개인정보 대량 유출시 72시간내 신고해야...불법 국외이전 과징금은 상향

5일 개인정보보호법 시행령 개정안 의결
개인정보보호법 개정안 15일부터 시행

개인정보 보호법 시행일별 주요 개정사항. ⓒ개인정보보호위원회

오는 15일부터 모든 개인정보처리자는 개인정보가 대량 유출될 경우 72시간 이내에 신고해야 한다. 오프라인 사업자는 5일, 온라인 사업자는 24시간으로 이원화돼있던 신고기한이 하나로 통일됐다.

개인정보 국외이전 증가에 따라 국외이전 요건은 국제 기준을 기반으로 다양화됐다. 단 개인정보 침해 예방 효과를 높이기 위해 불법 국외이전에 대한 과징금 수준은 대폭 확대됐다.

개인정보보호위원회(이하 개인정보위)는 5일 국무회의에서 ‘개인정보 보호법’ 시행령 개정안이 의결됨에 따라 지난 3월 14일 공포된 개인정보 보호법과 후속 개정 시행령이 오는 15일부터 시행된다고 밝혔다.

급박한 상황에선 개인정보 수집 먼저

우선 국민의 생명·신체 등을 보호하기 위한 법체계를 정비했다. 긴급 구조 등 국민의 급박한 생명·신체·재산의 이익을 보호하기 위해 필요하거나, 메르스·코로나19 등 공공의 안전을 위해 개인정보를 수집·이용·제공해야 할 경우 이를 우선해 조치할 수 있도록 하되 개인정보 안전조치 등은 적용되도록 했다.

지난 2021년 2월 아동 성범죄 피해가 예상되는 상황에서 차량 공유업체 ‘쏘카’ 서비스를 이용한 범죄자의 주소 정보를 수사기관에 즉시 제공하지 않아 피해를 막지 못했다. 개인정보위는 이러한 사례를 들며 급박한 상황에서 골든타임을 놓치지 않도록 법체계를 정비했다고 설명했다.

개인정보처리자는 국민의 민감정보가 의도치 않게 공개되지 않도록 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다. 공개 게시판 등 상호 의사소통을 목적으로 운영되는 경우가 아니라면 비공개 설정 후 정보주체가 공개 여부를 선택할 수 있도록 운영해야 한다.

지난 2021년 1월 카카오맵 서비스 이용자가 스스로 저장한 폴더가 기본설정이 공개로 되어있는 사실을 모른 채 성생활, 건강 등 민감한 정보를 입력해 공개된 적이 있는데, 이와 같은 사례를 방지하기 위함이다.

지난 2019년 8월에는 경찰관이 민원 처리 과정에서 알게된 개인정보를 이용해 사적으로 연락하는 일이 벌어졌다. 이에 따라 개인정보를 사적인 목적으로 이용하는 행위를 엄격히 금지하고, 위반 시 5년 이하의 징역 또는 5000만원 이하 벌금 등 형사처벌 하도록 했다.

개인정보 침해에 대한 분쟁조정도 강화했다. 현재는 정보주체인 국민이 분쟁조정 신청을 하더라도 상대방이 공공기관인 경우에만 참여 의무가 있다. 그러나 오는 15일부터는 모든 개인정보처리자가 분쟁조정에 참여하도록 해 개인정보 침해를 받은 국민이 신속하게 구제절차를 진행할 수 있도록 했다.

드론 운영기준 마련, 개인정보 유출 신고기한 일원화

영상정보처리기기 운영 기준, 이원화된 온·오프라인 규제 등은 현장의 요청을 반영해 개선됐다.

우선 영상정보처리기기 운영 기준의 경우 고정형 영상정보처리기기(CCTV 등)는 촬영된 영상정보를 저장하지 않고 통계 목적으로 일시적으로 처리하는 경우 설치·운영할 수 있게 된다. 정보주체인 국민의 권익을 제한하지 않으면서 코로나19 등 위기상황에서의 출입 통제, 시장현황 파악 등을 위한 통계 목적으로 운영할 수 있도록 한 것이다.

드론ㆍ자율주행차 등 이동형 영상정보처리기기의 경우 촬영하는 과정에서 안내판, 소리 등을 통해 촬영 사실을 충분히 알렸다면 정보주체가 거부의사를 표시하지 않는 한 촬영이 가능하도록 했다.

다만 드론을 이용한 항공촬영 등 촬영 방법의 특성 때문에 촬영사실을 표시했으나 정보주체가 쉽게 알기 어려운 경우에는 개인정보위가 구축한 인터넷 사이트를 통해 공지하는 방법으로 알려야 한다.

온·오프라인으로 이원화돼 각각 다른 기준을 적용하고 있는 규정들은 ‘동일행위 동일규제 원칙’에 따라 모든 개인정보처리자가 동일한 기준을 적용받도록 정비했다.

