[Expert Column] ‘2015년 알아두어야 할 정보보호 법령’

새해 달라지는 정보보호 관련 법령 무엇이 있나 

 

2015년부터 금융회사 또는 전자금융업자의 정보보호책임자의 겸직이 금지된다. 이처럼 2015년 을미년(乙未年) 새해 달라지는 정보보호 법령은 무엇이 있을까? 우선 지난 2014년 11월 29일부터 시행되어 2015년 본격적으로 적용될 ‘정통망법 개정안’의 중요사항을 짚어본다. 법령은 아니지만 정통망법에서 요구하는 개인정보의 기술적·관리적 보호조치 기준을 충족하려면 반드시 참고해야 할 ‘온라인 개인정보 취급 가이드라인(안)’을 소개한다. 또한 2015년 4월 시행되는 ‘전자금융거래법 개정안’ 가운데 정보보호에 관련된 사항에 대해 알아보자.

 

1. 잊진 않았겠죠, 정통망법 개정안(2014.11.29. 시행)

 

2014년 11월 29일부터 시행된 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법’(이하 ‘정통망법)’ 개정안 내용은 월간 ‘안’ 2014년 8월호(Hot Issue '2014년 하반기 주의해야 할 정보보호 법령들')에서 다뤘지만 혹시 잊고 있지 않을까 싶어 중요한 부분만 정리하고 넘어가려 한다.

 

개인정보 파기하지 않으면 이젠 형사처벌(제73조1항 신설)

법 개정 전 개인정보 미파기에 대한 처벌은 3천만 원 이하의 과태료 부과였다. 과태료는 행정 처벌이므로 기업 차원에서 적정 수준의 과태료(1회 차 부과 시 1천만 원, 2회 차 부과 시 2천만 원, 3회 차 부과 시 3천만 원)만 부담하면 되었다. 법 개정 이후에는 ‘2년 이하 징역 2천만 원 이하의 벌금’인 형사 처벌로 바뀌었다는 것은 특정 담당자에게 형벌의 전력이 남을 수도 있음을 뜻하는 것이다. 법은 이미 지난 11월 29일부터 시행 중이다. 이젠, 회사가 알아서 삭제해 주겠지 하고 내 컴퓨터 안의 개인정보를 방치하고 있어서는 안 된다. 지금이라도 빨리 다음 조건에 해당하는 개인정보는 모두 ‘복구 재생할 수 없도록, 지체 없이’ 삭제해야 한다.

[개인정보를 파기해야 할 경우-정통망법 제29조1항]

 

1) 개인정보 수집 이용 동의에 따른 목적이 달성되었거나 동의가 필요 없는 수집 이용 목적이 달성된 경우
2) 동의를 받은 개인정보의 보유 및 이용 기간이 끝난 경우
3) 동의를 받지 않고 수집한 경우 개인정보처리방침의 보유 및 이용 기간이 끝난 경우
4) 사업을 폐업하는 경우

 

[표 1] 법률에 근거한 개인정보 최소 보관 기간 예시

 

개인정보 파기와 관련하여 하나 더 추가하자면, 개인정보 취급 업무를 위탁한 경우 수탁자의 개인정보 파기를 확인해야 할 책임은 위탁자에게 있고 제3자에게 제공한 경우에도 처리권은 제공자에게 없지만 제3자에게 파기를 요청할 수 있는 장치(예: 계약서)를 갖추어야 한다. 일반적으로 적용 가능성이 높은 위탁 업무에 대한 수행 절차만 참고할 수 있도록 공유한다.

 

 

정보 누출 사고가 발생하면 24시간 이내에 신고(제27조의3)

법 개정 전 조항은 ‘개인정보의 누출 등 사실을 안 때는 지체 없이 이용자에게 알리고 방송통신위원회에 신고해야 한다’는 것이었다. 개정 조항은 감독기관에 신고하는 시기에 대해 ‘정당한 사유 없이 24시간을 경과해서는 아니 된다’라는 단서를 붙여 놓았다. 이용자에게 알리는 시기를 제한한 것이 아니라 감독기관에 신고하는 시기를 제한했음을 유의하자. 이때 신고해야 할 대상기관도 방송통신위원회 외에 한국인터넷진흥원이 추가되었다.

