개인정보보호법 무엇이 달라졌나?

안랩은 매년 한 차례씩 정보보호 법령의 주요 개정 사항에 대해 소개해 왔다. 2017년에는 다른 해와 달리 정보보호 관련 법령에 큰 변화가 없었기 때문에 이번 호에서는 신설된 개인정보보호법 제22조제2항과 그에 따른 시행령 및 시행규칙의 신설 조항을 집중적으로 살펴본다.

‘정보통신망 이용 촉진 및 정보보호 등에 관한 법’이나 ‘전자금융거래법’과 같은 다른 법들도 일부 개정 되긴 했지만 정부 주무부처 명칭 변경이나 과태료 부과 기준 변경에 그쳤다. 법 개정이 적다는 것은 그 만큼 우리 법제가 다듬어졌다는 방증이기도 하고 법을 고쳐야 할 만큼 대형 보안 사고가 많이 발생하지 않았다는 뜻이기도 하다. 실제로 2017년 주요 보안사고는 IT 인프라 업체인 N사의 워너크라이 랜섬웨어 감염 사고 외에 다른 대형 보안 사고는 없었던 것으로 기억한다. 보안 사고 빈도가 감소한 것이 사실이라면 다행스런 일이 아닐 수 없다.

 

개인정보보호법 제22조제2항 신설 (2017년 4월 18일부터 시행)

개인정보보호법(이하 ‘법률’로 씀) 제22조 제2항 ② 개인정보처리자는 제1항의 동의를 서면(「전자문서 및 전자거래 기본법」 제2조제1호에 따른 전자문서를 포함한다)으로 받을 때에는 개인정보의 수집·이용 목적, 수집·이용하려는 개인정보의 항목 등 대통령령으로 정하는 중요한 내용을 행정안전부령으로 정하는 방법에 따라 명확히 표시하여 알아보기 쉽게 하여야 한다. <신설 2017.4.18 / 2017.7.26>

 

제1항의 동의란 ‘정보주체에게 동의를 받는’ 모든 경우를 포함한다. 예컨대 제15조제1항1호의 개인정보 수집 이용 동의도 해당되고 제17조제1항1호의 개인정보 제공 시 동의도 적용된다. 이런 동의 절차에서 고지하는 항목이나 주요 사항 중에 특정한, 구체적으로는 대통령령으로 정하는 아래의 항목들은 표시 방법을 특별히 알아보기 쉽게 해야 한다는 것이다.

 

표시 방법을 알아보기 쉽게 명확히 해야 할 사항 1. 개인정보 수집 이용 목적 중 ‘재화나 서비스 홍보 또는 판매 권유를 위한 연락’ 에 관한 내용 2. 개인정보 중 민감정보 3. 개인정보 중 여권번호, 운전면허번호, 외국인등록번호 (주민번호를 제외한 고유식별정보) ※주민번호는 법률 제24조의2에 따라 동의를 통해서 수집할 수 없기 때문에 제외된다. 4. 개인정보 보유 및 이용기간 5. 제공하는 경우 제공받는 자(업체명) 6. 제공받는 자의 이용 목적

  

[참고] 개인정보보호법 시행령 제17조 2항 ② 법 제22조제2항에서 "대통령령으로 정하는 중요한 내용"이란 다음 각 호의 사항을 말한다. <신설 2017.10.17> 1. 개인정보의 수집·이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정보주체에게 연락할 수 있다는 사실 2. 처리하려는 개인정보의 항목 중 다음 각 목의 사항 가. 제18조에 따른 민감정보 나. 제19조제2호부터 제4호까지의 규정에 따른 여권번호, 운전면허의 면허번호 및 외국인등록번호 3. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다) 4. 개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적

 

내용 가운데 ‘알아보기 쉽고 명확히’하라는 기준이 무엇인지 궁금할 수 있겠다. 그 기준은 개인정보보호법 시행 규칙 제4조(신설)에 정해 놓았다.

  

제4조(서면 동의 시 중요한 내용의 표시 방법) 법 제22조제2항에서 "행정안전부령으로 정하는 방법"이란 다음 각 호의 방법을 말한다. 1. 글씨의 크기는 최소한 9포인트 이상으로서 다른 내용보다 20퍼센트 이상 크게 하여 알아보기 쉽게 할 것 2. 글씨의 색깔, 굵기 또는 밑줄 등을 통하여 그 내용이 명확히 표시되도록 할 것 3. 동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수 있도록 그 밖의 내용과 별도로 구분하여 표시할 것

 

개인정보보호법 시행규칙 제4조에 친절하게 최소 글자 크기(포인트)까지 지정해 놓았다. 최소 9포인트 이상 크기로 표시해야 하는데, 그건 그보다 작게 쓰면 안 된다는 제한 기준일 뿐이고 진짜 기준은 다른 내용보다 20% 이상 크게 해야 한다는 데 있다. 

