# 과징금 감경 검토에 대비하려면 개인정보 보호 투자를 어떻게 남겨야 할까

과징금 감경 검토에 대비하려면 개인정보 보호 투자를 어떻게 남겨야 할까

개인정보 보호법 시행령 개정안 입법예고로, 개인정보 침해 사고 이후 기업이 평소 어떤 보호 활동을 해왔는지 설명하는 일이 더 중요해졌습니다. 반복적이거나 중대한 침해에는 전체 매출액 최대 10%의 과징금이 적용될 수 있는 기준이 구체화되고, 개인정보 보호 투자와 안전조치 개선 노력은 감경 검토 요소로 제시됐기 때문입니다.

다만 이번 내용은 입법예고안 단계이며, 고의 또는 중대한 과실이 있는 경우에는 감경 대상에서 제외될 수 있습니다. 핵심은 “우리도 신경 쓰고 있었다”가 아니라, 예산·인력·조직·조치·점검 기록으로 평소 운영을 설명할 수 있는 상태를 만드는 것입니다.

먼저 볼 체크리스트

• 개인정보 보호 예산과 집행 내역이 남아 있는가
• CPO 또는 개인정보 보호 담당자의 역할과 검토 기록이 있는가
• 접근권한, 암호화, 접속기록, 파기 같은 안전조치 운영 기록이 있는가
• 처리방침, 수탁사, 보유기간, 파기 기준이 실제 운영과 맞는가
• 개선 조치가 일회성 문서가 아니라 반복 점검 체계로 남아 있는가

무엇이 달라졌나

이번 시행령 개정안의 의미는 과징금 산정과 감경 기준이 더 구체적인 운영 항목으로 내려왔다는 점입니다. 개인정보 보호 투자, 전담 조직 운영, CPO 역할, 안전조치 강화 노력처럼 기업 내부에서 실제로 남겨야 하는 자료가 더 중요해졌습니다.

그동안 개인정보 보호 업무가 “문서가 있느냐”에 가까웠다면, 앞으로는 “그 문서대로 운영했고, 개선했고, 그 흔적을 설명할 수 있느냐”가 더 큰 질문이 됩니다.

감경 검토에 대비하려면 증빙 단위가 필요합니다

개인정보 보호 투자는 단순히 솔루션 구매 내역만 뜻하지 않습니다. 예산 편성, 담당자 배정, 교육, 내부 점검, 외부 컨설팅, 시스템 개선, 위험 항목 보완이 함께 정리되어야 합니다.

예를 들어 접속기록 관리 솔루션을 도입했다면, 도입 계약서만으로는 부족할 수 있습니다. 어떤 위험을 줄이기 위해 도입했는지, 누가 운영하는지, 주기적으로 확인했는지, 이상 징후가 있을 때 어떤 절차로 대응하는지까지 연결되어야 합니다.

오늘 점검할 5가지

1. 예산과 집행 내역

개인정보 보호 관련 예산이 보안, 법무, 개발, 운영 비용 사이에 흩어져 있으면 조사·소명 단계에서 설명이 어려워질 수 있습니다. 개인정보 보호 목적의 지출을 별도로 구분하고, 어떤 리스크를 줄이기 위한 비용이었는지 메모를 남겨야 합니다.

2. CPO와 담당 조직의 역할

CPO가 지정되어 있어도 실제 의사결정에 참여하지 않거나 회의·검토 기록이 없다면 운영성을 설명하기 어렵습니다. 주요 서비스 변경, 위탁사 변경, 신규 수집 항목 추가, 보유기간 변경 시 CPO 또는 담당 조직의 검토 이력을 남기는 구조가 필요합니다.

3. 안전조치 운영 기록

접근권한 부여·회수, 관리자 계정 관리, 접속기록 보관, 암호화, 백업, 파기 작업은 정기적으로 운영 기록이 남아야 합니다. 조사·소명 단계에서는 “정책이 있었다”보다 “그 정책이 실행됐다”는 기록이 더 중요하게 검토될 수 있습니다.

4. 처리방침과 실제 운영의 일치

수탁사, 보유기간, 파기 기준, 제3자 제공, 국외 이전, 자동화된 처리, AI 기능 설명이 실제 운영과 다르면 관리 체계의 신뢰도가 낮아질 수 있습니다. 서비스 변경이 있을 때 처리방침과 내부 운영표를 같이 업데이트하는 절차가 필요합니다.

5. 개선 조치의 반복성

한 번 점검하고 끝난 자료보다, 분기별·반기별로 같은 항목을 다시 확인한 기록이 더 설득력 있습니다. 발견된 문제, 조치 담당자, 완료일, 재점검 결과를 남기면 개인정보 보호 활동이 일회성이 아니라는 점을 보여줄 수 있습니다.

캐치시큐/캐치폼으로 연결되는 지점

개인정보 보호 투자와 운영 증빙은 결국 “어디에서 어떤 개인정보를 수집하고, 어떤 문서와 절차로 관리하고 있는가”에서 시작합니다. 수집 화면, 동의 문구, 처리방침, 수탁사 목록, 보유기간, 파기 기준이 따로 움직이면 사고 전에도 운영 리스크가 커지고, 사고 후에도 설명이 어려워집니다.

캐치폼은 수집 단계의 동의와 고지 구조를 정리하는 데, 캐치시큐는 처리방침·위탁·보유기간·파기 기준을 운영 문서로 관리하는 데 활용할 수 있습니다. 중요한 것은 단순 작성이 아니라 변경 이력과 점검 흐름을 남기는 것입니다.

내부에서 바로 정리할 자료

• 개인정보 보호 예산·솔루션·컨설팅 집행 목록
• CPO 검토 회의록 또는 승인 이력
• 접근권한 부여·회수 기록
• 처리방침 변경 이력과 서비스 변경 내역
• 수탁사 목록, 계약·관리 점검표
• 보유기간과 파기 실행 기록
• 개인정보 침해 대응 훈련 또는 점검 결과

마치며

과징금 감경 검토에 필요한 자료는 사고 이후에 급하게 만들기 어렵습니다. 평소에 어떤 위험을 보고, 어떤 예산을 쓰고, 어떤 담당자가 확인했고, 어떤 조치를 반복했는지가 쌓여 있어야 합니다.

개인정보 보호 투자를 하고도 증빙 구조가 흩어져 있다면, 캐치시큐와 함께 처리방침·수탁사·보유기간·파기 기준·수집 동의 흐름을 먼저 점검해 보세요. 사고 대응 문서가 아니라 평소 운영 체계로 남기는 방향이 중요합니다.