개인정보보호법 시행령 개정안 입법예고…동의 방식 개선, 온·오프라인 규제 일원화

개인정보보호위원회는 개인정보보호법 시행령 개정안을 이달 19일부터 내달 28일까지 40일간 입법예고한다고 18일 밝혔다. 지난 3월 14일 공포된 개인정보보호법 전면 개정에 따른 후속 조치다.

먼저, 동의를 받으려면 '정보주체의 자유로운 의사'에 따르도록 하는 등 동의 원칙을 구체화하고, 개인정보처리방침 평가제 도입으로 단계적 개선을 위한 기반을 마련했다. 온라인과 오프라인을 구분했던 안전조치 기준은 온라인 중심으로 일원화했고, 드론·자율주행차 등 이동형 영상정보처리기기 관련 운영기준을 정비했다. 특정 기술을 요하는 것으로 오인될 수 있는 용어를 삭제하는 등 기술 중립적인 규정 정비도 이뤄졌다.

정보주체가 정보통신서비스를 1년 이상 이용하지 않을 시 해당 개인정보 파기나 분리 저장을 규정한 유효기간제는 삭제, 목적이 달성됐거나 보유기간이 종료되면 지체 없이 파기하도록 했다. 정보주체 외 제3자 개인정보 수집 출처 통지 기준에 맞춰 개인정보 이용·제공 내역 통지의무 대상자 범위를 정비하고 통지도 함께 할 수 있도록 개선했다.

과징금의 경우 중대하고 의도적인 위반행위는 엄중하게 처벌하되 경미한 위반행위에 대해선 면제도 가능하도록 산정기준을 개편했다. 과징금 산정을 위한 기준이 되는 금액(기준금액)을 매기기 위한 비율(부과기준율) 결정 시, 위반행위 중대성 정도에 따라 현행 3구간-단일 비율 방식에서 4구간-구간 내 차등 비율 방식으로 전환했다. 이 산정기준은 법 시행일 이후 위반행위에 대해 모든 개인정보처리자와 개인정보 처리업무를 위탁받은 수탁자까지 확대해 적용될 예정이다.

아울러 개인정보가 유출됐다는 사실을 알게 됐을 때 유출된 개인정보가 민감정보 또는 고유식별정보인 경우, 해킹 등 외부로부터 불법적인 접근에 의한 유출인 경우, 1000명 이상인 경우에는 정당한 사유가 없는 한 72시간 이내에 개인정보위 또는 KISA(한국인터넷진흥원)에 신고하도록 했다. 정보주체에 대한 통지는 유출규모와 무관하게 정당한 사유가 없는 한 72시간 이내에 이행해야 한다.

공공시스템 운영기관에 대한 안전조치 특례를 신설해 공공부문 안전조치 의무를 강화했다. 그동안 공공기관이 관리하는 개인정보파일이 내부 업무처리 목적이면 등록 대상에서 제외됐으나, 일시적인 처리 등 관리 필요가 없는 경우 외에는 등록해 관리하도록 했다. 공공기관이 개인정보 영향평가를 수행해야 하는 시점도 개인정보파일 운용 또는 변경 전으로 명확히 했다.

이밖에 개인정보 국외이전 중지명령 도입에 따라 그 세부적인 절차와 기준 등을 구체화했고, 해외사업자 국내대리인 지정 기준을 개정법 취지에 맞게 정비했다. 이번 시행령 개정안에 대해 의견이 있는 기관·단체 또는 개인은 국민참여입법센터나 개인정보위 전자우편·일반우편 등으로 6월 28일까지 의견을 제출할 수 있다.

내년 3월 15일 이후 시행 예정인 개인정보 전송요구권 관련 규정, 자동화된 결정에 대한 정보주체의 권리, 공공기관 개인정보 보호수준 평가 등에 관한 사항은 다양한 의견 수렴을 거친 후 법 시행 시기에 맞춰 하반기 중 추가로 입법예고 예정이다.

고학수 개인정보위 위원장은 "지난 3월 법 공포 이후 산업계·시민단체·학계의 의견을 계속해 들어왔으며, 정보주체의 권리와 공공부문의 안전조치는 강화하고 불합리한 규제는 정비하는 내용을 개정안에 담았다"면서 "개정된 개인정보 보호법이 현장에서 차질 없이 시행될 수 있도록 입법예고 이후에도 다양한 의견을 들어 시행령에 반영해나갈 것"이라고 말했다.팽동현기자 dhp@dt.co.kr