별점으로 살펴본 ‘개정’ 개인정보보호 관련 법령

지난 3월 8일 발간된 월간 ‘안’ 2016년 3월호에 ‘2016년에 챙겨봐야 할 개인정보보호 법령 5가지’란 제목으로 개인정보보호 법령에 대해 소개한 바 있다. 이후 3월 22일과 29일에 정보통신망법과 개인정보보호법이 또 개정되어 2016년에 챙겨야 할 법령이 더 늘어났다. 

이번 호에서는 두 가지 법의 개정사항의 중요도를 별점으로 매겨가며 정리하고자 한다. 단, 중요도의 기준은 필자의 주관에 따른 것이므로 참고만 하는 것이 좋겠다. 개정된 내용 중 기업과 관련이 적은 사항은 따로 적지 않았다.

 

1. 개인정보보호법

 

1) 정보주체 이외로부터 수집한 개인정보의 수집 출처 고지 의무화

 

“따르릉~ 여보세요? 홍길동 고객님이시죠? 여기는 △△△보험사인데요~ " 알지도 못하는 보험사로부터 이런 전화를 받아 본 경험이 혹시 있었는지 모르겠다. 어디서 내 전화번호를 입수한 것인지 물어보면 정확히 대답하지 않거나 얼버무리는 경우도 많다. 개정안이 시행되는 9월 30일부터 이런 식의 연락은 더 이상 받지 않게 될 것 같다. 일정 규모 이상이 되는 기업(5만 명 이상의 민감 정보 또는 고유식별정보 처리, 100만 명 이상의 개인정보처리)이 정보주체로부터 직접 수집하지 않고 개인정보를 처리할 때는 반드시 ①정보수집출처 ②개인정보처리목적 ③개인정보 처리정지 요구권이 있다는 사실을 최초 수집 후 3개월 이내에 정보주체에게 고지해야만 하기 때문이다. 불법으로 입수한 개인정보라면 애초에 고지도 못할 테지만 적법하게 제공받은 경우라 하더라도 고객에게 일일이 고지하기란 큰 부담이 될 것이다. 고객이 제3자 제공 동의를 해서 개인정보를 제공했다는 사실을 증명하라고 요구하면 그 또한 큰일이다. 필자 견해로는 이 개정안에 대한 대응이 본 기사를 통틀어 제일 큰일일 듯 싶다. 

 

2) 민감정보의 안전성 확보조치 명시적 요구

 

민감정보란 개인의 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 유전 정보나 범죄 경력처럼 사생활을 현저히 침해할 우려가 있는 정보를 말한다. 기존에도 고유식별 정보와 더불어 수집 이용하지 않는 것이 원칙이고 별도의 동의를 얻어 처리해야 하며 안전성 확보 조치를 통해 보호해야 할 대상이었다. 이번 개정안에서는 민감정보에 대한 안전성확보 조치를 명시적으로 요구하고 있을 뿐 기업 입장에서 달리 조치해야 할 사항은 없어 보인다. (기존 법에 따라 잘 조치하고 있었을 경우에는 그렇다는 뜻이다.)

 

3) 개인정보처리방침과 개인정보취급방침 구성 요건 동기화

 

개인정보보호법의 ‘개인정보처리방침’은 정보통신망법(이후 ‘정통망법’)의 ‘개인정보취급방침’과 이름도 다르고 구성 요건에도 약간의 차이가 있었다. 이번 개정안에서는 방침 구성 내용에 정통망법 일부 사항을 반영하여 유사한 구조를 갖추도록 했으며 정통망법 또한 ‘개인정보처리방침’으로 명칭을 변경함으로써 개인정보보호법과 일원화할 수 있게 되었다. 개인정보보호법 개인정보처리방침에 추가된 사항은 다음과 같다. 

 

2. 정보통신망 이용촉진 및 정보보호 등에 관한 법(이하 ‘정통망법)

 

1) 정보주체의 이동통신 단말장치 내 정보 및 기능에 대한 접근 시 동의절차 의무화

 

스마트폰 메신저 앱을 생각해 보자. 메신저 앱의 핵심적인 기능은 다른 사람과 메시지를 주고받는 것이다. 메신저를 편히 쓰려면 연락처를 일일이 입력하기보다는 스마트폰에 있는 연락처 정보를 이용하는 게 필요할텐데 개정된 법은 그렇게 메신저 앱이 서비스를 이용하기 위해 스마트폰에 저장된 정보에 접근할 경우에 반드시 정보주체의 동의를 받아야 한다는 것이다. 

