[HOT ISSUE] 위탁업체의 개인정보 유출 사고, 누가 책임질 것인가?

개인정보보호법 준수를 위한 기업의 체크 포인트

어떤 기업에서 회심의 신제품을 출시할 예정이라고 가정해보자. 이 기업은 효과적인 프로모션이나 예상 수익 산출을 위해 타깃 고객부터 추려내고자 할 것이다. 이를 위해서는 기존에 보유한 고객들 외에도 더 많은 사람들에 대한 정보와 분석이 필요하다. 그러나 수많은 잠재 고객들의 생각과 추후 마케팅을 위한 정보를 수집하는 일은 엄청난 리소스가 소모되는 일이다. 편리하게도 이러한 일을 위탁받아 대행해주는 마케팅 전문 업체가 있다. 그런데 만일 프로젝트를 의뢰한 위탁 업체가 어느 날 해킹당해 데이터베이스에 있는 모든 정보가 외부로 유출되었다면? 과연 개인정보보호법은 유출된 개인정보에 대한 책임을 누구에게 물을까?

 

지난 9월 20일, 국무회의를 통해 개인정보보호법 시행령 제정안이 심의, 의결됐다. 시행령의 주요 골자는 정보 주체가 자신의 개인정보 항목•내용 등에 관해 열람•정정•삭제•처리 정지 등을 요구할 수 있다는 내용이었다.

이렇듯 개인정보보호법이 본격적으로 그 영향력을 발휘할 준비를 마쳤음에도 불구하고 여전히 일부 기업들은 개인정보보호법이 어떤 부분까지 영향을 미치는지 명확하게 파악하지 못하고 있는 실정이다. 이 글에서는 기존 관련 법령에 비해 개인정보보호법이 갖는 차이점을 파악하고 개인정보보호법과 관련해 기업이 유의해야 할 조항, 그 중에서도 특히 기업들이 간과하기 쉬운 위탁 업체 관련 부분을 살펴본다.

 

 

개인정보보호법, 무엇이 달라지나

개인정보보호법은 75개에 달하는 세부 조항과 더불어 최대 5천만 원에 달하는 형사처벌뿐만 아니라 구체적인 피해보상 규정을 명시하고 있어 기업 보안과 관련해 엄청난 후폭풍을 가져올 것으로 예상된다. 그러나 개인정보보호법 이전에도 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법(이하 정통망법)’ 등 30여 개가 넘는 개인정보와 관련된 법률이 존재했다. 그렇다면 이 법률들과 개인정보보호법은 과연 무엇이 다르기 때문에 폭풍의 핵으로 여겨지는가?

우선 개인정보보호법이 기존의 여타 법률과 가장 큰 차이를 갖는 것은 바로 ‘적용 대상’의 범위다. 기존 관련법에 비해 개인정보보호법의 적용 대상은 공공과 민간 부분으로 확대되었으며 국회, 헌법재판소 등 행정 사무를 처리하는 기관과 오프라인 사업자, 협회, 시민단체 등 비영리단체도 포함되었다. 이는 사실상 대부분의 기업들이 개인정보보호법에서 자유로울 수 없다는 것을 의미한다.

또 한 가지 달라지는 것은 법에서 정하는 ‘보호 범위’이다. 전자적으로 처리되는 개인정보뿐만 아니라 비전자적, 즉 수기로 작성된 문서에 포함된 개인정보도 개인정보보호법의 보호 범위에 포함된다. 즉, 앞서 확대된 적용 대상과 보호 범위를 묶어, 예를 들면 동사무소의 민원신청서류 등 공공기관의 종이문서 등도 개인정보보호법에 적용된다.