신고 시기가 이렇듯 개정 조항까지 반영된 것은 지속적으로 발생한 개인정보 유출사고의 영향이 적지 않았으리라 본다. 2014년 1월 발생한 카드 3사의 개인정보 유출사고 때도 이용자에게 통지한 시기는 사고 인지 후 30여 일이 지난 후인 것으로 알려졌다. 그럼에도 이용자 통지 시기가 아닌 방송통신위원회와 인터넷진흥원에 대한 신고 시기로 제한한 것은 기관간 좀더 빠른 공조를 통해 신속하게 대응함으로써 국민 피해를 최소화하려는 의지로 이해해야 할 것이다.

 

개인정보보호 조치 증적 확보에 주력해야 하는 이유-법정손해배상 청구 가능 (제32조의2)

개정 정통망법에는 1. 정보통신 서비스 제공자 등이 고의 또는 과실로 이 장의 규정을 위반한 경우 2. 개인정보가 분실/도난/누출된 경우 모두에 해당될 때, 이용자가 정보통신서비스 제공자 등에게 300만 원 이하의 범위에서 상당한 금액을 손해액으로 배상을 청구할 수 있다는 조항이 신설되었다. 과거에는 개인정보 누출 등 사고가 나더라도 이용자의 피해 규모를 입증해야만 실질적인 손해배상이 가능했다. 그러나 이제는 이용자 당 최대 300만 원까지 법정 손해배상금액을 청구할 수 있게 된 것이다. 만약 이 조항대로 손해배상이 청구되고 최대 금액이 적용된다면 100만 건의 개인정보가 유출된 기업은 총 3조 원이라는 엄청난 손해배상 금액을 부담해야 한다.

이런 최악의 상황을 피할 수 있는 최선의 길은 ‘선량한 관리자의 주의와 의무’를 다했음을 입증할 수 있는 증적을 꾸준히 관리하고 잘 보존해 두는 일이다. 손해배상을 제기할 수 있는 전제가 이미 개인정보 관련 사고가 난 상태임을 뜻하므로 손해배상의 부담을 피하거나 줄이려면 1번 항목인 ‘정보통신서비스 제공자 등이 고의 또는 과실로 규정을 위반하지 않았다’는 사실을 입증하는 길밖에는 없기 때문이다. 이와 관련해 유사 사례로는 지난 2010년 1월 14만 5159명이 낸 옥션 해킹 집단소송에서 서울중앙지법은 “법령이 요구하는 기술적 보안 수준과 해킹 당시 조치 내용, 가입자의 피해 정도를 종합적으로 고려할 때 옥션 측에 배상 의무가 없다”는 판례가 있다.

 

2. 이것도 알고 계신가요? 온라인 개인정보 취급 가이드라인(안)

 

온라인 개인정보 취급 가이드라인은 처벌이 따르는 법령은 아니다. 그러나 궁극적으로 정통망법에서 요구하는 개인정보의 기술적·관리적 보호조치 기준을 충족하려면 반드시 참고해야 할 내용이 감독기관에서 제시하는 가이드라인이다. 방송통신위원회는 지난 2014년 11월 개인정보 최소 수집/보관을 위한 온라인 개인정보 취급 가이드라인(안)에 대한 공청회를 개최한 바가 있다. 이것은 개정 정통망법의 이행을 위해 필요한 실무적 기준을 제시한 것이므로 필히 챙겨 볼 것을 권한다. 중요한 사항은 “본질적 서비스에 필요한 필수정보 이외의 정보는 해당 서비스 이행 시에 별도로 수집할 것”이라는 점이다.

이 사항에 대한 이해를 돕기 위해서는 설명보다는 예를 소개하는 것이 적절할 듯하다. 방송통신위원회에서 공개한 ‘온라인 개인정보 취급 가이드라인(안)’의 문구를 그대로 인용하면 다음과 같다. 

