아니라 정보주체가 피해를 최소화하는 방법과 손해배상 청구, 분쟁조정 신청 등 국민들이 실제로 활용할 수 있는 피해 구제 절차도 함께 안내하도록 하였습니다.

또한, 개인정보가 랜섬웨어 등으로 위조·변조·훼손된 경우에도 유출 신고와 통지를 하도록 하여 다양해진 개인정보 침해 위협에 적극적으로 대응할 수 있도록 하였습니다.

마지막으로, 지난 3월 법 개정을 통해 공공·민간의 중요 개인정보처리자에 대해 개인정보 보호 인증 취득을 의무화하여 상시적인 개인정보 안전관리체계를 갖추도록 하였습니다.

다만, 해당 개정 규정은 인증 취득을 위한 기업·기관의 예산 확보에 소요되는 기간을 고려하여 2027년 7월 1일부터 시행될 예정입니다. 인증 의무화 대상의 범위는 시행령 개정을 통해 2027년 상반기까지 확장할 계획이며, 대상이 되는 기업·기관은 2028년 12월 31일까지 ISMS-P 인증을 취득하여야 합니다.

위원회는 이번 개정법령 시행을 통해 중대한 개인정보 침해에는 더욱 엄정한 책임을 묻고 사전 예방 중심의 개인정보 보호는 더욱 촘촘하게 하며, 국민의 피해에는 보다 신속하게 대응하는 개인정보 보호체계를 확립해 나가겠습니다.

이상으로... 이상입니다.


(07:38)
[질문·답변]
※마이크 미사용으로 확인되지 않는 내용은 별표(***)로 표기하였으니 양해 바랍니다.

<질문> 질문 기회 주셔서 감사합니다. 저는 생각했을 때 40% 감경 기준이 아마 가장 중요할 것 같은데, 지금 첨부자료, 참고자료로 투자 감경 안내서 개요로 설명해 주셨는데 추후 자세하게 기업들 대상으로 투자 감경 안내 기준에 대해서 구체적으로 명시하실 것인지 궁금하고요.

또 관련 지표 예시로 IT 투자액 대비 개인정보 보호 투자 예산 비율, 증가율 및 집행내역, 매출액 대비 개인정보 보호 투자 규모 등을 이렇게 제시하셨는데, 구체적인 이게 숫자가 나와야 기업들 입장에서 그럼 얼마를 대체 투자해야 우리가 얼마큼 감경 받을 수 있을 것인가에 대한 의문이 좀 해소가 될 것 같거든요. 이 부분에 대해서 설명을 부탁드립니다.

<답변> 단지 그 투자하는 수치가 중요한 게 아니고요. 업종별 어떤 기업·기관의 특성에 따라서 기본적으로 필요한 예산 설비는 투자하고, 그 투자의 규모하고 어떤 지속성 그리고 이런 부분들을 당연히 보는 거고, 이 투자 자체와 함께 기본적으로 중요한 거는 기업·기관의 개인정보 관리체계 이것이 확립이 돼 있어야 됩니다.

그렇게 확립이 되려고 한다, 라는 그 뜻은 확립돼서 운영돼야 되는데 그렇게 하게 되면 일단 기본적으로 개인정보, 보호해야 될 어떤 자산이 정확히 식별이 돼야 되고요. 그 자산이, 보호해야 될 자산이 식별이 되고 그리고 이 개인정보 처리해야 되는 매 단계마다의 리스크들이 확인이 돼야 되고, 리스크에 어떤 적합한 대응체계, 보호체계가 만들어져야 됩니다.

그러한 개인정보 보호체계가 적합하게... 그러니까 수립이 돼서 실질적으로 운영되는 게 되게 중요하고, 그러한 개인정보 보호 관리체계가 운영되게 함에 있어서의 CPO의 역할 그리고 개인정보 관리체계가 운영되면서 식별된 리스크하고 경감 대책을 주기적으로 이사회하고 대표자에게 보고하고, 그 회사의 대표자는 또 체계적으로 그에 대한 어떤 지원을 하거나 후속 대책을 하는 이런 전체적인 체계, 그래서 뭐랄까, 개인정보와 어떤... 보호와 관리에 대한 어떤 내용들이 실무자한테만 머무르지 않고 기업 경영의 핵심 가치로 장악될 수... 정착될 수 있도록 하는 체계가 굉장히 중요하고 투자를 통해서 여러 가지 안전조치를 이렇게 보강할 것으로 기대되고 있고, 이러한 전체적인 개인정보 보호체계의 어떤 우수성 그리고 여기에 들어간 어떤 투자 내역들이 종합적으로 평가가 돼서 투자 감경에 반영될 것이고요.

