정보통신망법 및 개인정보 보호법 개정안의 주요 내용 및 시사점

망법과 개보법 개정안이 작년 12월에 각각 통과되었다. 일부는 6개월, 일부는 1년이 경과한 날로부터 적용되기에, 26년 6월 혹은 12월에 적용되는 내용이라고 이해할 수 있다. 

 

망법 개정안

① 정보보호위원회 설치 및 CISO 역할 강화: 일정 기준 이상의 사업자는 정보보호위원회를 의무적으로 설치해야 하며, CISO는 정보보호 현황을 이사회에 직접 보고해야 한다.

② 정보보호수준 평가 및 공개: 과기정통부 장관이 매년 정보통신망의 안정성을 평가하여 그 결과를 공개하며, 미흡 시 개선 권고를 할 수 있다.

③ ISMS 인증 기준 차등화: 정보통신서비스의 규모와 사회적 파급력을 고려하여 ISMS 인증 기준과 절차를 강화하거나 차등 적용할 수 있다.

④ 침해사고 조사 및 제재 강화: 사고 발생 확인 전이라도 조사위원회가 필요하다고 인정하면 조사가 가능하며, 자료 제출 거부 시 이행강제금이 부과된다. 또한, 중대 사고 반복 시 매출액의 3% 이하 과징금이 신설되었다.

 

개보법 개정안

① 대표자 책임 및 CPO 역할 강화: 사업주나 대표자를 개인정보 보호의 최종 책임자로 명시하고, CPO 임면 시 이사회 의결 및 신고를 의무화한다.
② ISMS-P 인증 의무화: 매출액 및 처리 규모가 큰 사업자는 ISMS-P 인증을 의무적으로 받아야 한다.
③ 유출 가능성 통지제 도입: 실제 유출 전이라도 유출 가능성을 알게 된 시점에 지체 없이 정보주체에게 통지해야 한다.
④ 징벌적 과징금 강화: 3년 내 반복 위반이나 1천 명 이상의 대규모 침해 발생 시 직전 3개년 연평균 매출액의 10%까지 과징금 부과가 가능해진다.

 

실제 결과는 무엇이건 뚜껑을 열어야 알겠지만, 이번 개정안의 핵심은 단순히 규제를 늘리는 것이 아니라, 실질적 책임의 강화, 선제적 방어 체계 구축을 목적으로 하는 데 있다는 것을 알 수 있다.

 

과거에는 보안 사고 발생 시 실무자인 CISO나 CPO가 단순 책임을 지는 구조였다면, 이제는 이사회 보고 의무와 대표자의 책임 명확화를 통해 정보보호 이슈가 경영진의 핵심 의결 사항이 되었다. 이는 보안을 비용이 아닌 리스크 관리 차원의 경영 전략으로 보겠다는 의지가 반영된 것으로 보인다. 

 

그리고 유출 가능성 통지제 부분이 눈에 띄는데, 사고가 터진 후 수습하는 것이 아니라, 징후가 포착되었을 때 즉시 통지하게 함으로써 정보주체의 자기결정권을 강화했다고 볼 수 있다. 이게 실무에서 과연 어떤 양상을 보일지가 정말 기대되는 바이다. 원론적으로만 따진다면, 기업 입장에서는 대응 시점이 대폭 앞당겨지므로, 상시적인 모니터링 시스템의 수준이 곧 기업의 신뢰도로 직결된다고 볼 수 있을 것이다.

 

매출액의 10%에 달하는 과징금(개보법)이나 이행강제금(망법) 도입은 기업에 상당한 압박이 될 것이다. 물론 지금도 3%를 온전히 내는 기업이 없는 것처럼, 10%도 당연히 현실적이진 않지만, 상징적인 숫자라는 데에 그 의미가 있을 것으로 보인다. 이는 법 위반으로 얻는 이득보다 규제 위반 시 발생하는 손실을 압도적으로 크게 설계하여, 기업 스스로가 강력한 컴플라이언스 체계를 갖추도록 강제하는 효과를 기대한 것으로 보인다.

 

 

 

출처

https://www.lawtimes.co.kr/LawFirm-NewsLetter/215002