개인정보 유출 사고를 더 이상 실무 차원의 운영 실수로 치부할 수 없는 시대가 왔다. 정부의 새로운 법 개정은 데이터 리스크를 기업의 존폐를 좌우하는 최고경영자(CEO)의 핵심 책임으로 규정한다. 이는 단순한 처벌 강화가 아닌, 데이터 거버넌스를 기업 경영의 중심에 두라는 강력한 전략적 신호다.
핵심은 징벌적 수준의 과징금 도입이다. 반복적이거나 중대한 개인정보 유출 발생 시, 관련 매출액이 아닌 전체 매출액의 최대 10%까지 과징금을 부과한다. 이는 기업의 한 해 수익을 뛰어넘어 생존 자체를 위협할 수 있는 규모다. 이제 개인정보 보호는 비용이 아닌, 기업의 재무 건전성과 직결되는 필수 투자 항목이 되었다.
단순히 벌금을 높이는 데 그치지 않는다. 법 개정안은 CEO와 개인정보 보호책임자(CPO)의 책임을 명확히 못 박는다. CEO는 개인정보 보호의 최종 책임자로서 관리 및 감독 의무를 지며, CPO의 독립성과 전문성을 보장해야 한다. CPO는 예산과 인력 확보 권한을 갖고 이사회에 직접 보고하는 등 실질적인 컨트롤 타워 역할을 수행한다. 이는 개인정보 보호를 IT 부서의 과제가 아닌 전사적 최우선 과제로 격상시키는 조치다.
정부는 처벌과 함께 사전 예방 투자를 유도하는 전략적 인센티브도 마련했다. 정보보호 관리체계(ISMS-P) 인증을 획득하거나 관련 예산과 인력을 충분히 투자한 기업은 과징금 감경 혜택을 받는다. 이는 기업이 규제 준수를 넘어 선제적으로 데이터 보호 시스템을 구축하도록 유도하는 전략이다. 리스크 관리에 대한 투자가 곧 비용 절감으로 이어지는 구조를 만든 것이다.
이번 법 개정은 국내 기업의 데이터 거버넌스 체계를 근본적으로 바꿀 파급력을 가진다. 개인정보 보호는 이제 단순 규제 준수를 넘어 기업의 지속가능성을 담보하는 핵심 ESG 경영 요소로 자리 잡는다. 데이터 리스크를 제대로 관리하지 못하는 기업은 시장과 투자자로부터 외면받는 시대가 본격적으로 시작된다.