이와 관련된 제도의 상세 내용은 우리 투자 감경 관련된 안내서가 있고요. 또 지금 CPO 협의회 통해서 제도를 확정할 때까지 많은 의견 수렴들이 있었고 그리고 확정 이후에 또 소상하게 여러 가지 설명회 자리라든지 세미나 통해서 관련 내용들을 전파할 수 있도록 하겠습니다.

<질문> 안녕하세요? 티빙이나 KT 등의 최근 대형 유출사고가 개정법 시행기간이라 이 특례 적용이 아닌 것으로 보이는데 10%... 매출금의 10% 특례가 첫 적용이 상당 기간 뒤에 이루어질 걸로 보이는데 언제 정도 본격적으로 적용될지 궁금하고요.

그리고 반복 위반이 아니어도 한 차례 고의성이나 중과실이 100만 명 이상 피해가 인정되면 10% 특례 적용이 가능한지, 왜냐하면 10% 특례 적용까지 여러 요건이 필요한 것 같아서요. 감사합니다.

<답변> 일단은 그 적용 시기와 관련해서는 조금 과징금 10%와 관련돼서 반복 위반인 경우, 고의·중과실이면서 반복 위반인 경우 그리고 고의·중과실이면서 1,000만 명 이상의 중대한 피해 규모가, 영향 규모가 큰 경우 그리고 시행명령의 위반을 해서 똑같은 유출사고를 일으킨 경우 이렇게 세 가지 요건들이 있는데요.

기본적으로 반복행위와 관련해서는 법 시행 이후에, 법 시행 이후에 과징... 어떤 특정한 어떤... 그러니까 과징금의 각 부여할 수 있는 각 호의 요건에 따른 과징금 부과가 있고 그 이후에 또 재차 반복이 있는 경우에 지금 적용되게끔 되어 있고요.

그리고 피해 규모와 관련해서는 그거는 반복성 요건은 없는데 고의·중대한 과실이 있고 그리고 1,000만 명 이상의 대규모 피해가 발생되는 위반행위가 발생한 경우 그때부터 적용되도록 되어 있습니다.

<질문> 요건이 여러 가진데 이게 반복해서 일어나는 경우는 굉장히 드물잖아요. 그런데 세 가지 요건을 다 충족해야 되는지 아니면 어떤 명수나 피해 규모에 중점을 두고 판단하시는 건지 궁금합니다.

<답변> 그게 각각의, 그러니까 1호, 2호가 반복해서 고의·중과실에 의한 어떤 반복적 위반행위에 대해서, 유출 사건에 대해서 반복적 위반행위에 대해서 과징금이 부과되는 경우가 있고요. 그리고 고의·중과실이면서 대규모 피해를 야기하는 경우에 이 10% 과징금이 부과될 수 있는 경우가 있고 그리고 시정명령을 위반해서 과징금 부과 요건에 해당하는 경우 이렇게, 그래서 그게 다 앤드 조건이 아니라 각각의 다 과징금 10%까지 최대 상한으로 부과될 수 있는 징벌적 과징금의 요건들이 되겠습니다. 그러니까 경우의... 경우가 1호, 2호, 3호 이렇게 나눠져 있습니다.

<질문> 한 세 가지 정도 되는데요. 먼저 처음 질문에서 경감, 인센티브 경감, 저희가 보기에는 너무 이게 조금 자의적인 부분이 많아서. 그러니까 지금 국정원 N2SF 같은 경우는 보면 공공기관이 예산 인력을 둬야 되는 숫자가 나오는데, 물론 워낙 많은 산업군과 다 상황이 처해서 다르지만 그래도 IT 투자에는 몇 퍼센트 보안 투자를 해라, 라는 것들이 이미 있고, 그러면 그렇게 조금 이렇게 하는 기관은 경감을 해준다, 그렇게 수치화할 수가 없는지 궁금하고요.

