[Hot Issue] 법도 지키고, 개인정보도 지킨다

기업의 정보 보호 및 개인정보 보호 체계의 전반적인 제고를 위한 '정보통신망 이용 촉진 및 정보보호 등에 관한 법률 시행령’이 오는 8월 18일자로 개정된다. 이번에 개정되는 것은 ‘시행령’이다. ‘법률’은 무엇이고, ‘시행령’은 또 무엇인가?
지금까지는 ‘법 없이’(?) 살았을지라도 이제는 법을 모르면 매우 위험할 수 있는 시대다.
이 글에서는 정보통신망법의 개정된 내용에 대해서 살펴보고 이에 따라 어떤 점들이 달라지는지 알아본다. 아울러, 기업이 스스로 법 준수 여부를 점검하고, 점검 결과 도출된 개선 사항을 효율적으로 이행할 수 있는 방안에 대해서도 생각해 보고자 한다.

 

 

아무리 법에 문외한일지라도 요즘 회자되고 있는 ‘개인정보보호법’에 대해서는 한두 번쯤 들어봤을 법하다.

 

국내•외를 막론하고 업무를 수행하면서 이러저러한 법의 제재를 받지 않는 일은 드물다. 다만, 업무 매뉴얼 속에 내재돼 있어 직접 법을 상대할 일이 없었을 뿐이다. 그런데 이제는 IT 컴플라이언스가 크든 작든 전체 기업에 영향을 미치게 됐다. 그 대표적인 것이 개인정보 보호 관련 법률이다.

 

 

정보통신망 법률 ‘시행령’ 개정

이번에 개정되는 것은 '정보통신망 이용 촉진 및 정보보호 등에 관한 법률 시행령’이다.

 

법은 상위법과 하위법으로 나뉘며 그 사이에는 엄격한 위계 질서가 자리잡고 있다. 이것을 ‘법령의 계위(階位)’라고 한다. 우리나라 법령 계위의 최상위에 있는 것은 헌법이다. 헌법은 다른 모든 법 제정의 근거가 된다. 그 다음이 법률이고, 그 아래에 명령 즉, 시행령이 있다. 그리고 제일 마지막은 규칙(시행규칙)이다. 즉, 8월에 시행되는 내용은 법률 바로 다음인 ‘시행령’이다.
 

[그림 1] 법령의 계위

 

8월에 개정되는 시행령에는 총 10개의 조항이 신설 또는 수정된다. 먼저, 기업 및 개인정보 보호 관련 담당자가 꼭 알아야 할 조항을 살펴보자.

 

1. 개인정보 누출 등의 통지•신고

개인정보 누출 사고 발생 시 전자우편•서면•전화 등의 방법으로 이용자에게 통지하고 방송통신위원회(이하 방통위)에 신고하도록 하는 안이 신설되었다.

 

수차례 개인정보 유출 사고가 발생하는 동안, 개인정보 유출에 관한 통지를 받은 적이 있었던가? 사용자들은 뉴스나 해당 홈페이지 공지를 통해서야 자신의 정보가 유출됐다는 사실을 알 수 있었다. 하지만 이제부터는 개인정보가 유출되면 개별 메일, 서면, 문자 메시지, 전화 등의 방법으로 해당 개인정보 주체에게 알리고 방통위에도 신고해야 한다. 물론 수집한 개인정보에 연락할 수 있는 정보가 없다면 홈페이지나 신문 등 일간지 공고로 갈음할 수 있다. 이는 만약에 개인정보 유출 사고가 발생하더라도 2차 피해를 막기 위한 조치라 할 수 있다.

 

이와 관련, 개인정보 침해 사고 관련 자료 제출 요구 및 검사 권한을 전파관리소장에게 위임해 침해 사고 발생 시 조사 및 대응 체계를 일원화했다. 따라서 전파관리소장 이름으로 공문을 받으면 침해 사고와 관련해 적극적으로 협조해야 한다.

 

2. 개인정보처리자의 컴퓨터 인터넷 망 분리, 차단 조치 의무화

개인정보 처리 시스템(DB 등으로 개인정보를 저장하여 처리하는 시스템)에 접속하여 업무를 수행하는 개인정보처리자의 컴퓨터 등은 인터넷 망으로부터 분리, 차단 조치해야 한다는 안이 신설되었다.

 

이 안을 의무적으로 시행해야 하는 대상은 우선적으로 100만 명 이상의 회원 정보를 보유한 기업이다. 아직 회원이 100만 명에 이르지 않았더라도 꾸준히 회원 수가 늘어나고 있는 기업이라면 미리 준비하는 것이 바람직하다.

 

업무 망을 인터넷 망으로부터의 분리 차단하는 것을 ‘망 분리’라고 한다. 즉, 업무 망과 인터넷 망을 물리적 혹은 논리적으로 구분하는 것이다. 이를 위해서는 먼저 기업 내 개인정보 처리 시스템은 어떻게 구성돼 있는지, 그 시스템에 접속하여 업무를 수행하는 개인정보처리자는 누구인지 명확히 파악해야 한다.