“(예시) 온라인 회원제 서비스의 경우 가입 시점에는 아이디, 비밀번호 등 최소한의 정보에 대한 동의를 요구하고, 이후 상품 구매 등 서비스 이용단계에서 필요한 정보는 해당 시점에 동의를 요구할 수 있음 [온라인 개인정보 가이드라인]”

이는 만약 포털 사이트에서 온라인 쇼핑 서비스를 함께 운영하고 있다면 최초 회원 가입 시에는 단순히 회원으로 활동하기 위한 아이디와 패스워드, 연락처 등 기본 정보만을 수집하고 실제 쇼핑 서비스 이용 시점에 물품 배송에 필요한 집 주소와 같은 정보를 수집하라는 것이다.

[표 2] 서비스 별 본질적 기능 및 필수 동의 항목 예시

 

14세 미만 아동의 나이 확인을 위한 개인정보 수집 방법

기업 업무 현장에서 의외로 골치 아픈 이슈 중 하나가 14세 미만 아동의 개인정보 수집 문제이다. 애초에 서비스 기획 목적에는 14세 미만 아동이 가입하리란 생각을 전혀 안 한 것인데 아이들이 가입을 하는 바람에 본의 아니게 법규를 위반하는 상황에 처하는 경우이다. 정통망법과 개인정보보호법 모두 14세 미만 아동의 개인정보 수집 이용 시에 반드시 법정대리인의 동의를 받도록 하고 있고 위반 시에는 5년 이하의 징역 또는 5천만원 이하의 벌금형에 처할 수 있도록 하고 있다. 그렇다면 14세 미만 아동임을 검증하려면 어떻게 해야 할 것인가? 생년월일을 입력 받으면 되겠지만 거짓으로 입력하는지에 대한 확인은 어떻게 할 것인가? 최종적으로는 본인확인 기능을 넣으면 되겠지만 애초에 의도하지도 않은 아동의 가입 문제를 처리하기 위해 부담해야 하는 비용으로는 부담스러운 것이 사실이다. 이번 가이드에서는 다음과 같이 기준을 정리했다. 

 

 

같은 DB에서 다른 테이블(Table)로 분리해 보관하면 ‘별도 보관’ 규정을 충족하는 것인가?

이 질문도 실무에서는 흔히 나오는 질문인데 이번 가이드에서 아래 기준을 제시해주었다.  

 

[표 3] 동일 DB 내 테이블 분리 보관에 대한 기준

 

3. 전자금융거래법 개정안 (2015년 4월 16일 시행 예정)

 

온라인 금융거래의 기본이 되는 법령이 전자금융거래법이다. 전자금융거래법은 2014년 10월 15일에 개정되었는데 6개월이 경과한 2015년 4월 16일부터 시행된다. 개정 조항 중에 정보보호에 관련된 사항만 알아보도록 하자.

 

정보보호책임자의 겸직 금지 (제21조의2)

금융회사 또는 전자금융업자의 정보보호책임자가 수행해야 할 업무는 다음과 같다.

 

 

이번에 신설된 조항의 의미는 위의 정보보호를 위한 업무 외의 다른 정보기술부문 업무를 겸직할 수 없도록 정한 것이다. 기존에는 정보기술책임자인 CIO(Chief Information Officer)와 정보보호책임자인 CISO(Chief Information Security Officer)가 두 업무를 겸임하는 경우가 허용되었으나 앞으로는 정보보호 업무를 맡게 되면 다른 정보기술 업무의 책임을 함께 맡을 수 없게 되었다. 다만 조직 규모에 따른 부담을 고려하여 총 자산 2조 원 이상 상시 종업원수 300명 이상인 금융회사 또는 전자금융업자를 대상으로 한정하고 있다.

 

데이터 유출 또는 정보의 제공/누설 및 업무 목적 외 사용에 대한 벌칙 강화 (제49조1항)

기존 법률은 접근매체에 대한 위변조 및 부정 사용을 한 경우 등에 대해 징역 7년 이하 또는 5천만 원 이하 벌금을 부과하게끔 한 것이 가장 강한 처벌 수준이었다. 그러나 이번 개정 법률에서는 10년 이하 징역, 1억 원 이하의 벌금 등 보다 강한 처벌이 적용되는 조항이 규정되었다.