그다음에 인센티브를 주잖아요. 그러면 우리가 계속 '외국은 주는데 왜 우리는 안 주냐?' 그렇게 해서 만들어졌는데 혹시 외국하고 비교하면 우리 이번에 말한 인센티브가 어느 정도 되는지 일단 하고요. 그다음에...

<답변> 외국하고 비교하면?

<질문> 그러니까 외국에도, 외국에는 우리가 이 제도를 만든 게 외국에는 벌만 하는 게 아니라 자발적으로 하면 인센티브를 준다, 세금을 깎아 준다, 뭔가 있었잖아요. 그래서 우리도 인센티브 제도 이번에 들어갔는데 혹시 외국하고 비교하면, 그리고 사실 기업들이 제일 좋아하는 인센티브 세제 혜택인 건데 그러니까 우리가 만약 인센티브가 어느 정도 가야 이게 당근 효과를 발휘할 건지 좀 궁금하고요.

그다음에 지금 이게 여러 가지 시행하다 보니까 많은 조항이 있는데 그중에서 처음으로 하는 게 있을 것 같아요, 많이 주르륵주르륵 있었는데. 그런 것들 나중에라도, '이거는 처음이다.' 문구든 이런 것들을, 아니면 코리아에서 처음이고 세계에서 처음일 수도 있을 것 같은데 퍼스트인 것들 좀 나중에라도, 여기서 하시는 건 주무부처고요. 이게 궁금하고요.

그다음에 이 CPO 좀 물어보겠는데 저희가 계속 지정을 해야 되잖아요. '이런이런 것들은 지정을 해야 된다.'를 해주셨는데 숫자가 없어서 늘 궁금했는데 이게 숫자를 좀 여기 이렇게 1·2·3번 이런 데는 현재 지정돼 있잖아요. 처장님, 이것도 몇 번 하셨던 것 같은데 또 다시 숫자 좀 궁금하고, 그러면 앞으로 늘어날 텐데 얼마까지 늘어날 거라고 예상을 하시며, 그런데 계도기간이 내년 12월까지인데 너무 오래 둔 것 아닌가, 올해 말까지만 두고 아니면 내년 상반기까지 1년만 둬도 될 것 같은데 이렇게 1년 넘게 계도기간을 두신, 이렇게 많이 사고가 날 때 해야 될 것 같은데.

그리고 하나만 더, 실무 매뉴얼 마련한다는 매뉴얼을 언제까지 마련하는 건지 아니면 마련된 건지 궁금합니다.

<답변> CPO 매뉴얼은 마련돼 있는 거죠?

<질문> 네, 이 정도까지만 하겠습니다.

<답변> 마련돼 있는 것. 그리고 일단은 전문 CPO를 두는 기관들은 공공... 요건은 정해져 있고요. 그리고 지금 약 700~800개 정도인데 정확한 수치는 아닙니다. 이 부분들은 지금 저희들이 법 시행에 따라서 정확하게 한번 산정을 한번 해볼 생각이고요.

그리고 투자 감경 관련돼서 해외 사례와... 그거는 지금 제가 알고 있기로는 미국이라든지 개인정보보호법의 특유한, 이러한 개인정보 관리체계를 과징금 산정해서 이렇게 반영하는 거는 아마 부분적으로 그러한 철학이나 어떤 개념들을 반영하는 곳은 있겠는데 좀 조직적으로 우리처럼, 예를 들어서 투자한 규모라든지 지속성 그리고, 그리고 CPO라든지 CEO의 어떤 책임의 이행 정도, 보호법에 대표자의 책임을 명문화한 것도 사실은 우리 보호법이 가장 선진적이라고 보겠습니다.

그래서 제가 보기에는 그 투자 감경 제도가 보호법에 이렇게 포함된 것이 다른 입법 사례에, 특히 개인정보 보호와 관련된 GDPR이라든지 다른 쪽에는 그런 입법 사례가 직접적으로 명문화된 것은 있지 않은 것으로 보이는데, 혹시 그거는 다른 우리 내용들이 있으면 추후에 한번 확인해 드리고요.

아까 첫 번째 질문과 관련해서 투자 감경을 이렇게 10%라든지 또는 예전에 어떤 구체적인 숫자를 이게 정확하게 인센티브 하는 거와 매칭하는 게 좋지 않겠느냐, 어떤 투자 비율이 어느 정도까지 뭐랄까, 구체적으로 제시하는 것이 좋지 않겠느냐, 라는 그 말씀이 있으셨는데, 그런데 보게 되면 개인정보와 관련된 적정 투자라는 것이 숫자 하나로 딱 나오기가 상당히 일단 힘들고요.

