쉬운 요약

• 개인정보를 잘못 처리했을 때 과징금 부담을 높여 개인정보 보호를 강화하기 위한 법률 개정안이에요.
• 매출액을 기준으로 계산하는 과징금의 상한을 현재 3%에서 6%로 올리려 해요.
• 매출액이 없거나 산정하기 어려운 경우의 과징금 상한도 20억 원에서 40억 원으로 높이려 해요.
• 개인정보 유출이나 민감정보·주민등록번호 처리 등 중대한 위반이 발생했을 때 재발 방지 효과를 키우려는 내용이에요.
• 과징금 액수만 높이는 것이 아니라 위반 정도와 피해 규모, 보호 노력 등을 함께 고려하는 현재 산정 체계와 어떻게 맞물릴지 살펴봐야 해요.

주요 내용

매출액 연동 과징금 강화: 개인정보 보호법 위반에 대해 전체 매출액의 6%까지 과징금을 부과할 수 있도록 제안해요.

최대 과징금 상한 인상: 매출액이 없거나 매출액을 산정하기 어려운 경우의 과징금 상한을 40억 원으로 높이려 해요.

법 위반 억제력 강화: 과징금 부담을 키워 개인정보처리자가 예방 조치와 내부 관리를 더 적극적으로 하도록 유도하려는 취지예요.

중대한 개인정보 침해 대응: 동의 없는 개인정보·민감정보 처리, 국외 이전 규정 위반, 개인정보 유출 등 현재 조문이 정한 위반행위에 적용되는 과징금 기준을 강화하려 해요.

피해와 보호 노력의 반영: 과징금을 산정할 때 위반 기간, 피해 규모, 피해 회복 조치, 개인정보 보호 인증과 자율적 보호 활동 등을 고려하는 현재 체계는 함께 유지되는 구조예요.

왜 나왔나

현재 시행 중인 개인정보 보호법 제64조의2는 법에서 정한 위반행위가 있으면 전체 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있도록 하고 있어요. 매출액이 없거나 산정하기 어려운 경우에는 20억 원을 넘지 않는 범위에서 부과할 수 있어요. 발의 당시 설명에서는 이 기준이 미국과 영국 등 해외 주요국에 비해 낮고, 상한액도 낮아 과징금이 재발 방지 수단으로 충분히 작동하지 못할 수 있다는 지적을 제안 배경으로 들었어요.

무엇이 달라지나

1) 매출액 연동 상한 인상

현재 시행 조문은 보호위원회가 일정한 개인정보 보호법 위반에 대해 전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 정하고 있어요. 제안안은 이 비율을 6%로 높여 매출액을 기준으로 산정하는 과징금의 상한을 두 배로 올리려 해요.

• 개인정보를 많이 처리하거나 매출 규모가 큰 사업자는 같은 유형의 위반이라도 더 큰 과징금 부담을 질 수 있어요.
• 현재 조문은 위반행위의 내용과 정도, 기간과 횟수, 위반으로 얻은 이익, 정보주체의 피해 규모 등을 고려하도록 하고 있어요.
• 따라서 6%는 모든 위반에 일률적으로 부과되는 금액이 아니라, 구체적인 위반 사실과 산정 기준에 따라 정해지는 상한으로 이해해야 해요.

2) 매출액 산정이 어려운 경우의 상한 인상

현재 시행 조문은 매출액이 없거나 산정하기 곤란한 경우 과징금을 20억 원 이하로 부과할 수 있도록 하고 있어요. 제안안은 이 상한을 40억 원으로 조정해 매출액 기준을 적용하기 어려운 개인정보처리자에 대한 과징금 한도도 높이려 해요.

• 매출액이 없는 사업자나 매출액 자료로 과징금을 계산하기 어려운 사업자에게 적용되는 최대 부담이 커질 수 있어요.
• 매출액 산정자료 제출을 거부하거나 거짓 자료를 제출하면 현재 조문에 따라 전체 매출액을 기준으로 산정하거나 관련 자료를 바탕으로 매출액을 추정할 수 있어요.
• 과징금을 낼 능력이 객관적으로 없거나 위반이 경미한 경우 등에는 과징금을 부과하지 않을 수 있도록 한 현재 조항과의 관계도 함께 확인해야 해요.

이 법안이 제안하는 변화는 개인정보 보호 의무를 어겼을 때 감수해야 할 경제적 부담을 높여 예방 투자를 유도하려는 데 있어요.

누구에게 영향이 있나

• 개인정보처리자: 개인정보를 수집·이용하거나 보관·관리하는 기업과 기관은 위반 시 더 큰 과징금 위험을 부담할 수 있어요.
• 대규모 사업자: 매출액 연동 상한이 높아지면 개인정보 보호 관리 수준과 내부 통제의 중요성이 더 커져요.
• 매출액이 없거나 산정이 어려운 사업자: 정액 상한이 40억 원으로 높아질 경우 재무 부담이 크게 달라질 수 있어요.
• 개인정보 보호위원회: 과징금 산정과 부과 과정에서 위반 정도, 피해 규모, 보호 조치와 사업자 규모를 세밀하게 판단해야 해요.
• 정보주체: 사업자의 예방 조치가 강화되면 개인정보 유출과 부적절한 처리로 인한 피해를 줄이는 효과를 기대할 수 있어요.

봐야 할 점

• 6%와 40억 원이 실제 과징금 산정에서 어떤 기준과 절차로 적용되는지 구체화돼야 해요.
• 매출액과 위반행위 관련 매출액을 어떻게 구분할지, 매출액 자료가 부족할 때 추정 방식을 어떻게 적용할지 봐야 해요.
• 과징금 상한 인상이 사업자의 규모와 위반 정도에 비례하는지, 과도한 부담이 되지는 않는지 살펴볼 필요가 있어요.
• 피해 회복, 유출 확산 방지, 암호화 등 안전성 확보 조치와 개인정보 보호 인증을 실제 감경 요소로 어떻게 반영할지 확인해야 해요.
• 과징금이 높아진 뒤에도 사업자의 예방 투자가 늘고 반복 위반이 줄어드는지 지속적으로 점검할 필요가 있어요.