한편 이전과 마찬가지로 전기통신사업자, 전기통신서비스 제공자 등 온라인 상에서 개인정보를 취급하는 업체들과 이들이 처리하는 정보는 개인정보보호법이 적용되지만 동시에 여전히 정통망법의 대상이다. 따라서 온라인 사업자들은 정통망법에 준하여 적절한 조치를 다해왔다면 개인정보보호법과 관련해서도 크게 걱정할 부분은 없다. 그러나 기존 정통망법 등에서 준용사업자로 규정되어 있던 업체들과 내부 직원의 개인정보나 파트너사 딜러들의 개인정보 등 정통망법에 해당되지 않았던 사항들은 개인정보보호법 대상이다. 또한 기본적으로 일반 온라인 서비스를 이용하지 않는 고객들과 관련된 정보를 처리하는 것은 개인정보보호법에서 지정한 요건들을 충실히 이행해야만 한다.

 

 

개인정보보호법의 유의 조항

개인정보보호법에서 유의해야 할 부분은 크게 세 가지다. 첫째, 개인정보보호법은 ‘고유식별번호 처리’를 원칙적으로 금지하고 있다. 고유식별정보란 법령에 따라 개인을 고유하게 구별하기 위해 부여된 식별정보로 정의되며, 주민등록번호, 운전면허번호, 여권번호, 외국인등록번호 등이 이에 해당된다. 주민등록번호의 광범위한 사용 관행을 제한하고 무분별한 오•남용을 방지하기 위해 마련된 이 조항과 관련된 상세한 내용은 [표 1]과 같다.

 

[표 1] 개인정보보호법 제24조

 

둘째, ‘개인정보유출통지제도’이다. 개인정보보호법의 가장 중요한 부분이라 할 수 있는 조항으로, 개인정보보호법 제34조에 따르면 개인정보 유출 사고 발생을 확인한 즉시 해당 정보주체에게 알려야 한다. 이때 정보주체, 즉 해당 개인에게 고지해야 할 사항까지 개인정보보호법은 상세하게 규정하고 있다. 아울러 해당 정보주체에게 알렸는지의 여부를 행정기관에 신고하도록 하고 있다.

 

 

마지막으로 개인정보보호법과 관련해 기업에서 반드시 유의해야 할 부분은 바로 ‘위탁 업체의 관리감독 책임’과 관련된 부분이다. 이와 관련된 내용은 개인정보 수집, 이용, 제공, 위탁, 파기 등 단계별 처리기준을 구체화하고 있는 개인정보보호법 제15조~제22조 사이에 폭넓게 명시되어 있으며, 제26조를 통해 상세하게 규정하고 있다.

 

[그림 1] 개인정보보호법에 따른 개인정보 처리 단계

 

 

일단은 ‘갑’에게 책임

개인정보보호법은 개인정보 처리의 업무를 위탁할 경우, 문서에 의하도록 의무화하고 있다. 또한, 정보주체, 즉 정보를 제공한 개인이 위탁되는 업무의 내용과 수탁자를 언제든지 확인 가능하도록 공개하여야 한다고 규정하고 있다. 즉, 많은 기업들이 필요로 하는 홍보•판매 권유 업무를 위해 개인정보 처리를 타 업체에 위탁할 때 위탁 업무의 구체적인 내용과 수탁자를 해당 정보의 주체자인 개인에게 반드시 알리고 동의를 받아야 한다는 뜻이다.

 

 

그런데 만일 개인정보 처리를 위탁받은 업체에서 해당 개인정보가 유출되는 사고가 발생했다면 이는 누구의 책임일까? 개인정보보호법에 따르면 위탁 업체에서 개인정보 유출 사고가 발생했을 경우, 무조건 개인정보 처리를 의뢰한 기업, 즉 ‘갑’사의 책임이다. 언뜻 개인정보가 유출된 곳에서 책임을 져야 하는 것으로 오인하기 쉬운 부분이다. 물론 추후 ‘갑’사에서 위탁 업체에게 손해배상청구를 할 수는 있지만, 이보다 앞서 ‘갑’사는 개인정보보호법 위반에 따른 형사처벌 대상이 되며 해당 정보의 주체자인 고객들에 대한 민사상의 책임을 져야만 한다.