공공하고 민간이 다르고 그다음에 민간에서도 가만히 생각해 보시면 유충업... 유통업종이라든지, 예를 들어서 IT 업종이라든지 그리고 게임이라든지 또는 제조업종이라든지 다 산업별 특성이 달라서 숫자가 사실 특정될 수 없습니다. 그리고, 일단 그게 첫 번째 이유고요.

두 번째로 이유로는 숫자 자체로 사실은 이 개인정보 관리체계가 투자한 어떤 비중이 IT 쪽에서 지출의 예를 들어 10%다, 라고 했을 적에 이것 자체가 그 회사나 기업의, 기관이나 기업의 개인정보 관리체계가 우수하다, 아까 실질적으로 개인정보가 효과적으로 식별되고 리스크가 식별되면서 필요한 경감조치가 제대로 이루어졌다, 라는 것을... 이루어지고 있다, 라는 것을 보증하고 있지를 못하거든요.

그래서 사실은 그거를 투자하는 규모 또 어떤 리더십의 의지 그리고 전체적인 관리체계 그리고 법에서 요구하는 수준 이상의 안전조치, 그래서 그런 안전조치들이 어떤 부분들이 접근권한 관리에 있어서 통합적인 어떤 관리시스템을 적용하고 있는지, 접근 제어나 이상행위 탐지에 있어서 조금 고도화된 방법론을 쓰는지, 그리고 어떤 취약점, 어떤 공개 공시 제도를 이렇게 본격적으로 운용하고 있는지, 영향평가를 매 단계에 걸쳐서 하고 있는지, 이런 것들이 종합돼야 사실은 어떤 우리 선제적 예방 투자에 개인정보 보호 어떤 관리체계가 우수하다고 평가할 수 있겠고요.

이렇게 제대로 된 개인정보 관리체계를 구축하고 제대로 운영하는 곳, 또 이에 걸맞은, 그에 걸맞은 투자를 하는 곳, 이런 것들이 종합적으로 판단을 해서 저희들이 40%까지 투자 감경을 하고, 이 40% 감경으로 끝나는 게 아니라 아마... 이 보도자료에 혹시 그 내용 있나? 신속 감경 제도도?

보게 되면 2차 감경 요소로 여러분들이 좀 주목해 주셨으면 하는 것이 사고 발생 이후에, 지금 아까 투자 감경 제도는 사전 예방을 위한 투자 관리체계인데 그 관리체계하고 그걸 운영하는 데 있어서 우수성에 대해서 사전에 40% 감경을 하는 건데요.

사고 발생 이후에 이 관리체계를 바탕으로 해서 어떤 그 사고에 신속하게 그거를, 그러니까 사고 발생 사실을 신속하게 파악하고 또 이와 관련된 피해 확산 방지를 위해서 정보 주체한테 통지하고 신고하고 여러 가지 확산 방지를 위한 조치를 하고, 그리고 그 취약점을 개선하는 경우, 이러한 일련의 신속하게 대응하는, 저희들은 리질리언스 감경이라고 하는데요. 이 신속 감경을... 신속하게 대응할 수 있는 제반의 조치를 다하는 경우에는 추가적으로 40%가 또 감경이 됩니다.

그래서 투자 감경하고 이 신속대응, 사고 발생 이후에 신속대응 감경까지 합치게 되면 도합 80%가 넘는 금액이 감경돼서 이제는 사고 발생이라든지, 지금까지 보안을 약간 형식적으로 하고 하는 것들이 있었다면 이제는 그렇게 하지 말고 진짜 실질적으로 관리체계를 제대로 만들고 제대로 자산 식별하고 제대로 위협 식별해서 경감조치를 적용하는 거를 프로세스화하자.

그렇게 하고 사고 발생 이후에도 증거를 은닉하거나 또 사고 발생을 이렇게 숨기거나 이렇게 하는 게 아니라 드러내 놓고 효과적으로 이거에 대해서 신속하게 대응하고 후속조치를 하는 기업·기관에 대해서는 걸맞은 저희들이 인센티브를 주도록 해서, 그게 말한 저희들이 사고 발생 이후에 대응하는 것이 아니라 전체적으로 사전적인 투자를 통해서 이 문제를 해결해 나가자 하는 것이 저희들이 말하는 보안 제도의 패러다임 전환을 이렇게 추진하기 위해서 하는 제도 내용의 가장 중요한 부분이 되겠습니다.