이에 따라 모든 개인정보처리자는 개인정보가 유출됐다는 사실을 알게 됐을 때 유출된 개인정보가 ①1000명 이상인 경우 ②민감정보 또는 고유식별 정보인 경우 ③해킹 등 외부로부터 불법적인 접근에 의한 유출인 경우에는 72시간 이내 개인정보위 또는 한국인터넷진흥원에 신고해야 한다.

김직동 개인정보위 개인정보보호정책과장은 “기존에 온라인 사업자의 신고의무 기한은 24시간, 오프라인 사업자는 5일이었는데, 글로벌 추세를 반영해 72시간으로 일원화했다”고 개정 배경을 설명했다.

정부주체에 대한 통지는 유출 규모와 무관하게 72시간 이내에 이행해야 하며, 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 자신의 인터넷 홈페이지에 30일 이상 게시하도록 했다.

정보주체 또는 개인정보처리자의 의사와 무관하게 서비스를 1년 동안 이용하지 않는 경우 의무적으로 파기 또는 별도 분리 보관하도록 한 유효기간제 규정은 이용자와 기업의 불편을 고려해 삭제했다. 이에 따라 개별 기업·기관 등의 서비스 특성, 정보주체의 이용주기 등 개별적 상황을 고려해 자율적으로 휴면정책 채택 여부를 정할 수 있다.

벌칙 규정도 개선했다. 기존에는 질서위반행위에 대한 과태료 부과는 의무사항이었으나, 앞으로는 위반행위의 정도·동기·결과, 개인정보처리자의 규모 등을 고려해 면제까지 가능하도록 하였다. 이에 따라 스타트업·중소기업 등의 위반행위가 경미한 경우 등의 사유가 있을 때에는 부담이 완화될 것으로 예상된다.

또한 주로 소상공인이 법을 알지 못해 발생하는 과태료 규정은 삭제하는 대신 시정조치 명령 후 불이행하면 과태료를 부과하는 체제로 전환했으며, 동일한 행위에 대하여 과징금 부과한 경우 과태료는 부과하지 않도록 제재규정을 명확히 했다.

공공기관 안전성 강화, 국외이전 과징금 확대

개인정보 보호법 개정사항 설명 일정. ⓒ개인정보보호위원회

공공분야에서 개인정보가 안전하게 처리될 수 있도록 안전성 확보조치도 강화했다. 국민의 개인정보가 대규모로 관리되고 있는 주요 공공시스템 운영기관에 대해 접속기록을 분석·점검하고, 공공시스템별 관리책임자 지정하도록 했다. 또한 공공시스템에 권한 없이 접근한 사실이 확인된 경우 통지해야 한다.

아울러 디지털 환경 전환에 따른 개인정보의 국외이전 증가에 대응해 국제 기준에 맞게 개인정보 국외이전 요건을 다양화했다. 우리나라와 동등한 수준으로 개인정보를 보호하고 있는 국가, 개인정보위가 고시하는 인증을 획득한 기업으로 국외 이전하는 경우에는 별도의 동의 없이도 국외이전이 가능하도록 했다.

국외 이전 관련 법규정을 위반하거나 보호수준이 취약해 정보주체에게 피해가 발생하거나 발생할 우려가 현저한 경우에는 국외이전을 중지하도록 명령할 수 있도록 했다.

과징금 상한액 산정기준은 ‘위반행위 관련 매출액’에서 ‘전체 매출액’으로 변경하고, 산정기준이 되는 매출액은 ‘위반행위와 관련 없는 매출액’을 제외해 과징금이 책임의 범위를 벗어나 과도하게 산정되지 않도록 했다.

단 중소·영세사업자 등의 부담능력 등을 감안해 과징금 납부기한을 2년 범위 내에서 연기하거나 분할해 납부할 수 있도록 개선했다.

앞서 구글과 메타는 지난해 개인정보위가 무분별한 개인정보 수집을 사유로 과징금 1000억원을 부과하자 제재가 부당하다며 행정소송을 제기한 바 있다. 해당 소송에서는 이번에 시행하는 개정안이 적용되지 않는다.

김직동 과장은 “(구글·메타와의 소송에는) 기존 법이 적용돼 (정부 승소 시) 법 위반행위와 관련한 매출액의 3%가 과징금으로 부과될 것”이라며 “법 개정 이후에 발생했다면 과징금 규모가 훨씬 더 커졌을 것”이라고 말했다.

개인정보위는 법 시행에 앞서 민간부문과 공공분야를 대상으로 개정 개인정보 보호법 설명회를 진행하고, 소상공인·전문 수탁자 등 분야별 특성에 맞게 현장 설명회를 지속적으로 추진할 예정이다.

고학수 개인정보위 위원장은 “개정된 개인정보 보호법은 달라지는 내용이 많아 현장에서 꼼꼼하게 확인하고 조치해야 할 사항이 많다”며 “이 점을 고려해 연말까지 현장 맞춤형 홍보와 계도 활동에 집중해 바뀐 제도가 현장에서 안정적으로 정착될 수 있도록 지원해 나가겠다”고 말했다.