'유출 가능성 통지제' 도입…가능성만 포착돼도 즉시 통지
본회의 통과 후 국무회의 의결 남아…공포 6개월 이후 적용

개인정보보호법 개정으로 개인정보 유출 사고 시 과징금 상한이 매출의 최대 10%로 상향되며, 이는 기업 보안 투자를 ‘선택’이 아닌 생존 전략으로 전환시키는 압력으로 작용할 전망이다.





국회가 12일 본회의를 열어 국민의힘 의원들이 불참한 가운데 법안 63건을 처리하고 있다.



19일 업계에 따르면 기업의 사이버 보안 책임 강화를 골자로 한 '개인정보보호법' 개정안은 지난주 국회 본회의를 통과했다. 대통령 재가와 공포를 거쳐 이르면 8월 시행될 예정이다.

개정안은 고의·중과실 또는 반복적·대규모 개인정보 침해 사고 발생 시 과징금 상한을 전체 매출액의 10%까지 부과하도록 했다. 기존에는 전체 매출액 3% 이내로 제한돼 있었다. 매출 1조원 기업의 경우 최대 1000억원까지 부과가 가능하다.

적용 대상은 고의 또는 중대한 과실이 인정되는 3년 내 반복 위반 또는 1000만명 이상 대규모 피해로 제한되지만 현실화될 경우 사실상 '재무 리스크' 수준의 부담이다.

이와 관련해 업계 일각에서는 영업이익 기준도 아닌 전체 매출액을 기준으로 10%까지 과징금을 매기는 건 지나치다며 기업 경영에 실질적인 부담을 줄 수 있다는 주장도 나온다. 





국가별 규제 수위 비교



한국은행이 지난해 12월 발표한 '2025년 3분기 기업경영분석 결과'에 따르면 외부감사 대상 법인기업의 평균 영업이익률은 6.1%로 나타났다.

다만 기존 과징금 부과 방식과 마찬가지로 유출 사안과 관련 없는 매출은 산정 기준에서 제외될 수 있다.

한 정보기술(IT) 업계 관계자는 "과징금 상한을 매출액의 10%까지 상향할 경우 기업 경영에 과도한 부담으로 작용할 수 있다"며 "상황을 예의주시하고 있다"고 말했다.

이밖에 이번 개정안으로 '유출 가능성 통지제'가 도입됐다.

현행법은 '유출 등이 됐음을 알았을 때' 통지하도록 규정해 통지가 지연되는 문제가 있었으나, 앞으로는 개인정보 유출 사실이 확정되기 전이라도 유출 가능성이 확인되면 이용자에게 즉시 통지해야 한다. 

통지 내용에는 피해 사실뿐만 아니라 손해배상을 청구할 수 있는 관련 절차와 방법이 포함된다. 이는 기업이 조사를 명목으로 사고 발표를 지연시키는 관행을 막고, 소비자가 비밀번호 변경 등 추가 피해를 예방할 수 있는 시간을 확보하기 위함이다.

또 개인정보보호책임자(CPO)의 지정·변경·해제 시 이사회 의결을 의무화하고 이를 당국에 신고하도록 하는 신고제가 도입된다.

공공·민간 주요 개인정보처리자에 대해 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 의무화하는 등 내부 관리 책임도 강화됐다.