 

핵심 서비스를 위해 필요한 정보나 접근권한에도 동의를 받으라고 하는 상황인데 그 외의 목적이라면 당연히 동의를 요구할 수밖에 없다. 이 경우에는 사용자가 동의를 거부할 권한이 있고 동의를 안했다고 해서 기업이 서비스 제공을 거부할 수 없도록 하고 있다.(거부하면 과태료 처벌을 받을 수 있다.)

 

이 법의 요구사항은 흔히 알고 있는 개인정보 수집이용 동의와 개념이 다르기 때문에 기업에서도 상당한 고민과 부담이 있을 것으로 예상된다. (예를 들면, 휴대전화에 저장된 연락처는 휴대전화 주인의 개인정보가 아니므로 정보주체의 개인정보 수집이용 동의로 대체할 수 없다) 휴대전화 기능에 대한 접근권한 역시 개인정보 수집이용 동의와는 다른 사항이므로 동의 절차를 새롭게 설정해야 할 가능성이 높다. 이런 동의와 철회 방법에 대한 구현 책임은 이동통신단말장치 소프트웨어 제조업자와 공급자에게 부과하고 있으며 위반 시 과태료 처벌을 할 수 있도록 되어 있다.

 

2) 개인정보 처리업무 수탁자가 재위탁할 경우 원 위탁자의 동의를 받는 경우에만 가능함

 

이번 정통망법 개정안에서는 개인정보 처리 위탁 관련 조항이 특히 많이 수정되었다. 대부분 용어가 ‘취급’에서 ‘처리’로 바뀐 사항이 많고 일부 조항은 개인정보보호법과 동일한 수준으로 바뀌었다. 예컨대 수탁자에 대한 관리 감독 책임에 ‘교육’을 별도로 명시한다거나 수탁자에게 위탁을 할 경우에는 문서에 의하여야 한다는 내용들이 그러하다. 개인정보보호법보다 조금 엄격하게 느껴질 만한 것은 제25조 7항으로 수탁자의 재위탁은 위탁자로부터 동의를 받은 경우에 한한다는 내용이다. (개인정보보호법은 시행령 제28조에서 ‘재위탁 제한에 관한 사항’을 위탁 시 작성해야 할 문서에 기재하도록 하고 있다.)

 

3) 전화 권유 판매 시 개인정보 수집출처 고지 의무 부과

 

4) 개인정보의 국외 이전 유형에 따른 동의 요건 완화

 

 

5) 노출된 개인정보의 삭제 차단 조치 의무화

 

웹사이트에서 시험 합격자 명단 등을 공개할 때 관리자의 부주의로 주민번호와 같은 고유식별정보를 포함시키는 일이 종종 발생하곤 한다. 기존 법령에서도 개인정보의 노출을 통제할 책임은 정보처리자에게 부여하고 있으나 이번 개정안에서는 별도의 조항으로 명시함으로써 책임성을 부각하고 있다. 관련 처벌이 따르지 않아 규범적 조항인 점이 그나마 다행스럽다.

 

6) 기타 사항

이상 중요한 사항은 짚어 보았고 다른 사항은 대부분 개인정보보호법과 균형을 맞추기 위한 내용들이다. ‘개인정보관리책임자’란 용어는 개인정보보호법과 마찬가지로 ‘개인정보보호책임자’란 용어로 바뀌었고, 처벌 수준에 있어서도 주요 법 위반 시 위반행위에 관련된 이익의 몰수 추징 조항이 신설되었다. 내용의 파급력으로 보자면 충격이 클 수도 있는 제32조 제2항의 징벌적 손해배상도 이미 개인정보보호법에 들어간 내용이기 때문에 기업 입장에서 새롭게 고민할 사항은 적을 듯하다. 

 

전기통신사업자와 정보통신서비스 제공자를 대상으로 하는 정보통신망법과 일반법으로 적용되는 개인정보보호법은 개인정보보호의 규준을 이루는 양대 법률이다. 기업 입장에선 지나치게 자주 개정되어 정보보호 업무 부담을 더하는 측면도 있다. 하지만 이번 개정안은 두 법의 용어와 조항, 처벌 수준 등을 통일함으로써 법 적용을 돕는 긍정적인 면이 훨씬 많을 듯하다. 아무쪼록 이번 개정안이 적극 반영되어 사회 전반에서 더욱 안전한 개인정보보호 환경이 갖추어지기를 기대한다.