광장에 따르면 개인정보보호위원회는 6월 1일과 6월 2일 두 차례에 걸쳐 시행령 개정안을 입법예고했고, 9월 11일 개정법과 함께 시행된 최종 시행령에는 의견수렴, 규제심사 및 법제처 심사를 거쳐 수정된 내용이 반영됐다.
개정 시행령은 일정 규모 이상의 개인정보처리자가 CPO를 지정·변경 또는 해제하는 경우 이사회의 의결을 거쳐 개인정보보호위원회에 신고하도록 한 개정법 규정을 구체화했다. 신고 의무자는 사유가 발생한 날부터 6개월 이내에 신고서를 제출해야 하며, 경영상 이유로 이사회 소집이 어려운 경우 등 부득이한 사유가 인정되면 요청에 따라 1년의 범위에서 신고 기간을 연장할 수 있다. 시행일 전에 이미 CPO를 지정한 개인정보처리자로서 신고 의무자에 해당하는 경우에는 9월 11일부터 6개월 이내에 기존 CPO에 대한 신고를 완료할 필요가 있다고 광장은 설명했다.
개인정보 유출 등 '가능성' 통지제도도 구체화됐다. 광장은 개정 전 개인정보보호법상 '유출 등'이 '분실·도난·유출'로 제한돼 있었지만, 개정 시행령에 따라 분실·도난·유출뿐 아니라 개인정보의 위조·변조 또는 훼손까지 포함된다고 소개했다. 또 개인정보처리자는 요건에 해당하는 유출 등의 가능성을 알게 된 때부터 72시간 이내에 서면 등의 방법으로 정보주체에게 통지해야 한다. 같은 기간 안에 실제 유출 등이 확인되면 유출 가능성 통지 대신 실제 유출 통지를 해야 하고, 유출 가능성 통지 후 실제로 유출 등이 발생하지 않은 것으로 확인되면 그 사실을 즉시 통지해야 한다.
과징금과 과태료 기준도 손질됐다. 개정 시행령은 위반행위를 한 개인정보처리자가 예산·인력·설비·장치 등에 투자하고 개인정보보호위원회가 고시하는 기준을 충족하면 과징금 기준금액의 40% 범위에서 감경할 수 있도록 했다. 투자 규모·비율 및 지속성, 사업주 또는 대표자의 책임 이행 정도, CPO의 역할과 조직·인력 구성 등 개인정보보호체계 운영 수준, 추가적인 안전성 확보 노력이 고려 요소로 제시됐다. 광장은 다만 관련 고시는 아직 개정되지 않은 것으로 파악된다고 덧붙였다.
광장은 입법예고안과 비교하면 CPO 신고 기한이 사유 발생 후 1개월 이내에서 6개월 이내로 완화됐고, 부득이한 경우 연장 가능 범위도 1개월에서 1년의 범위로 넓어졌다고 정리했다. 반면 입법예고안에 담겼던 ISMS-P 인증 의무 개인정보처리자 기준 관련 규정은 최종 시행령에서 제외됐다. 광장은 ISMS-P 의무화에 관한 개정법 시행일이 2027년 7월 1일이며, 구체적 기준은 후속 시행령 개정을 통해 별도로 마련될 예정이라고 소개했다.
이번 뉴스레터에서 광장은 CPO 신고 체계, 유출 가능성 통지 대응 체계, 개인정보보호 투자 기준에 대한 재점검 필요성을 실무상 유의사항으로 제시했다.
※ 이 기사는 공개된 자료를 바탕으로 AI 기술을 활용해 분석·정리한 기사입니다.
이종현 기자 khkyun@ajunews.com
<저작권자 © 아주로앤피 (www.lawandp.com) 무단전재 및 재배포금지>
