초록
본 연구에서는 2026년 9월 시행을 앞두고 있는 개정 「개인정보 보호법」 및 6월부터 입법예고가 진행 중인 「개인정보 보호법 시행령안」 등을 토대로 개인정보 보호를 위한 제도 네 가지를 비교법적 측면에서 검토하고, 이를 통한 국내로의 시사점 등을 도출하였다.
① ‘유출등의 가능성 통지’와 관련하여, 시행령안에서는 개인정보 유출등의 가능성 통지기준을 일정한 사실을 ‘알게 된 때’로 함으로써 침해의 중대성 여부가 아닌 유출등의 가능성이 객관적으로 없는 경우에만 통지의무를 면하도록 하고 있다. 이는 EU나 호주의 법제가 유출등의 가능성은 있으나 침해로 인하여 발생할 수 있는 ‘결과의 중대성’이 낮은 경우에는 통지의무를 면하는 것에 비하여 의무가 엄격히 부여하였다고 보여진다. 다만 일본의 법제는 유출등의 가능성이 객관적으로 발생하였는지가 아닌 ‘우려’가 되는 경우까지 포섭하고 있다는 점에서 빅데이터 시대에서 기대하는 정보보호 측면에서는 이러한 영역까지도 고려해야 할 필요가 있다.
② 징벌적 과징금 제도 및 과징금의 법적 성격을 고려한 활용의 필요성과 관련하여, 데이터의 발전과 그에 따른 데이터 유출등의 위험도 커진다는 점에서 국내 입법례 뿐만 아니라 국제적으로 개인정보 보호를 위반한 사업자에 대하여 과징금 산정기준을 강화하여 제재를 가하고 있고, 특히 일본의 경우 2026년 개인정보의 불법적 취급을 한 사업자에 대하여 과징금납부명령을 할 수 있도록 개인정보보호법을 개정하였다. 과징금은 행정적 제재 이외에도 부당이득환수라는 법적 성격을 가진다는 점에서 개인정보 보호위반에 따른 피해예방 및 구제를 위하여 그 과징금을 기금으로 편성하여 활용할 필요가 있다.
③ 그에 따라 과징금을 전제로 한 개인정보 보호기금을 도입함으로써 개인정보보호를 위한 목적으로 활용하여 개인정보 보호 수준을 격상시키는데 이바지 할 수 있겠다.
④ 정보유출등에 따른 손해배상책임의 실질적 이행을 위한 보험 또는 공제제도의 범위 확대하여 실질적 피해회복과 책임이행이 가능하도록 해야 할 것이다.
This study reviews, from a comparative legal perspective, four systems for the protection of personal information based on the amended Personal Information Protection Act, which is scheduled to take effect in September 2026, and the draft Enforcement Decree of the Personal Information Protection Act, which has been undergoing legislative notice since June, and derives implications for Korea therefrom.
① Regarding notification of the Risk of Personal Data Breach, the draft Enforcement Decree sets the notification standard at the time the operator becomes aware of a relevant fact, thereby exempting the notification obligation only where there is objectively no Risk of Personal Data Breach, rather than depending on the materiality of the Cyber Intrusion. This is stricter than the legal systems of the EU and Australia, which exempt the notification obligation where a Risk of Personal Data Breach exists but the materiality of the resulting harm is low. However, the Japanese legal system extends coverage even to cases of mere concern rather than requiring an objectively arisen Risk of Personal Data Breach, suggesting that Korea should likewise consider extending protection to this area in light of the level of information protection expected in the era of big data. ② Regarding the punitive Penalty surcharge system and the need to utilize it in light of its legal nature, given that the risk of data leakage increases alongside the development of data, both domestic legislation and international legal systems are strengthening sanctions by tightening the criteria for calculating Penalty surcharges imposed on business operators that violate personal information protection obligations. Because a Penalty surcharge carries, in addition to its character as an administrative sanction, the legal nature of disgorgement of unjust enrichment, there is a need to organize such Penalty surcharges into a fund and utilize them for the prevention of harm and remediation arising from violations of personal information protection.
③ Accordingly, by introducing a Consumer Privacy Fund premised on Penalty surcharges and utilizing it for the purpose of personal information protection, it would be possible to contribute to elevating the level of personal information protection.
④ The scope of insurance or mutual aid systems for the substantive fulfillment of liability for damages arising from a Personal Data Breach should be expanded so as to enable substantive recovery from harm and fulfillment of liability.
