이재명 대통령, 개인정보 유출 징벌적 과징금 제재 강화 예고... 기업 특성 무관

핵심 요약

- 이재명 대통령이 2026년 7월 16일 개인정보 유출 사고에 대한 징벌적 과징금 등 제재 강화 방침 발표 - 기업 규모·업종·특성을 고려하지 않는 일괄 적용 방식으로 강력한 제재 예고 - 개인정보보호 법제 전반의 실효성 강화를 통한 국민 정보 보호 강화 의지 천명

주요 내용

이재명 대통령은 2026년 7월 16일 청와대에서 개인정보 유출 사고에 대한 제재를 대폭 강화하겠다는 입장을 공식 발표했다. 이번 발표의 핵심은 개인정보 침해사고 발생 시 징벌적 과징금 등 제재를 부과할 때 기업의 특성을 "전혀 고려하지 않겠다"는 강력한 의지 표명이다.

현행 개인정보보호법은 고의 또는 중과실로 개인정보를 유출한 경우 매출액의 3% 이하 범위에서 과징금을 부과할 수 있도록 규정하고 있다. 그러나 실제 부과 사례에서는 기업의 재무 상황, 업종 특성, 위반 정도 등을 종합적으로 고려하여 감경하는 경우가 많았다. 이 대통령의 이번 발표는 이러한 관행을 전면 재검토하고, 유출 규모와 피해 정도에 따라 엄격하게 제재하겠다는 정책 전환을 의미한다.

이번 방침은 최근 수년간 반복되는 대규모 개인정보 유출 사고에도 불구하고 실질적인 제재 효과가 미흡했다는 비판을 반영한 것으로 보인다. 특히 2025년 하반기 발생한 일련의 핀테크·전자상거래 업체 개인정보 유출 사건들이 이번 정책 발표의 직접적 배경이 된 것으로 분석된다. 정부는 향후 개인정보보호법 개정안을 통해 과징금 산정 기준을 더욱 명확히 하고, 기업 규모와 무관하게 위반 정도에 비례한 제재가 이루어지도록 법제를 정비할 계획이다.

한편, 이번 발표와 함께 미국 앤트로픽의 최신 AI 모델 '미토스(Mythos)'에 대한 언급도 있었던 것으로 전해지며, AI 시대 개인정보 보호 정책의 새로운 전환점이 될 것으로 전망된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 정책 발표는 현장에서 인증 심사를 수행하는 과정에서 지속적으로 목격해온 기업들의 안이한 개인정보 보호 체계 운영에 경종을 울리는 조치로 평가된다. 실제 심사 현장에서 많은 기업들이 ISMS-P 인증을 형식적 요건 충족 수단으로만 인식하고, 실질적인 개인정보 보호 역량 강화에는 소극적인 모습을 보여왔다. 특히 중소기업의 경우 "우리는 규모가 작아 제재 대상이 되지 않을 것"이라는 잘못된 인식이 만연해 있었는데, 이번 "기업 특성 전혀 고려 안 해" 방침은 이러한 안일함을 불식시킬 것으로 보인다.

기업들은 이제 개인정보 보호를 선택이 아닌 생존의 문제로 인식해야 한다. 단순히 인증 취득이나 법적 요구사항 충족을 넘어, 개인정보 생명주기 전반에 걸친 실질적 보호체계 구축이 시급하다. 특히 개인정보 영향평가(PIA) 수행의 내실화, 개인정보 유출 대응 훈련의 정기적 실시, 제3자 제공 및 위탁 관리 강화, 개인정보 보호책임자(CPO)의 실질적 권한 보장 등이 즉시 점검되어야 할 핵심 과제다. 향후 징벌적 과징금이 현실화될 경우 기업 존립 자체를 위협할 수 있는 만큼, 지금부터라도 개인정보 보호 투자를 경영 최우선 과제로 설정해야 한다.

