개인정보 보호법 시행령 개정안 입법예고

개인정보보호위원회는 '개인정보 보호법(법률 제19234호, '23.9.15. 시행)' 시행령 개정안을 5월19일부터 6월 28일까지(40일) 입법예고한다고 밝혔다.

이번 시행령 개정안은 지난 3월 14일 공포된 '개인정보 보호법'전면 개정에 따른 후속 조치로, 정보주체인 국민의 권리를 실질적으로 보장하고 공공분야에서의 안전조치를 강화하면서, 온라인과오프라인으로 구분해 이원화돼 있는 개인정보 보호 기준을 일원화하는 내용을 담고 있다.

한편 내년 3월 15일 이후 시행 예정인 개인정보 전송요구권 관련규정, 자동화된 결정에 대한 정보주체의 권리, 공공기관 개인정보보호수준 평가 등에 관한 사항은 다양한 의견 수렴을 거친 후 법시행 시기 하반기 중 추가로 입법예고할 예정이다. 이번 '개인정보 보호법 시행령 개정안의 주요 내용은 다음과 같다.

첫째, 정보주체인 국민이 스스로 자신의 개인정보에 대한 권리를 실질적으로 행사할 수 있도록 동의의 원칙을 구체화하고, 개인정보처리방침 평가제를 통해 개인정보처리방침을 단계적으로 개선할 수 있는 기반을 마련했다.

동의를 받으려면 '정보주체의 자유로운 의사'에 따르도록 하는등 동의 원칙을 구체화하고, 정보주체가 동의 여부를 선택할 수 있다는 사실을 구분해 표시하도록 했다.

또한 개인정보처리자의 유형, 개인정보 처리 형태 등을 고려해개인정보처리방침 평가 대상자를 선정한 후, 동의 등 처리 근거가적정한지, 개인정보처리방침을 이해하기 쉽게 수립해 공개하고 있는지 등을 평가하고 개선할 수 있도록 구체화했다.

둘째, 온라인과 오프라인으로 구분해 달리 규율해온 이원화된규제를 디지털 사회에 맞는 규제로 일원화하고, 드론·자율주행차등 이동형 영상정보처리기기가 보편화되는 환경에 맞춰 운영기준을 정비했다.

정보주체가 아닌 제3자로부터 개인정보를 수집해 출처를 통지해야 하는 경우(수집 출처 통지)와 개인정보 이용·제공 내역을 통지해야 하는 경우(이용내역 통지)의 통지의무 대상자 범위를 수집 출처 통지 기준에 맞춰 정비하고 통지도 함께 할 수 있도록 개선했다.

개인정보의 안전조치 기준이 온라인과 오프라인으로 구분돼 있는 문제를 해소하기 위해 온라인 기준을 중심으로 통합하고, 안전조치를 위한 다양한 기술이 도입될 수 있도록 특정 기술을 채택해야 하는 것으로 오인될 수 있는 용어를 삭제하는 등 관련 규정을기술 중립적으로 정비했다. 즉 '백신' '보안서버' 등의 용어를 삭제하고, 저장·전송 시 '암호화' 외에도 '암호화에 상응하는 조치'를추가하는 등의 조치가 이뤄졌다.

더불어 정보주체가 정보통신서비스(온라인)를 1년 이상 이용하지 않은 경우 개인정보를 파기하거나 별도 분리해 저장하도록 한규정(유효기간제)을 삭제하고, 파기의 일반원칙에 따라 목적이 달성됐거나 보유기간이 종료되면 지체 없이 파기하도록 했다. 이는코로나19 상황에서 해외여행이 제한돼 면세점 홈페이지 서비스 이용이 1년 동안 없어 파기 등의 조치를 하는 경우, 이용자와 기업 모두 불편이 발생한 경우를 고려한 조치다.