그래서 그 부분을 조금 유념해서 이렇게 앞으로 아마 이 제도 계기를 통해서 이런 변화들이 있을 걸로 저희는 기대하고 있습니다.

<질문> 하나만 더. 이게 그러니까 너무 이렇게 정량적인 것보다 얘기하신 게 다 정성적인 게 많으니까, 또 개보위가 평가기관이 엄청 많은데. 그래서 우리가 ISMS도 현장에 가면 평가자, 사람에 따라, 사람 다 자기 주관에 따라 이게 정성적이라는 거는 달라질 수가 있으니 그래서 좀 정량, 얘기하신 것들 조금 정량화... 정성적인 것도 좋지만 그래서 좀 검토할 수 있도록...

<답변> 결과적으로 아까 투자 내용 및 규모 이것 관련해서는 사실은 저희들이 이거를 과기정통부에서 하는 개인정보보호 공시제도, 개인정보보호 공시제도를 통해서 인적·물적 투자를 관련된 숫자들을 밝히고 있는데, 이게 지금 정보통신망법 우리 제도 개편으로 해서 공시제도가 지금 외부감사 대상 기관으로 폭넓게 확대되지 않습니까? 그러면 지금 현재 한 700~800개 정도에서 2,000개 이상으로 이렇게 대상 기관이 확대가 되는데요.

대상 기관이 확대가 되게 되면 저희들이 기대하는 거는 업종별로 적정 투자 규모와 관련된 이 숫자들이 구체적으로 확인될 수가 있겠고, 그리고 업종별 평균치, 최대치, 최하치 이런 부분들이 충분히 나올 수 있을 걸로 저희들은 기대하고 있습니다.

만약 그렇게 하게 되면 업종별로 이렇게 선진 기업들이 어떤 형태의 어느 정도의 투자를 하고 있는지 이런 레퍼런스가 충분히 생길 걸로 생각하고 있는데, 지금 그거는 제도 확대 전이어서 그전까지는 기본적으로 정성적인 것, 정량적인 것 병합해서 종합 평가하는 이런 방식을 쓸 수밖에 없다.

<질문> 죄송한데 하나만 더 질문할게요, 죄송합니다. 혹시 이렇게 CPO가 늘어나는데 몇 명이나 늘까 혹시 예측이라든가 하신 게 있으면 숫자 좀 궁금하고요.

그다음에 하나는 CEO의 책임을 명확히 했다 그러는데 그거 문구가 정확히 어떻게, 어떤 보안사고가 난다, 그럼 CEO 네 책임이야, 이렇게 해서 우리가 어떤 법적 소송이나 만약에 나면 대상 기관에서 그 근거를 가지고 일반 소비자들이 '이렇게 명시가 돼 있잖아.' 그렇게 명... 그러니까 법... 지금 개정법에 책임을 명확히 했다 그러는데 정확히 어떻게 바뀌어 있는 건지.

<답변> (관계자) 그 부분은 저희 법문을 한번, 저희가 한번 참고하시면 될 것 같습니다. 법에 그 부분이 CEO가 최종책임자로서 명시가 되어 있던 거고요. 그걸 법원이 판단해서 최종책임자로서의 의무를 해태했는지는 최종적으로 법원이나 손해배상을 하면 판단하면 될 것 같습니다. 지금 단계에서는 법에 책임자로서 명시가 되어 있는 부분이고요. 법문을 한번 보시면 좋을 것 같고요.

CPO는 지정 의무는 현재 두고 있기 때문에 CPO 숫자가 늘어나는 건 아닙니다. 저희가 신고 의무를 이번에 부과했기 때문에 지정되어 있는 CPO를 저희 쪽에 신고하도록 했기 때문에 늘어나는 건 아니고요. 현재 전문 CPO, 자격을 갖춘 CPO를 가질 수 있는 대상은 한 600~700개 정도로 기본 하고 있고요.

