쉬운 요약
- 개인정보 유출 사고가 났을 때 피해자가 실제로 배상받을 수 있도록 보장 장치를 강화하기 위한 법률 개정안이에요.
- 기업의 이용자 수와 매출액, 보유한 개인정보 규모를 반영해 손해배상 준비 기준을 정하려 해요.
- 일정 규모 이상 기업에는 손해배상에 쓸 수 있는 금액의 최소한도를 두려 해요.
- 보험이나 공제에 가입하거나 준비금을 적립할 때 형식적인 기준에 그치지 않고 실제 피해 규모를 고려하려 해요.
- 대규모 개인정보 유출이 발생했을 때 기업의 배상 회피나 지연을 줄이려는 내용이에요.
주요 내용
손해배상 준비 기준 조정: 개인정보처리자가 보험·공제에 가입하거나 준비금을 적립할 때 이용자 수, 매출액, 개인정보 보유량 등을 고려하도록 하려 해요.
최소 보장금액 설정: 특정 규모 이상의 기업에는 손해배상책임 이행 금액의 하한을 두려 해요.
실질적인 피해 구제 강화: 개인정보 유출 사고의 규모에 맞는 배상 재원을 마련해 피해자가 실제로 보상받을 수 있도록 하려 해요.
대규모 처리 기업의 책임 강화: 많은 이용자의 개인정보를 보유하거나 매출 규모가 큰 기업일수록 더 충분한 배상 준비를 하도록 하는 방향이에요.
제39조의7 기준 구체화: 개인정보 보호법상 손해배상 보장 제도의 기준을 대통령령에만 맡기지 않고, 법률에서 고려할 요소와 최소 기준을 더 분명히 하려는 내용이에요.
왜 나왔나
현재 시행 중인 제39조의7은 일정 기준에 해당하는 개인정보처리자가 손해배상책임을 이행하기 위해 보험이나 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하도록 하고 있어요. 공공기관·비영리법인 등 일부 대상은 예외로 둘 수 있고, 구체적인 이행 기준은 대통령령으로 정하도록 해요. 그런데 발의 당시 설명은 정보주체가 100만 명 이상이고 매출액이 800억 원을 초과하는 기업도 보험 최소 가입 한도가 10억 원에 불과하다고 지적했어요. 대규모 유출 사고의 피해 규모에 비해 보장액이 부족하면 배상이 지연되거나 피해 구제가 사실상 어려워질 수 있어, 기업 규모와 개인정보 보유량을 반영한 기준이 필요하다는 취지예요.
무엇이 달라지나
1) 손해배상 기준의 규모 연동
현재 시행 조문은 매출액과 개인정보 보유 규모 등을 고려해 대통령령으로 정한 기준에 해당하는 개인정보처리자에게 보험·공제 가입이나 준비금 적립을 요구해요. 제안안은 여기에 이용자 수, 매출액, 개인정보 보유량 등을 손해배상책임 이행 기준에 보다 직접적으로 반영하려는 방향을 제시해요.
- 개인정보를 많이 보유하고 사업 규모가 큰 기업일수록 더 충분한 배상 준비를 하게 될 수 있어요.
- 같은 의무를 일률적으로 적용하기보다 실제 피해 가능성과 기업 규모를 함께 보려는 취지예요.
- 각 요소를 어떤 비율로 반영할지, 기업 규모를 어떻게 구분할지는 구체적인 기준 마련 과정에서 확인해야 해요.
2) 손해배상 보장금액 하한
발의 당시 설명에 따르면 현재 일부 대규모 기업의 보험 최소 가입 한도는 대규모 개인정보 유출 사고에 비해 낮을 수 있어요. 제안안은 특정 규모 이상의 기업에 손해배상책임 이행 금액의 하한을 설정해, 보험·공제 또는 준비금이 일정 수준 아래로 내려가지 않도록 하려는 내용이에요.
- 사고가 발생한 뒤 기업의 배상 능력이 부족해지는 상황을 미리 줄이려는 장치예요.
- 피해자 입장에서는 기업이 마련해 둔 재원이 실제 손해 규모에 더 가까워질 가능성이 있어요.
- 최소금액이 지나치게 낮으면 실효성이 떨어지고, 반대로 지나치게 높으면 기업의 비용 부담과 보험시장 영향이 커질 수 있어 적정 수준이 중요해요.
3) 피해 구제 실효성 강화
현재 시행 조문은 손해배상책임의 이행을 위한 보험·공제 가입이나 준비금 적립 의무를 두고 있지만, 제공된 조문만으로는 구체적인 최소 보장금액을 확인할 수 없어요. 제안안은 손해배상책임 이행 기준과 금액 하한을 법률에 반영해 대규모 사고에서도 실질적인 피해 구제가 가능하도록 하려는 방향이에요.
- 개인정보 유출이 확인된 뒤 배상 재원을 다시 마련하는 데 걸리는 시간을 줄이려는 취지예요.
- 기업이 제한된 보장 한도를 이유로 배상을 늦추거나 회피한다는 비판을 완화하려는 목적도 있어요.
- 다만 보험이나 공제의 보장 범위, 준비금의 실제 사용 가능성, 피해자별 배상 방식까지 함께 정해져야 제도의 효과를 판단할 수 있어요.
누구에게 영향이 있나
- 개인정보를 제공한 이용자: 유출 사고가 발생했을 때 배상 재원이 충분해질 가능성이 있어요.
- 대규모 개인정보처리자: 보험·공제 가입액이나 준비금 규모가 늘어날 수 있어요.
- 개인정보를 많이 보유한 기업: 보유량과 이용자 수가 손해배상 준비 기준에 반영될 수 있어요.
- 중소기업과 소상공인: 규모 기준과 예외 범위에 따라 의무 부담이 달라질 수 있어요.
- 보험·공제 사업자: 기업의 보장금액이 커지면 관련 상품과 위험 평가 기준을 조정해야 할 수 있어요.
봐야 할 점
- 이용자 수, 매출액, 개인정보 보유량을 어떤 방식으로 산정할지 확인해야 해요.
- 특정 규모 이상의 기업을 가르는 기준과 최소 보장금액이 얼마로 정해질지 살펴봐야 해요.
- 보험·공제 가입과 준비금 적립을 함께 한 경우 실제 보장액을 어떻게 계산할지 정해야 해요.
- 대규모 사고에서 피해자에게 배상금이 지급되는 절차와 시점을 구체화해야 해요.
- 보장금액의 하한을 높이는 것만으로는 충분하지 않아, 피해자가 신속하게 배상받을 수 있는 지급 절차까지 함께 마련되는지가 핵심이에요.