내부자, 특히 위탁 업체에 의해 발생하는 비율이 전체 보안 사고 원인의 80%에 이른다. 상대적으로 위탁 업체들은 영세한 경우가 많아 관련 법 규정을 파악하고 이행할 여력이 없기 때문이다. 따라서 ‘갑’사에서 위탁 업체를 잘 챙겨야만 한다.
개인정보보호법은 개인정보 처리를 의뢰한 기업, 즉 ‘갑’사로 하여금 개인정보 분실•도난•훼손 등을 방지하기 위해 위탁자, ‘을’사에 대한 교육, 처리상태 점검 등 수탁자에 대한 관리 감독을 책임지도록 규정하고 있다. 수탁자는 위탁받은 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하는 것은 불가하다. 또 홍보•판매 권유 업무를 위한 개인정보 처리 위탁 시에는 위탁 업무의 내용과 수탁자를 정보주체에게 고지해야 한다. 이와 관련해 ‘개인정보보호법 시행령안’은 개인정보 위탁과 관련해 다음과 같이 규정하고 있다.  

 

개인정보보호법 시행령안제28조: 개인정보의 처리 업무 위탁 시 조치>   1. 법 제26조제1항제3호에서“대통령령으로 정한 사항”이란 다음 각 호의 사항을 말한다. ① 위탁업무의 목적 및 범위 ② 재위탁 제한에 관한 사항 ③ 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항 ④ 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등감독에 관한 사항 ⑤ 법 제26조제2항에 따른 수탁자(이하“수탁자”라 한다)가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항   2. 법 제26조제2항에서“대통령령으로 정하는 방법”이란 개인정보 처리업무를 위탁하는 개인정보처리자(이하“위탁자”라 한다)가 위탁자의 인터넷 홈페이지에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하는 방법을 말한다.   3. 제2항에 따라 인터넷 홈페이지에 게재할 수 없는 경우에는 다음 각호의 어느 하나 이상의 방법으로 위탁하는 업무의 내용과 수탁자를 공개하여야 한다. ① 위탁자의 사업장 등의 보기 쉬운 장소에 게시하는 방법 ② 관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장 등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는'신문 등의 진흥에 관한 법률' 제2조제1호 가목ㆍ다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법 ③ 같은 제목으로 연2회 이상 발행하여 정보주체에게 배포하는 간행물ㆍ소식지ㆍ홍보지 또는 청구서 등에 지속적으로 싣는 방법 ④ 재화나 용역을 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법   4. 법 제26조제3항 전단에서“대통령령으로 정하는 방법”이란 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법(이하“서면 등의방법”이라 한다)을 말한다.   5. 위탁자가 과실 없이 제4항에 따른 방법으로 위탁하는 업무의 내용과수탁자를 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 위탁자의 경우에는 사업장 등의 보기 쉬운 장소에30일 이상 게시하여야 한다.

 

전사 차원의 교육에 위탁 업체도 포함돼야

개인정보보호법 준수를 위해 기업들에게 가장 먼저 요구되는 것은 전차 사원에서의 개인정보보호법에 관한 교육이다. 이때 위탁 업체를 통해 일부라도 고객의 개인정보를 처리하고 있는 업체라면 기업 내 직원들뿐만 아니라 위탁 업체에 직원들에 대한 일정 수준의 교육도 반드시 고려되어야만 한다.

개인정보는 최소한으로 수집하고 목적이 끝나면 바로 파기하도록 교육해야 하며, 파기 시에는 반드시 소프트웨어를 통해서 재생 불가능하게 삭제해야 한다는 점을 주지시켜야만 한다. 특히 주기적으로 자체 감사를 시행하여 동의받지 않은 수집 항목이 있는지 살피는 것이 중요하다.@