그동안에, 신고 의무를 이번에 둔 이유는 지정 의무만 둬 놨기 때문에 누가 지정을 해야 되는지를 모르는 사례가 발생하는 경우가 있기 때문에 신고 의무를 둠으로써 보다 더 기관들이 책임 있게 CPO를 지정하고, 내가 지정해야 되는 기관이라는 걸 알고 하기 위해서 신고 의무를 둔 겁니다.

그리고 기자님께서 질문하신 마지막, 과태료 유예기간이 긴 건 아니냐, 라는 말씀이신데요. 저희가 9월 11일부터 CPO 제도가, 신고 제도가 시행이 되는데 그 신고기한, 마감기한이 시행일로부터 6개월입니다. 그러니까 지정을 하면 6개월. 그러다 보면 실질적으로 신고서를 제출해야 되는 첫 기간이 3월에 도래를 합니다. 그렇기 때문에 위반 사례는 3월 이후부터 발생하기 때문에 저희가 연말까지 계도기간을 둔 것으로 이해해 주시면 고마울 것 같습니다. 감사합니다.

<답변> 아까 대표자의 책임과 관련해서는 법문 자체는 사업주 또는 대표자가 개인정보 처리 및 보호 관련된 최종책임자로서, '최종관리자로서의 책임을 진다.' 이 법문에는 그렇게 되어 있고요.

최종관리자로서의 어떤 책임이라는 것은 우리가, 또 보호법에 어떤 규정이 있냐면 CPO는 주기적으로 자기 소관하고, 소관하에 있는 개인정보 파일이라든지 시스템에 관련된 개인정보 보호 현황을 실태를 점검하고 그 내용을, 주요 내용들을 이사회 또는 대표자에게 보고하도록 돼 있는데 그 문제점과 현황을 보고하면서 관련돼서 어떤 경감조치와 관련된 개선 대책이라든지 제언들을 하게 됩니다, CPO가 제대로 역할을 하게 되면요.

그렇게 되면 그 보고를 받은 대표자나 이사회는 그에 적합한 물적 자원, 그 문제 해결을 위한 어떤 지지라든지 어떤 자원을 할당하거나 또는 그와 관련된 문제 해결을 위한 여러 가지 노력들을 해야 되는데, 그런 과정에서 전체적으로 이게 원활하게 CPO의 역할들이 실무선에만 머무르지 않고 최고 의사결정 어떤 진행, 논의하는 프로세스에서 개인정보 보호 이슈가 제대로 다뤄지고 관련된 자원들이 할당될 수 있을 것으로 저희들은 기대하고 있습니다.

<질문> 질문 기회 주셔서 감사합니다. 혹시 개정 법·제도 관련해서 내부적으로 이 제도의 어떤 정책 성공에 대한 어떤 수치적 목표가 있을지도 궁금합니다. 왜냐하면 이게 개정안이 통과되고 나서도 6개월이라는 어떤 유예기간이 있었지만 가장 최근까지도 크고 작은 개인정보 유출 사건들이 있었고, 당장 내일 된다 해서 기업들이 과연 이 제도에 관련된 준비들이 다 되어 있는지도 사실 의문이 있어서, 혹시 제도가 시행... 본격적으로 시행되고 나서 내부적으로 어떤 정도의 수치나 어떤 정도의 데이터가 있을 때 이 제도가 성공적이었다, 라고 판단하실 수 있는 기준들이 마련되셨는지가 궁금하고요.

또 국민들이 바라보셨을 때 이 제도가 통과되고 나서 그래, 기업들이 과징금이 올라가고 책임이 올라간 것까지는 알겠는데 피해보상 관련해서는 조금 내용이 담기지가 않아서 그 부분에 대해서 의문을 제기할 수 있을 것 같습니다. 왜냐하면 가장 최근에 티빙 같은 경우에도 커뮤니티 이런 데 보면 쿠폰 정도 주는 걸로 끝나는 것 아니냐, 이런 볼멘소리들도 나와서요. 그거에 대해서도 답변해 주시면 감사하겠습니다.

