쉬운 요약

• 개인정보를 반복해서 침해한 처리자의 과징금 감경을 제한하기 위한 법률 개정안이에요.
• 최근 3년 안에 같은 위반행위로 과징금을 받은 경우에는 과징금을 감경하지 않도록 하려는 내용이에요.
• 현재는 개인정보 보호를 위해 노력했거나 정보보호 체계인증을 받은 경우 과징금이 줄어들 수 있어요.
• 제안안은 이런 보호 노력보다 같은 위반행위를 반복했는지를 더 엄격하게 보려는 방향이에요.
• 다만 실제 적용 대상과 감경 제한 범위는 법안 심사와 최종 조문에 따라 달라질 수 있어요.

주요 내용

• 반복 위반 과징금 감경 제한: 최근 3년 내 같은 위반행위로 과징금을 부과받은 경우 과징금을 감경하지 않도록 해요.
• 개인정보 보호법 제64조의2 제6항 보완: 과징금 산정기준과 절차를 대통령령에 위임한 조항에 감경 제한 단서를 추가하려고 해요.
• 반복 위반에 대한 책임 강화: 같은 위법행위를 다시 한 개인정보처리자가 보호 노력만으로 과징금을 크게 줄이는 상황을 줄이려 해요.
• 기존 과징금 산정 체계 유지: 과징금 상한, 매출액 산정, 위반행위의 내용과 기간 등을 고려하는 기본 구조는 그대로 두고 감경 여부를 제한하는 방식이에요.
• 보호 노력과 책임의 균형 조정: 개인정보 보호 인증이나 자율적인 보호 활동을 고려할 수 있는 현재 체계에 반복 위반 여부를 추가로 반영하려는 취지예요.

왜 나왔나

발의 당시 설명에 따르면, 개인정보 보호법은 위반행위에 대해 전체 매출액의 3퍼센트를 넘지 않는 범위에서 과징금을 부과하도록 하고, 구체적인 산정기준과 절차는 대통령령에 맡기고 있어요. 위임된 법령에서는 정보보호 체계인증을 받는 등 개인정보 보호를 위해 노력한 경우 과징금을 최대 50퍼센트까지 감경할 수 있도록 하고 있어요. 제안자는 같은 위반행위를 반복했는데도 이런 감경이 적용되면 보안 수준을 높이기보다 사고 책임을 줄이는 결과가 될 수 있다고 보고, 반복 위반에 대한 책임을 강화하려고 했어요.

무엇이 달라지나

1) 반복 위반 과징금 감경 제한

현재 시행 중인 개인정보 보호법 제64조의2 제6항은 과징금을 앞선 조항들을 고려해 산정하도록 하면서, 구체적인 산정기준과 산정절차를 대통령령으로 정하고 있어요. 제안안은 이 조항에 단서를 신설해 최근 3년 내 동일한 위반행위로 과징금을 부과받은 경우에는 그 금액을 감경할 수 없도록 하려 해요.

• 같은 위반행위가 일정 기간 안에 다시 발생하면 과징금 감경의 문턱이 높아져요.
• 보호위원회가 과징금을 정할 때 과거 과징금 부과 이력이 중요한 판단 요소가 될 수 있어요.
• 법안이 말하는 동일한 위반행위의 범위와 3년을 계산하는 기준은 실제 조문과 집행 과정에서 확인해야 해요.

2) 보호 노력 감경과 반복 책임의 조정

현재 시행 조문은 과징금을 정할 때 암호화 등 안전성 확보 조치, 개인정보 보호 인증과 자율적인 보호 활동, 피해 회복과 확산 방지 조치 등을 고려하도록 하고 있어요. 발의 당시 설명에 따르면 대통령령에서는 이런 보호 노력을 이유로 과징금을 감경할 수 있는데, 제안안은 최근 3년 내 동일 위반이 있으면 그 감경을 막으려는 방향이에요.

• 사고 뒤 피해를 회복하거나 보호 체계를 갖춘 사정이 있더라도 반복 위반이면 감경받기 어려워질 수 있어요.
• 개인정보 보호를 위한 예방 활동을 평가하는 체계와 과거 위반에 대한 책임을 묻는 체계가 함께 작동하게 돼요.
• 반복 위반이 아닌 경우에는 현재 조문과 대통령령에 따른 감경 가능성이 어떻게 유지되는지 살펴볼 필요가 있어요.

누구에게 영향이 있나

• 개인정보처리자: 최근 위반 이력이 있으면 과징금 감경을 전제로 대응하기 어려워질 수 있어요.
• 대규모 개인정보를 처리하는 기업: 매출액을 기준으로 과징금이 산정될 수 있어 반복 위반 때 재정 부담이 커질 수 있어요.
• 중소 규모 처리자: 위반행위의 반복 여부와 보호 조치 이력을 체계적으로 관리해야 해요.
• 개인정보 보호위원회: 동일한 위반행위인지, 최근 3년 안에 해당하는지 판단하고 과징금 산정에 반영해야 해요.
• 정보주체: 반복적인 개인정보 침해에 대해 처리자의 책임을 더 엄격하게 묻는 효과를 기대할 수 있어요.

봐야 할 점

• 동일한 위반행위를 판단하는 기준이 위반한 조문인지, 사실관계와 처리 방식까지 포함하는지 확인해야 해요.
• 최근 3년의 시작점이 과징금 부과일, 위반행위 발생일, 처분 확정일 중 언제인지 정해져야 해요.
• 과징금 감경이 전면적으로 금지되는지, 대통령령에 따른 일부 감경만 제한되는지 최종 문구를 봐야 해요.
• 개인정보 보호 인증이나 피해 회복 조치를 한 처리자에게 반복 위반 외의 사정이 어느 정도 고려되는지도 중요해요.
• 법안이 확정되기 전에는 과거 과징금 이력만으로 감경이 배제된다고 단정할 수 없어요.