 

3. 서비스 장기 미이용자의 개인정보 파기

서비스 장기 미이용자의 개인정보는 파기하거나 별도로 분리하여 저장 관리해야 한다.

 

서비스 미이용자는 누구를 말하는 것일까? 회원이라고 할 수 있다. 즉, 회원 가입 등을 통해서 개인정보 수집에 동의한 후 서비스(홈페이지 등)에 접속하지 않은 사용자를 말한다.

 

'장기'라면 얼마나 오랜 기간을 말하는 걸까? 시행령에 따르면 대통령령으로 정한 기간은 3년이다. 다시 말해서, 3년 동안 로그인을 하지 않은 사용자, 그래서 휴면 상태이거나 자신의 보안 정보와 개인정보를 관리하지 않은 사용자를 말한다. 3년의 기산일은 별도 부칙으로 고시하고 있다. 이는 개정안이 시행되는 8월 18일 이후부터 계산하면 된다는 뜻이다.

 

‘분리 저장’은 무엇일까? 시행령에는 이용자의 별도 요구가 없으면 개인정보처리자라 하더라도 이용자의 개인정보를 임의로 사용할 수 없도록 규정하고 있다. 불가피하게 임의로 개인정보를 사용해야 하는 상황이 아니라면, 정해진 프로세스에 의해 개인정보 주체의 허락을 얻은 후 사용해야 한다.

 

4. 개인정보 이용 내역의 통지

개인정보를 보유하고 있다면 사용자의 개인정보 이용 내역을 연 1회 통지해야 한다. 이 조항 또한 서비스 이용자가 100만 명 이상인 기업에만 적용된다. 통지 방법은 이메일과 같이 개별적인 방식이어야 한다. 이용 내역에 포함되는 사항은 다음과 같다.

1) 수집 이용 목적
2) 수집한 항목
3) 개인정보를 제공받는 자와 제공 항목
4) 위탁받은 자와 위탁하는 목적

 

이 외에 6가지 항목은 일반적인 정보 보호에 대한 내용이다.

5. 정보 보호 사전 점검 기준과 대상 및 방법 등을 신설하였다.
6. 정보 보호 안전진단 제도 관련 규정을 삭제하였다.
7. 정보 보호 관리 체계(ISMS) 인증 기관 및 한국인터넷진흥원이 수행할 인증에 관한 업무의 범위를 명확히 정하였다.
8. 정보 보호 관리 체계(ISMS) 인증 대상이 이전의 안전진단 대상과 같아졌다.
9. 정보 보호 관리 등급 제도와 관련해서 심사 기준, 방법, 절차 등을 신설하였다.
10. 정보 보호 관리 체계(ISMS) 인증 및 인증 기관 지정 관련 규정을 신설하되 구체적인 내용은 정보 보호 관리 체계(ISMS) 인증 관련 규정을 준용하도록 했다.

 

 

어제보다 안전한 내일을 준비하자

법의 시행에 대해 충분히 인지하고 있고 그 내용도 잘 알지만, 막상 적용하는 데에 어려움을 느끼는 기업들이 많다. 어떻게 해야 할까?

 

가장 기본적인 것은 해당 기업의 개인정보 보호 환경 개선 의지다. 확고한 보안 의식은 사고에 대한 인지에서 우러나온다. 전사 차원에서 모의해킹을 통한 실제 대응 훈련을 실시하거나 법규범을 지키지 않았을 때 부과될 벌금을 산정해 보는 것도 현실 인식에 큰 도움이 될 것이다.

 

그 후 조직 내에서 지속적으로 개선해나가기 위해 데밍(Deming)의 사이클이라고 알려진 PDCA, 즉 계획(Plan), 착수(Do), 점검(Check), 그리고 이행(Act)을 적용하기를 추천한다. 이는 1년 혹은 6개월 주기로 공식 업무 프로세스에 할당하여 시작하는 것이 좋다. 법률에서도 개인정보 보호 위원회를 조직하도록 규정하고 있다. 기업 내에서 개인정보 보호에 필요한 인력들을 위원회에 소속시키고 토론과 피드백을 공유하다 보면 어제보다 나은 개인정보 보호 환경을 만들 수 있을 것이다.

 

고객의 개인정보는 마땅히 보호돼야 할 자산이다. 이렇다 할 명확한 목적 없이 수집하고 저장했던 개인정보가 있는지 다시 점검해서 안전하고 체계적인 보호 계획을 세워야 한다. 뿐만 아니라 회원 수를 조절(위 개정안 1번의 취지)하는 것도 고려해 볼 만하다. 다다익선식의 회원 확보 정책에서 벗어나, 좀더 서비스를 강화하고 정교하게 기획하여 사용자에게 실질적인 이익을 주고 기업에게도 도움이 되는 개인정보 활용 방안을 찾아야 할 것이다.@