<답변> 일단은 저희들 이번 제도 개편을 통해서 정량적 목표를 두는 것은, 설정하고 있는 것은 상당히 어려운 문제인데 저희들이 기대하고 있는 것은, 지금 그러니까 유출이, 유출 신고가 지금 급증하고 유출사고가 상대적으로 빠르게 증가하고 있는데 이 유출 사고가 많아지는 이유는 내적인 관리체계가 안 돼서 되는 부분도 있고, 또 외적 요인으로 해서 유출과 관련... 그러니까 사이버 해킹이라든지 공격 기법이 굉장히 고도화되고 있는 측면들이 있어서 지금 어떤 사이버 침해 위협과 해킹 위협들은 앞으로 굉장히 상시화될 거라고 저희들은 판단하고 있습니다.

그래서 이런 어떤 인공지능이 심화되는 이런 시기에 있어서는 저희들이 가장 지금 최근 빈발하는 어떤 이런 사건·사고라든지 이런 것들을 이렇게 줄여나가고 조금 안전한 관리체계를 만들기 위한 가장 기본이 되는 일이 기본적으로 기업과 기관의 어떤 개인정보 관리에 대한 선제적인 투자, 제대로 된 관리체계 이게 일단 선결이 돼야 된다, 라고 저희들은 생각하고 있고요.

이거를 사건·사고 이후에 대응하는 이런 체제가 아니고 그리고 제재 처분을 하고 이런 것으로는 그런 목표를 달성할 수가 없고, 사실상 기업과 기관, 개인정보처리자의 어떤 인센티브 구조를 완전히 재설계하는 게 필요해서 저희들이 징벌적 과징금 해서 그 위반에 대한 비용을 체감할 수 있도록 일단 높이고, 이것보다는 선제적인 어떤 투자하고 예방 관리체계에 대한 어떤 노력들을 사전에 강화할 수 있도록, 이런 형태로 해서 지금 전체적인 제도 변화를 이루었고요.

저희들은 이 제도 변화를 통해서 기업·기관에서 실제로 지금 큰, 저희들이 보호법 개정을 하고 내일부터 시행 예정으로 있는데 이미 많은 공공기관하고 대기업에서 저희들이 판단했을 때는 큰 변화의 물줄기가 지금 만들어지고 있다.

그래서 실제 개인정보 관리와 관련된 어떤 새로운... 관리체계를 새롭게 정립하고자 하는 노력 또 이 중요성에 대한 어떤 인식, 이런 부분들이 최고경영층에 저희들은 각인됐다고 시작하고요. 이런 노력들을 조금 더 탄탄히 전개를 해서 금년, 내년, 내후년 이렇게 해서 어떤 경영의 기본으로 정착될 수 있도록 하게 되면, 그러면 지금 약간 상시화되는 유출 위험에도 저희들이 대응할 수 있고, 그리고 더 크게는 이걸 바탕으로 해서 데이터 기반의 어떤 치열한 국제 경쟁에도 저희들은 대응해 나갈 것으로 그렇게 기대하고 있습니다. 그래서 이거는 첫 발... 첫걸음이고, 그리고 토대를 쌓는 일이기 때문에 대단히 중요하다, 라고 생각하고 있습니다.

<질문> 유출 가능성 통지 제도를 시행한다고 했는데요. 아까 전에도 말씀하셨지만 유출, 객관적으로 유출 가능성이 높다고 했을 때 시행하신다고 했는데 그래도 이건 가능성이니까 사고 발생이 확정되지 않았을 경우에 이렇게 통지를 하게 되면 국민적으로 불안이나 혼란을 키울 수도 있지 않을까 우려되는 부분이 있는데 어떻게 생각하십니까?

<답변> (관계자) 조사조정국장입니다. 유출 가능성 통지 제도가 새롭게 제도가 도입되게 된 배경이 기존의 사건들을 보시면 해킹 침해사고로 인해서 그 사건들이 발생했다는 것들은 많은 국민들이 아는데 그럼에도 불구하고 개인정보 유출이 확인되는 데까지, 그때까지 또 개인정보 유출 통지나 신고가 좀 지연되는 측면이 있었습니다.

그래서 침해사고가 발생했고 여기에 대해서 어떤 침해 가능성이 높은 경우라면 어떤 시기의 문제이지, 개인정보 유출에 대해서 이런 피해를 입을 가능성이 높은 국민들이 거기에 대해 대처할 수 있도록 이걸 미리 통지할 필요성이 있어서 유출 통지 가능성을 제도를 도입을 미리 하게 된 겁니다.

