쉬운 요약

• 개인정보 유출 등 중대한 위반행위에 대한 과징금의 실효성을 높이기 위한 법률 개정안이에요.
• 현재 시행 조문은 과징금을 전체 매출액의 3% 이하로 정하면서도, 위반행위와 관련 없는 매출액은 산정에서 빼도록 하고 있어요.
• 제안안은 이 매출액 제외 규정을 삭제해 기업의 전체 매출액을 기준으로 과징금을 산정하려고 해요.
• 개인정보를 많이 처리하는 플랫폼·IT 기업이 개인정보 관련 매출이 없다는 이유로 과징금 부담을 줄이는 상황을 막겠다는 취지예요.
• 법안이 통과되면 과징금 산정의 출발점이 넓어질 수 있지만, 실제 금액은 위반 정도와 피해 규모 등 여러 요소를 함께 고려해 정해져요.

주요 내용

• 과징금 산정 기준 변경: 위반행위와 관련 없는 매출액을 제외하지 않고 전체 매출액을 기준으로 삼으려고 해요.
• 매출액 제외 규정 삭제: 현재 시행되는 제64조의2제2항의 예외 문구를 없애려 해요.
• 개인정보 유출 제재 강화: 개인정보의 분실·도난·유출 등이 발생한 경우 과징금 제도가 더 넓은 매출 기준으로 작동할 수 있어요.
• 대상 기업의 책임 강화: 대규모 개인정보를 처리하는 플랫폼과 IT 기업의 보호 책임을 높이려는 방향이에요.
• 기존 상한 유지: 과징금 상한인 전체 매출액의 3% 이하라는 제64조의2제1항의 기준 자체를 높이는 내용은 아니에요.

왜 나왔나

발의 당시 설명에 따르면, 현행법은 개인정보 유출 등 일정한 위반행위에 대해 전체 매출액의 3% 이하에서 과징금을 부과할 수 있도록 하고 있어요. 하지만 현재 시행 조문은 과징금을 계산할 때 위반행위와 관련 없는 매출액을 제외하도록 정하고 있어, 기업이 개인정보와 매출의 관련성을 다투면 제재가 약해질 수 있다는 문제의식이 제기됐어요. 제안자는 이런 구조가 대규모 개인정보를 처리하는 기업의 보안 투자를 충분히 이끌지 못할 수 있다고 봤어요. 발의안은 유럽연합의 일반개인정보보호법을 비교 사례로 들면서, 매출액 제외 규정을 없애 기업의 전체 매출액을 기준으로 과징금을 산정하자고 제안해요.

무엇이 달라지나

1) 관련 매출액 제외 규정 삭제

현재 시행되는 개인정보 보호법 제64조의2제2항은 과징금을 산정할 때 전체 매출액에서 위반행위와 관련 없는 매출액을 제외하도록 하고 있어요. 제안안은 이 문구를 삭제해 개인정보 보호법 위반에 대한 과징금 산정에서 기업의 전체 매출액을 기준으로 삼으려 해요.

• 개인정보 관련 사업에서 발생한 매출만 따로 계산하는 방식보다 기업 전체 규모가 과징금 산정에 직접 반영될 수 있어요.
• 개인정보를 여러 사업에서 함께 처리하는 기업은 사업별 매출의 관련성을 따지는 부담이 줄어들 수 있어요.
• 반대로 개인정보 처리와 직접 관련이 적은 사업 매출까지 산정 대상이 될 수 있어 기업의 금전적 부담은 커질 수 있어요.

2) 과징금 산정의 판단 구조 유지

제64조의2는 매출액 기준만으로 과징금을 확정하지 않고, 위반행위의 내용과 정도, 기간과 횟수, 취득한 이익, 안전성 확보 조치, 피해 규모 등을 함께 고려하도록 하고 있어요. 제안안은 이 판단 요소와 과징금을 부과하지 않을 수 있는 사유까지 바꾸는 내용은 제시하지 않고, 매출액 제외 규정만 삭제하려고 해요.

• 전체 매출액이 기준이 되더라도 위반행위의 심각성과 피해 규모 등을 함께 살펴 과징금이 정해지는 구조는 남아 있어요.
• 암호화 등 안전성 확보 조치를 했는지, 피해 회복과 확산 방지에 나섰는지도 산정 과정에서 고려될 수 있어요.
• 지급불능이나 경미한 위반 등 법에서 정한 사유가 있으면 과징금을 부과하지 않을 수 있는 현재의 예외도 함께 확인해야 해요.

누구에게 영향이 있나

• 대규모 개인정보처리자: 전체 매출액이 과징금 산정 기준에 포함될 가능성이 커져 금전적 부담이 달라질 수 있어요.
• 플랫폼·IT 기업: 여러 사업 부문의 매출을 개인정보 처리와 분리해 설명하던 방식에 변화가 생길 수 있어요.
• 개인정보 보호 책임자와 보안 담당자: 유출 예방, 안전성 확보, 피해 확산 방지 조치의 중요성이 더 커질 수 있어요.
• 정보주체: 기업의 보안 투자와 사고 대응이 강화되면 개인정보 유출 피해를 줄이는 데 영향을 줄 수 있어요.
• 개인정보보호위원회: 전체 매출액을 바탕으로 하면서도 위반 정도와 피해 규모에 맞는 과징금을 산정할 기준을 적용해야 해요.

봐야 할 점

• 전체 매출액을 산정할 때 연결재무제표나 계열사 매출을 어디까지 포함할지 확인해야 해요.
• 매출액이 없거나 산정이 곤란한 경우 적용되는 별도 기준과 이번 개정안의 관계를 살펴봐야 해요.
• 전체 매출액을 기준으로 하더라도 위반행위의 규모와 기업의 보호조치를 어떻게 반영할지 구체화되어야 해요.
• 대규모 기업과 중소 규모 개인정보처리자 사이의 부담 차이가 과도해지지 않는지 확인할 필요가 있어요.
• 과징금 강화가 실제 보안 투자와 사고 예방으로 이어지는지, 기업의 이의 제기와 산정 자료 제출 과정에서 어떤 쟁점이 생기는지 지켜봐야 해요.