개인정보 유출기업, 법 위반 또는 과태료 부과 대상 규정 위반 시 1~5천만원
법 위반, 주민등록번호 유출 및 안전 조치 위반 시 5억 원 이하 등 행정처분

[보안뉴스 김경애 기자] 개인정보 유출기업이나 법 위반 기업들에 대한 행정처분은 어떤 절차를 거치게 될까? 개인정보보호법을 위반한 경우 개인정보처리자와 영상정보처리기기 설치·운영 위반자를 대상으로 ①과태료 및 과징금 부과 ②시정조치 명령 ③개선권고 ④징계권고 ⑤공표 등의 순서로 행정처분이 진행된다.


[이미지=iclckart]

‘2013~2017 개인정보 실태 점검 및 행정 처분 사례집’에 따르면 행정처분 종류 및 요건은 △과태료 법 위반, 과태료 부과 대상 규정 위반 시 5천~1천만 원 △과징금 법 위반, 주민등록번호 유출 및 안전 조치 위반 시 5억 원 이하 △시정조치 법 위반, 침해·피해 발생 우려 시(과태료 규정 외) △개선권고 위반, 개인정보 보호실태 개선 필요 시 △징계권고 법 위반, 개인정보 관계 법규 위반에 책임이 있는 자 △공표법 위반이 심해 공공에 경종이 필요한 경우가 해당된다.


[자료=2013~2017 개인정보 실태 점검 및 행정 처분 사례집]

첫째, 과태료는 법적 의무 위반행위에 대해 행정청이 부과하는 금전적 행정벌로, 개인정보처리자가 개인정보를 안전하게 보호·관리 의무를 위반한 경우 부과된다. 과태료는 사소한 부주의나 오류 등 과태료를 감경할 필요가 있는 경우 1/2 범위에서 감경될 수 있고, 위반 내용과 정도에 따라 1/2 범위에서 금액이 가중될 수 있다.


[자료=2013~2017 개인정보 실태 점검 및 행정 처분 사례집]

둘째, 시정조치는 개인정보 침해가 발생해 피해가 우려되는 경우 이를 시정하기 위해 관련 조치를 명하는 것을 말하며, 개인정보 침해가 발생하지 않았어도 실태 개선이 필요한 경우 개선권고를 받을 수 있다.

이에 따라 행정안전부는 최근 개인정보 유출로 과태료 및 과징금을 부과받은 업체를 시정하기 위해 ①위반업체 대표자(CEO) 및 책임 임원은 ‘개인정보보호 CEO 특별교육’에 참석 ②개인정보보호책임자 및 개인정보취급자를 대상으로 정기적인 교육 실시 및 재발방지 대책 수립 ③악성코드에 감염된 직원 PC와 서버에 대한 자체 점검 및 해결조치 ④처분통지를 받은 날로부터 30일 이내 시정조치 이행결과 제출과 필요한 시정조치를 요구하고 있다.

셋째, 징계권고는 개인정보보호와 관련된 법규 위반 발생 시 책임자에게 신분상 조치를 하도록 권고하는 것을 뜻한다.

넷째, 공표는 행정 질서 위반이 심한 기업의 명단을 공표해 경각심을 주는 제재 수단이다. 공표 대상 기업 선정은 개인정보보호법 위반행위가 은폐·조작, 과태료 1천만 원 이상, 유출 등 7가지 공표 기준 등이 해당되며, 위반행위자, 위반행위 내용, 행정처분 내용 및 결과를 포함해 개인정보보호위원회의 심의·의결을 거쳐 공표된다.


[자료=2013~2017 개인정보 실태 점검 및 행정 처분 사례집]

다섯째, 과징금은 중요한 법적 의무 불이행에 대해 행정청이 부과하는 금전적 행정벌로, 위반행위로 인한 사업자 부당 이득금 환수 또는 영업 정지·취소 처분에 갈음해 부과(처분 시 이용자 불편 및 공익을 저해할 우려가 있을 경우)한다. 과징금 부과는 현장 검사, 과징금 산정, 의견 수렴, 과징금부과위원회 심의를 거쳐 과징 금액을 최종 결정하고 통지한다.


[자료=2013~2017 개인정보 실태 점검 및 행정 처분 사례집]

과징금은 개인정보보호법 제34조의2 제1항에 따라 개인정보처리자가 처리하는 주민등록번호가 유출된 경우, 제24조제3항에 따른 안전성 확보 조치를 다하지 않았을 때 5억 원 이하의 과징금이 부과된다. 특히, 주민등록번호 유출기관의 고의, 중과실, 경과실 및 유출건수를 기준으로 매우 중대한 위반(3억5천만 원), 중대한 위반(2억3천만 원), 일반 위반(1억 원)의 기본금액이 결정된다.

기본금액 산정 이후 안전성 확보 및 피해확산 방지 노력(1차 조정: 50% 이내 가중/감경),
위반행위 기간·횟수, 조사협조, 추가 피해발생, 평소 보호노력(2차 조정: 50% 이내 가중/감경), 현실적 부담능력(최종 산정: 50% 이내 감경) 등을 고려해 최종금액을 결정한다.

개인정보보호법 위반 공표 요건은 위반행위가 은폐·조작, 과태료 1천만 원 이상, 유출 등 7가지 공표 기준에 해당하는 경우, 위반행위 내용, 위반행위자, 행정처분 내용 및 결과를 포함해 공표한다. 공표는 행정안전부장관의 처분 권한이지만 개인정보보호위원회의 심의·의결을 거친다. 공표절차는 과태료 및 과징금에 대한 최종 처분할 때 ①대상자에게 공표 사실을 사전 통보 ②소명자료 또는 의견 수렴 후 개인정보보호위원회 송부 ③개인정보보호위원회 심의·의결 ④홈페이지 공표 순으로 진행된다.

이러한 가운데 올해 하반기 개인정보보호 정책방향을 설명하고, 상반기 개인정보보호 실태점검 결과에 따른 기업의 대응방안을 제시하는 자리가 마련될 예정이라 주목된다. 오는 5월 31일부터 6월 1일까지 행정안전부, 방송통신위원회, 개인정보보호위원회가 공동 주최하고, PIS FAIR 2018 조직위원회와 한국인터넷진흥원이 공동으로 주관하는 국내 최대의 개인정보보호 행사인 PIS FAIR 2018이 코엑스 그랜드볼룸에서 열린다. 이번 PIS FAIR 2018에서는 시행이 얼마 남지 않은 유럽 개인정보보호법(GDPR) 세션과 함께 개인정보보호와 관련된 이슈와 신기술들이 이틀에 걸쳐 세부적으로 소개될 전망이다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>