<답변> 국민들의 아까 약간 불필요한 통지가 많아짐으로... 많아지는 게 아니냐, 이로 인한 혼란도 일부 있을 수 있는 게 아니냐, 이런 질문에 대해서는 유출, 어떤 가능성만으로 통지하는 데 있어서 객관적으로 의심되는 정황, 이것이 확실히 있어야 되는, 저희들이 이 가능성 통지의 어떤 기준, threshold를 그렇게 조금 더 엄격하게 잡았기 때문에 이게 단지 취약점이 있다, 흔적이 있다, 이런 막연한 의심, 이게 아니고요. 객관적으로 정황이 일단 명확해야 됩니다.

그래서 기본적으로 다크웹의 어떤 실제 DB 구조와 아주 정확히 일치하는 어떤 그런 샘플 자료들이 돌아다닌다든지 그리고 침입되는 정황이 확실하게 확인됐는데 정확하게 규모가 판단 안 된다든지 그런 식의 구체적인 예시를 들어 있기 때문에 저희들이 이거로 인한 그런 아까 막연한 혼란, 혼선들은 최대한 저희들이 방비하고자 하고 있고요. 이런 것들이 사례가 더 축적되면 충실히 알려서 이 가능성 통지 제도가 본래의 취지대로 운영될 수 있도록 그렇게 노력해 나가겠습니다.

<질문> 사후에 신속하게 대응을 했을 때 추가로 40% 감경하겠다, 이렇게 말씀 주셨는데 시기나 얼마나 신속해야 하는지 그런 기준 등을 설명해 주셨으면 좋겠어서요.

<답변> 이게, 그러니까 이게 모든 사건·사고의 양태가 다르고 하기 때문에 어떤 시기라든지 이런 것들은 한데, 저희들은 기본적으로 아까 예를 들어서 저희들이 상정하고 있는 것은 아까 사전 예방 투자하고 또 어떤 관리... 이 사전 예방 투자를 적극적으로 하고 어떤 우수한 관리체계가 만들어져 있다, 라는 전제하에 보게 되면 그런 뭐랄까, 모범적인 어떤 개인정보처리자인 경우에는 사건·사고가 발생했을 적에, 이상행위가 나왔을 적에 이거에 대해서 반응하는 거를 탐지하는 속도 그리고 반응하는 속도가 사실 어떤 보통의, 통상의 주의 의무를 갖고 있는 개인정보처리자보다는 굉장히 빠를 것이다, 라는 기대를 하고 있고요.

그래서, 왜냐하면 그 우수한 관리체계를 갖고 있는 것은 아까 탐지나, 이상행위 탐지나 또는 위협이나 이거를 식별할 수 있는 이렇게 감각과 반응 속도가 빠를 거기 때문에, 그래서 신속하게 탐지가 될 수 있고 이와 관련해서 아는 즉시, 우리가 법이 요구하는 게 즉시거든요.

실무적으로는 72시간이라고 하지만 즉시, 아까 우리 정보 주체라든지 관계당국에 통지를 하고 그리고 이와 관련돼서 피해 확산을 위한 어떤 방지조치들을 이렇게 하고 원인을 파악하고 그 원인을 개선할 수 있는 보완 대책을 효과적으로 시행하고, 그리고 혹시 2차 피해 가능성이 있다면 그 가능성들을 차단하기 위한 일련의 조치를 하고 이런 것들을 굉장히 모범적으로 했을 경우에 그런 저희들은 개인정보처리자가 그렇게, 이렇게 후속대책... 후속조치를 하기를 저희들이 바라고 있는데 이러한 형태를 충실히 하는 경우에는 저희들이 감경을 굉장히 높게 할 수 있다, 라고 보여지고요.

그래서 저희들은 뭐랄까요, 모범적인 개인정보처리자가 사전에 투자하고 아까 사후에 여러 가지 이런 일련의 조치들을 모범적으로 잘했을 경우에는 그런 감경을 받을 수 있고, 저희들은 이게 일부 개인정보처리자가 아니라 우리 모든 공공기관 그리고 모든 기업들이 이러한 마인드셋을 갖고 올해부터 개인정보 보호의 처리와 활용에 그렇게 임해 줬으면 하는 그런 기대를 갖고 있습니다.

<답변> (사회자) 문자 메시지를 통한 질문이 별도로 없었던 관계로 이상으로 오늘 브리핑을 마치도록 하겠습니다. 참석해 주셔서 감사합니다.

<끝>