개보위 "예산·인력·점검 투자 입증시 과징금 최대 40% 감경"

[아이뉴스24 최효경 기자] 개인정보위원회(이하 개보위)가 개인정보보호법 위반 발생 전부터 관련 예산을 편성하고 전담 인력을 두며 점검 체계를 적극적으로 운영해 온 기업에 과징금을 감경받을 수 있는 체계를 마련한다. 개보위가 요구하는 객관적 자료로 해당 사실을 입증하면 기준금액의 최대 40%까지 감경받을 수 있다.

"예산·인력·CPO 권한까지 따진다"⋯감경 판단 요소는

개보위는 9일 서울 서초구 엘타워에서 열린 '2026 개인정보 정책포럼'에서 이같이 내용의 정보보호법 제도 개선안을 공개했다.

전창민 개보위 조사조정국 조사총괄과 사무관은 "직전 3개 사업연도 동안 이뤄진 개인정보 보호 투자와 관리체계를 객관적인 자료로 입증하면 과징금 기준금액의 최대 40%를 감경받을 수 있다"고 설명했다. 다만 고의 또는 중대한 과실로 발생한 위반은 투자감경 대상에서 제외된다.

전 사무관에 따르면 투자 감경 판단 요소는 △투자 규모와 지속성 △개인정보 보호 관리체계의 우수성 △법정 기준을 넘어선 추가 안전조치 노력 등이다. 핵심은 단순히 보안 예산을 썼다는 사실이 아니라, 개인정보 보호를 위해 어떤 투자와 관리를 했는지를 사전에 기록으로 남겼는지 여부다.

전 사무관은 "개인정보 보호 예산의 편성·집행 내역과 지속 투자 여부, 신규 투자 등을 본다"며 "전담 조직과 전문 인력을 배치했는지, 대표가 개인정보 보호를 위한 예산·인력 확보에 얼마나 관여했는지도 평가 요소"라고 설명했다.

개인정보보호책임자(CPO)의 실질적 권한도 판단 대상이다. CPO가 법정 요건을 충족하는 데 그치지 않고, 최고 의사결정기구에 참여하거나 개인정보 보호 관련 인력·예산 확보에 관여할 수 있는지 등을 살핀다.

법정 의무를 웃도는 안전조치도 중요하다. 전 사무관은 "정기적인 내부 점검, 추가 암호화, 사고 대응 훈련처럼 사고가 나기 전부터 보호 수준을 높이기 위해 실행해 온 조치가 해당된다"며 "반대로 개인정보 보호와 직접 관계가 없는 일반 정보보호 투자는 감경 사유로 인정받기 어렵다"고 말했다.

투자감경은 자동 적용되는 것이 아니다. 기업이 예산 집행과 인력 운영, 점검·보호 활동을 객관적인 문서와 시스템 기록으로 증명해야 한다는 것이다. 전 사무관은 "최대 40% 감경은 최종 과징금이 아니라 기준금액에 적용되는 한도"라며 "이후 위반의 중대성, 신고와 피해 회복, 피해 확산 방지 노력 등을 별도로 반영해 최종 부과액을 정한다"고 말했다.

이에 앞서 중대하고 반복적인 개인정보 유출 사고가 발생할 경우 전체 매출액의 최대 10%까지 과징금을 부과하는 개인정보보호법 개정안이 지난 9월 11일 시행됐다. 이와 관련해 과징금 부과 기준 금액의 최대 40%까지 감경하는 제도는 기업의 선제적 투자를 유도하기 위해 추진되는 것이다.

토스 "계약서에서 API까지"⋯서비스 안에서 보호활동 기록

기업 사례 발표에서 토스 운영사 비바리퍼블리카의 이창복 CPO는 개인정보 보호 원칙을 실제 서비스 운영 기록으로 연결하는 방식을 소개했다. 계약서와 동의서, 개인정보 제공 단계에서 정한 처리 기준을 데이터가 실제 오가는 응용프로그램인터페이스(API) 구간까지 연결해 관리하는 구조다.

이 CPO는 "내부 규정에 개인정보 처리 원칙을 적어두는 데서 그치지 않고, 실제 서비스에서 데이터가 어떤 경로로 이동하는지와 이상 접근 여부까지 추적하는 것"이라며 "토스는 현업의 개인정보 처리 활동도 월 단위로 점검하고 있다"고 설명했다.

보안업계 관계자는 "개정 제도는 개인정보 유출 사고에 대한 제재를 강화하는 동시에 사전 예방 투자를 유도하는 데 초점을 맞췄다"며 "고의·중과실 등 중대한 위반에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 반면, 사고 전부터 보호체계를 구축하고 이를 입증한 기업에는 감경 가능성을 열어둔 셈"이라고 말했다.