또한 과징금이 위반행위에 비례해 산정되도록 중대하고 의도적인 위반행위에 대해서는 엄중한 과징금을, 경미한 위반행위에 대해서는 면제까지 가능하도록 산정기준을 개편했다. 과징금 산정을위한 기준이 되는 금액(기준금액)을 결정하는 비율(부과기준율)을결정할 때, 위반행위의 중대성 정도에 따라 현행 '3구간-단일 비율' 방식에서 '4구간구간 내 차등 비율' 방식으로 전환했다. 위반행위의 중대성 판단 기준은 위반행위의 내용 및 정도 ,  개인정보의 유형과 정보주체에게 미치는 영향 , 정보주체의 피해 규모 등을 종합적으로 고려한다.

이번 개정안의 산정기준은 법 시행일 이후 위반행위에 대해 모든 개인정보처리자와 개인정보 처리업무를위탁받은 수탁자까지 확대해 적용될 예정이다.

개인정보가 유출됐다는 사실을 알게 됐을 때는 유출된 개인정보가

• 민감정보 또는 고유식별정보인 경우
• 해킹 등 외부로부터 불법적인 접근에 의한 유출인 경우
• 1천 명 이상인 경우에는 정당한 사유가 없는 한 72시간 이내에 개인정보위(또는 한국인터넷진흥원)에 신고하도록 했다.

또한 정보주체에 대한 통지는 유출 규모와 무관하게 정당한 사유가 없는 한 72시간 이내에 이행해야 한다.

이밖에 그동안 규제샌드박스 실증특례를 통해 제한적으로 운영해 온 사항을 입법화하기 위해, 영상 촬영 후 별도로 저장하지 않는경우로서 통계 목적으로 운영하는 때에는 고정형 영상정보처리기기(CCTV 등)의 설치·운영이 가능하도록 했다. 더불어 국민의 생명등을 보호하기 위해 범죄·재난·화재 등의 상황에서 인명의 구조·구급 등을 위해 영상 촬영이 필요한 경우에는 이동형 영상정보처리기기(드론, 자율주행차 등)를 통해 촬영할 수 있음을 명확히 했다.

셋째, 그동안 공공부문에서 계속돼온 개인정보 침해사고를 근절하기 위해 대규모 공공시스템을 운영하는 공공기관에 대한 안전조치 의무를 강화하고 개인정보파일 등록, 개인정보 영향평가 등제도를 보완했다.

공공시스템의 개인정보 유출로 인한 국민의 2차 피해를 막기 위해 마련한 '공공부문 개인정보 유출 방지대책(22.7.14. 관계부처 합동)'에 따라 공공시스템 운영기관에 대한 안전조치 특례를 신설했다. 실제 번방 사건(19년), 송파 살인사건(21.12월), 신당동 역무원살인사건(22.9월) 등 사례에서 공공시스템의 개인정보 유출이 문제가 된 바 있다.

또한 그동안 공공기관이 관리하는 개인정보파일이 내부적 업무처리 목적인 경우에는 등록 대상에서 제외됐으나, 일시적으로 처리되는 경우 등 관리 필요가 없을 경우 외에는 등록해 관리하도록 했다.

등록 예외 사례는 구체적으로 일회적 행사 수행 ,공공의 안전과 안녕을 위해 긴급히 필요한 경우로서 일시적으로 처리 ,저장하거나 기록하지 않을 목적으로 수집된 개인정보 파일등이다.

이와 함께 공공기관이 개인정보 영향평가를 수행해야 하는 시점을 개인정보파일 운용 또는 변경 전으로 명확히 하고, 영향평가서 요약본을 공개할수 있도록 해 공공기관의 개인정보를 투명하게 관리하도록 했다.

한편 법 개정으로 글로벌 스탠다드에 맞게 개인정보의 국외 이전 요건이 다양화되고 국외이전 중지명령이 도입됨에 따라 그 세부적인 절차와 기준 등을 구체화했으며, 해외사업자의 국내대리인 지정 기준을 개정법 취지에 맞게 정비했다.