강은성의 보안 아키텍트ㅣ개인정보보호 담당자가 알아야 할 개정 개인정보보호법 (3)

지난 3월 14일에 공포된 개정 개인정보보호법을 3월 칼럼과 4월 칼럼에서 다뤘는데, 개정된 내용이 많아 이번 달에 한 번 더 다루고자 한다.

기업에서는 이따금 크고 작은 개인정보 ‘사고’가 발생한다. 개인정보 유출 등의 사고가 발생하면 개인정보처리자는 정보주체에 통지하고, 규제기관에 신고해야 한다. 현행법에서는 정보통신서비스 제공자 등의 통지·신고 시한은 24시간(제39조의4(개인정보 유출 등의 통지·신고에 대한 특례))이고, 일반 개인정보처리자의 시한은 5일 이내(지체없이, 제34조(개인정보 유출 통지 등))다.

개정법에서 정보통신서비스 제공자 등에 대한 조문이 없어지므로, 통지·신고 시한이 어떻게 바뀔지 기업의 관심사다. 24시간이 너무 짧다는 데 일정한 공감이 있고, 유럽 개인정보보호법(GDPR)에서 통지·신고 시한이 72시간이라는 점도 고려사항이 될 수 있다.

또한 현행법의 ‘정보통신서비스 제공자 등에 적용됐던 요건을 반영해 개인정보처리자의 통지·신고 대상이 ‘유출’에서 ‘분실·도난·유출’(유출 등)로 확대됐다. 여기에서 ‘유출’에 대한 정의를 다시 검토할 필요가 있다. 개인정보보호 담당자가 “밑줄 치면서” 읽는 ‘표준 개인정보보호 지침’(개인정보보호위원회 고시, 이하 ‘표준지침’)에서는 개인정보 유출을 다음과 같이 정의한다. 
 

표준지침 25조(개인정보의 유출)  개인정보의 유출은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것으로서 다음 각 호의 어느 하나에 해당하는 경우를 말한다. 1. 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우  2. 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우  3. 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장 매체가 권한이 없는 자에게 잘못 전달된 경우  4. 기타 권한이 없는 자에게 개인정보가 전달된 경우

이 정의에 따르면, 개인정보취급자가 개인정보가 저장된 USB 메모리를 잃어버리면 개인정보 유출에 해당한다. 

대법원 판결에서는 개인정보의 유출을 다음과 같이 정의한다.
 

“정보통신망법으로 보호되는 개인정보의 누출(유출)이란 개인정보가 해당 정보통신서비스 제공자의 관리·통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미” 대법원 2014. 5. 16. 선고 2011다24555,24562 판결

표준지침의 용어를 빌리면 “개인정보에 대한 통제를 상실하고 권한 없는 자(제3자)의 접근을 허용”하여, 권한 없는 자가 그 내용을 알 수 있는 상태에 이르러야 유출로 규정될 수 있는 것이다. 표준지침의 정의가 개정되어야 하지 않을까 싶다. 

개인정보 사고가 발생했을 때 개인정보처리자가 개인정보보호 법규 위반으로 손실이 발생할 수 있는 제도는 크게 행정처분, 형사처벌, 손해배상, 분쟁조정이 있다. ‘개인정보 분쟁조정’은 다른 세 가지에 비해 기업에서 관심을 많이 두고 있지 않지만, 13개 조문(개정법 기준)의 한 장(제7장 개인정보 분쟁조정위원회)으로 구성될 만큼 개인정보보호법에서 비중을 두고 있다. 한쪽 당사자가 동의하지 않으면 조정이 성립하지 않는 분쟁조정의 특성상 대중적으로 알려진 대규모 개인정보 사고에서 조정이 종종 성립하지 않지만, 일반 사건에서는 이 제도가 많이 활용된다. 
 

특히 개정법에서는 (1)분쟁조정 통지를 받은 개인정보처리자가 분쟁 조정에 응해야 하고(제43조(조정의 신청 등) 제3항) (2)조정안을 제시받은 당사자가 15일 이내 답변하지 않으면 조정안을 수락한 것으로 간주하며(제47조(분쟁의 조정) 제3항) (3)분쟁조정위에 ‘사실 조사권’을 부여(제45조(자료의 요청 및 사실 조사 등) 제2항)하는 등 분쟁조정 제도가 상당히 강화됐다. 

개인정보보호법에서는 정보주체가 개인정보처리자에 제기할 수 있는 손해배상제도로 일반 ‘손해배상제’와 ‘징벌적 손해배상제’(이상 제39조(손해배상책임)), ‘법정 손해배상제’(제39조의2(법정손해배상의 청구))를 규정하는데, 개정법에서는 징벌적 손해배상의 배상액 상한액이 손해액의 3배에서 5배로 증액됐다. 

제26조(업무위탁에 따른 개인정보의 처리 제한)에는 별로 부각되지는 않았지만, 기업 실무에 상당한 영향을 미칠 개정사항이 있다.
 