 

1)권한 없이 전자금융시설에 접근하거나 권한을 넘어 저장된 데이터를 조작/파괴/은닉/유출하는 행위
2)전자금융시설의 데이터를 파괴하거나 운영을 방해할 목적으로 바이러스, 논리폭탄, 메일폭탄 등 프로그램을 투입하는 행위
3)전자금융시설의 안정적 운영을 방해할 목적으로 오류 또는 장애를 발생하게 하는 행위
4)전자금융거래정보를 타인에게 제공 또는 누설하거나 업무상 목적 외에 사용한 자

 

1)~3)까지는 사실상 파괴적인 의도를 지닌 공격자와 이를 기술적으로 방어해야 하는 보안 조직의 책임에 따른 사항으로 보인다. 문제는 4)번 조항인데 일반 직원들이라도 경우에 따라 얼마든지 적용될 수 있는 위규 사항이기 때문이다. 개인정보보호법이나 정통망법과 마찬가지로 미리 이용자의 동의를 받은 경우에는 문제가 되지 않지만 그렇지 않은 경우 제3자 제공이나 누설, 업무상 목적 외 사용 등에 신중을 기해야 한다. 이 경우 ‘업무상 목적’ 외로 사용하지 않았다는 걸 증명하려면 ‘업무상 목적’이 무엇인지 명확히 정의가 되어 있어야 하는데 이 작업조차 되어 있지 않은 기업이 많다.

개인뿐 아니라 조직 차원에서도 전자금융거래법 안전성확보 의무(제21조)를 위반하여 전자금융 거래정보를 타인에게 제공 또는 누설하거나 업무상 목적 외에 사용한 경우에는 금융위원회가 50억 원의 과징금을 부과할 수 있도록 행정 처벌이 강화되었다. 직원이든 회사든 업무상 목적 외에 정보를 제공하거나 사용하는 일은 철저히 막아야만 한다.

 

정보보호 관련 위탁 업무의 재위탁 금지 (제40조6항)

전자금융거래법에 신설된 제40조6항은 정보기술 부문의 정보보호에 관한 업무를 위탁 받은 전자금융보조업자가 해당 업무를 제3자에게 재위탁하는 것을 금지하고 있다. 실제 보안 사고에서 수탁업체 관리 미흡으로 인한 사고가 잦기 때문에 재위탁을 금지하는 것은 보안 관점에선 분명 의미있는 조치일 것이다. 그러나 규정대로만 적용될 경우 많은 중소 IT 기업들이 받을 타격을 감안하여 ‘전자금융거래정보의 보호 및 안전한 처리를 저해하지 아니하는 범위에서 금융위원회가 인정하는 경우’에 한하여 예외를 허용한다는 단서 조항을 달아 놓았다. 여기서 금융위원회가 인정하는 경우란 다음과 같다.

 

필자가 얼마 전 참석한 보안 세미나에서 법조계 강연자가 우스개 소리로 이런 얘기를 한 기억이 난다. 우리나라 정통망법은 1년에 1~2회씩 꼬박꼬박 개정되는 세계에서 가장 부지런한 법이라고. 물론 그 부지런함도 개인정보 유출사고가 빈번하게 발생하고 개인정보보호법이 제정된 2011년부터 해당되는 얘기이지만 그만큼 정보보호 법령의 변화가 빠르고 잦다는 의미일 것이다. 법 기준을 지키는 것만큼이나 중요한 것이 법 정신을 이해하는 일이라고 본다. 내가 지켜야 할 것이 무엇인지, 그에 대한 위험은 무엇인지, 그 위험을 막기 위해 무엇을 해야 하는지 늘 고민하고 대비한다면 문자화된 법이 어찌 변하든 흔들림 없는 기업 보안이 유지될 것이라 믿는다. @
​