법무법인 화우는 17일 뉴스레터에서 이달 11일부터 시행된 개정법과 같은 날 개인정보보호위원회가 발간한 「과징금 투자감경제도 안내서」를 바탕으로 이렇게 분석했다. 화우는 이제 기업이 사고 후 대응뿐 아니라 사고 전 투자와 관리체계를 입증 가능한 기록으로 남기는 것이 중요해졌다고 짚었다.
화우에 따르면 투자감경은 평소 개인정보 보호를 위해 예산·인력·설비·장치 등에 투자하고 보호체계를 실질적으로 운영해 온 기업에 적용되는 제도다. 다만 개인정보처리자의 고의 또는 중대한 과실로 위반행위를 한 경우에는 적용되지 않는다.
시행령상 판단 요소는 네 가지다. 개인정보 보호를 위한 예산·인력·설비·장치 등에 대한 투자 규모·비율과 지속성, 법 제30조의3에 따른 사업주 또는 대표자의 책임 이행 정도, 개인정보 보호책임자(CPO)의 역할과 조직·인력 구성 등 보호체계 운영 내용 및 수준, 그 밖의 개인정보 안전성 확보 조치에 관한 추가적인 노력이다.
과징금 산정 절차에서는 기준금액 산정 뒤 ‘투자감경(추가) ⇒ 1차 조정 ⇒ 2차 조정 ⇒ 부과과징금 결정’ 순으로 계산이 이뤄진다. 투자감경이 후속 조정보다 앞 단계에 놓인 만큼, 사전에 확보한 투자와 운영 실적이 최종 부과과징금에 구조적으로 영향을 미칠 수 있다는 것이 화우의 설명이다.
또 고시 제8조의3 제2항은 원칙적으로 위반행위가 있었던 사업연도의 직전 3개 사업연도 범위에서 이뤄진 조치를 고려하도록 하고, 보호위원회가 상당하다고 인정하는 경우에는 위반행위가 있었던 사업연도의 조치도 고려할 수 있도록 하고 있다. 화우는 기업 실무상 점검 항목으로 최근 3개 사업연도의 투자·운영 증빙 패키지 구축, 경영진 책임 이행의 문서화, CPO 체계의 실질화, 강화된 안전조치와 고의·중과실 리스크 관리를 제시했다.
※ 이 기사는 공개된 자료를 바탕으로 AI 기술을 활용해 분석·정리한 기사입니다.