제26조(업무위탁에 따른 개인정보의 처리 제한)  ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023. 3. 14.> (중략) ② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 “위탁자”라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 “수탁자”라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다. <개정 2023. 3. 14.>

가장 큰 변화는 ‘수탁자’의 정의(제26조 제2항)를 “개인정보를 처리 업무를 위탁받아 처리하는 자”에서 “개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함)”으로 개정한 것이다. 수탁자의 정의를 바꿔 ‘재수탁자’를 ‘수탁자’의 범위에 넣음으로써, 개인정보 처리방침에 수탁자 공개(제3항), 수탁자에 대한 관리·감독·교육(제4항), 수탁자가 재위탁 시 위탁자의 동의 취득(제6항), 수탁자의 법 위반으로 발생한 손해배상에 관한 위탁자의 책임(제7항) 등 ‘수탁자’가 포함된 모든 조문에 재수탁자가 포함되게 됐다. 입법 취지가 무엇인지, 그에 합당한 규정인지 검토가 필요해 보인다.

기술의 발달에 따라 드론, 자율주행차, 소형 영상카메라 등 ‘이동형 영상정보처리기기’가 급속히 확산함에 따라 이를 통한 사생활 침해를 막기 위해 제25조의2(이동형 영상정보처리기기의 운영 제한)가 신설되고, 기존 제25조(고정형 영상정보처리기기의 설치·운영 제한)는 제25조(고정형 영상정보처리기기의 설치·운영 제한)으로 개정되었다. 제25조의2는 “업무를 목적”으로 하는 이동형 영상정보처리기기만을 규율하고 있어서 개인적으로 활용하는 이동형 영상정보처리기기로 발생하는 피해를 규율하지 못하는 한계가 있고, 기기운영자가 정보주체에 촬영 사실을 알리는 방법, 정보주체가 촬영 거부 의사를 표시하는 방법 등에 대해서는 구체화할 필요가 있다. 

‘국외 이전’에 관한 규정은 개정법에서 상당한 변화가 있다. 산재해 있던 관련 조항이 제3장(개인정보의 처리)의 다음 네 조로 통합됐다.

제4절(개인정보의 국외 이전)
개인정보 국외 이전은 (1)제3자 제공 (2)개인정보 처리 위탁 (3)보관으로 분류되는데, 현행법에서 (1)은 정보주체(이용자)의 동의 (2)와 (3)은 정보통신서비스 제공자 등은 개인정보 처리방침에 공개하거나 개별 통지하면 가능하다. 개정법에서는 현행법의 요건에 다음 세 가지를 추가했다. 

제28조의8(개인정보의 국외 이전) 제1항
국외에서 사업을 많이 하는 기업에는 상당히 도움이 될 것으로 보인다. 

다양한 마이데이터 사업의 기반을 만들었다고 평가받는 '전송 요구권'은 다음 세 조항으로 이뤄져 있다.
2020년 데이터 3법 개정 시 신용정보법에서는 ‘본인신용정보관리업’과 ‘본인신용정보관리회사’를 규정함으로써 신용정보 분야에서 ‘마이데이터 사업’의 법적 규정을 마련한 데 비해, 개인정보 처리에 관한 일반법인 개인정보보호법에서는 정보주체가 개인정보처리자에게 자신에 관한 개인정보를 자신에게 보내달라고 요구하거나 ‘개인정보관리 전문기관’(마이데이터 사업자) 또는 일정 요건의 개인정보처리자에게 보내달라고 요구할 수 있도록 함으로써 다양한 분야의 마이데이터 사업이 이뤄질 수 있는 법적 근거를 마련하였다.

제35조의3은 공포 후 1년 뒤(2024년 3월 15일), 제35조의2는 1년 뒤 2년 이내로 시행일이 잡혀 있다. '개인정보관리 전문기관'의 요건 제시와 승인 등 사업자 선정 절차가 진행되면서 본격적으로 추진될 전망이다.

개정법 대부분은 시행일이 올해 9월 15일로 되어 있으나, 다음 개정조항은 공포 1년 뒤인 2024년 3월 15일부터 시행된다.
세 번에 걸쳐 개정 개인정보보호법의 주요 내용을 살펴보았다. 이제 곧 시행령(안)이 발표되고, 이어 관련 고시, 해설서 등이 발간되면 모호한 내용이 좀 더 구체화되고, 보완해야 할 점도 명확해지지 않을까 싶다.
 
* 강은성 교수는 국내 최대 보안기업의 연구소장과 인터넷 포털회사의 최고보안책임자(CSO)를 역임한 정보보호 및 개인정보보호 전문가다. 현재는 서울여자대학교 정보보호학과 조교수로 있다. 저서로 「IT시큐리티」(한울, 2009)와 「팀장부터 CEO까지 알아야 할 기업 정보보안 가이드」(한빛미디어, 2022) 등이 있다. ciokr@idg.co.kr