ISMS-P 심사원 체크포인트

1. 개인정보 유출사고 대응 및 신고 체계 (ISMS-P 2.9.2, 개인정보보호법 제34조) 개인정보 유출 사고 발생 시 24시간 이내 개인정보보호위원회 및 한국인터넷진흥원(KISA)에 신고하는 절차가 문서화되어 있고 실제 훈련 기록이 있는지 점검해야 한다. 유출 통지 대상 판단 기준, 통지 방법, 통지 내용(유출 시점·항목·규모·조치사항·피해 최소화 방안 등)이 구체적으로 마련되어 있어야 하며, 연간 최소 1회 이상 모의 훈련을 실시하고 그 결과를 경영진에게 보고한 기록이 있어야 한다. 특히 징벌적 과징금 부과 시 사고 대응의 신속성과 적절성이 감경 요소로 작용할 수 있으므로, 초동 대응 체계의 실효성이 심사의 핵심이다.

2. 개인정보 처리 위탁 및 제3자 제공 관리 (ISMS-P 2.7.2, 2.7.3, 개인정보보호법 제17조, 제26조) 개인정보 유출 사고의 상당수가 위탁업체나 제3자 제공 과정에서 발생한다는 점에서, 수탁자에 대한 관리·감독 실태가 중점 심사 대상이 된다. 위탁 계약서에 개인정보 보호 의무 조항, 재위탁 제한, 손해배상 책임이 명시되어 있는지, 연 1회 이상 수탁자 보안점검을 실시하고 있는지, 제3자 제공 시 정보주체 동의를 적법하게 받았는지 확인해야 한다. 특히 해외 위탁·제공 시 개인정보보호법 제39조의14(개인정보 국외 이전 시 고지 등)를 준수했는지 면밀히 검토하며, 위반 시 과징금 부과 대상이 된다는 점을 명확히 인지시켜야 한다.

3. 개인정보 보호책임자(CPO) 및 개인정보 보호조직 운영 실태 (ISMS-P 2.1.4, 개인정보보호법 제31조) 개인정보 보호책임자가 형식적으로만 지정되어 있고 실질적 권한과 독립성이 보장되지 않는 경우가 많다. CPO가 이사회나 경영진에 직접 보고할 수 있는 체계인지, 개인정보 보호 예산과 인력에 대한 실질적 의사결정 권한이 있는지, 연간 개인정보 보호 교육 계획 수립 및 이행 실적이 있는지 확인해야 한다. 이번 제재 강화 방침 하에서는 CPO의 역할과 책임이 더욱 중요해지므로, 경영진의 개인정보 보호에 대한 의지와 지원이 실질적으로 이루어지고 있는지가 심사의 핵심 판단 기준이 된다.

CPPG·ISMS-P 연계 포인트

징벌적 과징금 제도 (개인정보보호법 제39조의2) 개인정보처리자가 고의 또는 중대한 과실로 개인정보를 분실·도난·유출·위조·변조 또는 훼손한 경우, 개인정보보호위원회는 관련 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다. 2024년 개정을 통해 도입된 이 제도는 단순 시정명령이나 과태료를 넘어서는 실질적 제재 수단으로, 정보주체의 피해 규모, 위반행위로 인한 이익, 재발 방지 조치 여부 등이 과징금 산정 시 고려된다. CPPG 시험에서는 과징금 산정 기준, 부과 절차, 이의신청 방법이 주요 출제 포인트다.

개인정보 유출 통지 의무 (개인정보보호법 제34조 제1항, 시행령 제38조) 개인정보처리자는 개인정보가 유출된 사실을 알게 되었을 때 지체 없이 해당 정보주체에게 ①유출된 개인정보 항목 ②유출 시점과 그 경위 ③유출로 인해 발생할 수 있는 피해 최소화 방안 ④개인정보처리자의 대응조치 및 피해구제절차 ⑤정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처를 통지해야 한다. 1만 명 이상 유출 시 또는 민감정보·고유식별정보 1천 명 이상 유출 시 개인정보보호위원회 또는 전문기관에 신고해야 하며, 위반 시 3천만 원 이하 과태료가 부과된다. ISMS-P 심사 시 통지 템플릿과 실제 이행 증적 확인이 필수다.