 

예를 들어 개인정보 수집 이용 동의 절차를 웹사이트에서 구현한다고 가정하자. 수집이용 시 고지 항목에는 ‘개인정보의 수집·이용 목적’, ‘수집하려는 개인정보의 항목’, ‘개인정보의 보유 및 이용 기간’, ‘동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용’이 있다. ‘수집이용 항목’을 10포인트 글자로 설정했다면 ‘개인정보 보유 및 이용기간’은 몇 포인트 글자로 설정해야 할까? 9포인트라고 생각했다면 오답이다. ‘개인정보 수집이용 항목’은 시행령 제17조제2항에 포함되지 않고 ‘보유 및 이용기간’은 포함된다. 따라서 포함되는 항목 글자 크기는 ‘포함되지 않는 항목 크기 x 120%’가 될 것이므로 10포인트 x 120%인 12포인트가 되어야만 한다.

 

또 ‘아, 개인정보 항목은 그럼 그냥 두고 다른 항목만 글자 크기를 키우면 되는구나’하고 생각할 수도 있다. 하지만 그것도 정답이 아니다. 개인정보 항목 중에 별도 동의를 받아야 하는 ‘민감정보’와 ‘(주민번호를 제외한) 고유식별정보’는 크기를 키워야 할 대상에 포함이 되기 때문이다. ‘수집 이용 목적’도 일관된 기준이 아니라 ‘재화나 서비스 홍보 또는 판매 권유를 위한 연락’이라는 목적이 있으면 그 경우에만 또 글자 크기를 20% 늘려야 한다.

 

정부가 이토록 꼼꼼하게 글자 포인트 크기까지 관여하게 된 데는 기업의 책임도 없지 않다는 것이 필자의 개인적인 생각이다. 지난 2017년 4월 7일 대법원은 유통업체인 H사가 보험사에 소비자의 개인정보를 판매한 사건에 대해 1심과 2심의 무죄를 선고한 원심을 파기하고 최종 유죄를 판결했다. 원심에선 제3자 제공에 대한 동의 고지를 1밀리미터(약 4포인트)크기 글씨로 수록하긴 했어도 아무튼 동의를 받았으니 무죄라고 보았으나, 최종심에선 사람들이 1밀리미터 글씨를 짧은 시간에 읽고 내용을 정확히 판단하기란 어렵기 때문에 H사가 부정한 수단으로 동의를 받은 것이라고 판단한 것이다.

 

개인정보보호법 시행령 제41조제2항 신설 (2017년 10월 19일부터 시행)  

① 정보주체는 법 제35조제1항에 따라 자신의 개인정보에 대한 열람을 요구하려면 행정안전부령으로 정하는 바에 따라 다음 각 호의 사항 중 열람하려는 사항을 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. ② 개인정보처리자는 제1항에 따른 열람 요구 방법과 절차를 마련하는 경우 해당 개인정보의 수집 방법과 절차에 비하여 어렵지 아니하도록 다음 각 호의 사항을 준수하여야 한다. 1. 서면, 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공할 것 2. 개인정보를 수집한 창구의 지속적 운영이 곤란한 경우 등 정당한 사유가 있는 경우를 제외하고는 최소한 개인정보를 수집한 창구 또는 방법과 동일하게 개인정보의 열람을 요구할 수 있도록 할 것 3. 인터넷 홈페이지를 운영하는 개인정보처리자는 홈페이지에 열람 요구 방법과 절차를 공개할 것

  

기존에는 정보주체가 개인정보 열람 요구를 하려면 ‘개인정보열람요구서’를 개인정보처리자에게 제출하는 방법 하나뿐이었다. 개정 시행령은 이 절차를 ‘개인정보처리자가 마련한 방법과 절차’라고 표현함으로써 이전보다 유연성 있게 바뀐 듯 표현했지만 실상은 제2항을 통해 훨씬 엄격한 기준을 개인정보처리자에게 요구하고 있다.

 

일반 원칙은 ‘수집방법과 절차에 비하여 열람 요구방법과 절차가 어렵지 않아야 한다’는 것이고 구체적인 지침으로 기존의 서면요구 이외에도 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공하라고 정해 놓았다. 개인정보 수집 창구가 지속적으로 유지되는 경우는 수집할 때와 같은 경로로 열람 요구를 할수 있도록 하였고 홈페이지 운영자는 홈페이지에 개인정보 열람 요구방법과 절차를 공개할 의무가 생겼다. 이 기준은 ‘열람’ 요구만 적용되는 것이 아니고 개인정보의 ‘삭제’나 ‘정정’, ‘처리정지’ 요청에도 동일하게 적용되니 주의하기 바란다.

 

개인정보보호법 시행령 제39조제1항, 제40조제3항 개정 (2017년 10월 19일부터 시행)  

제39조(개인정보 유출 신고의 범위 및 기관) ① 법 제34조제3항 전단에서 "대통령령으로 정한 규모 이상의 개인정보"란 1천명 이상의 정보주체에 관한 개인정보를 말한다. 제40조(개인정보 유출 통지의 방법 및 절차) ③ 제1항과 제2항에도 불구하고 법 제34조제3항 및 이 영 제39조제1항에 따라 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 서면 등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 법 제34조제1항 각 호의 사항을 7일 이상 게재하여야 한다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 서면 등의 방법과 함께 사업장 등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 7일 이상 게시하여야 한다.

  

개인정보 유출 시 정부기관 신고 의무와 인터넷 홈페이지 게재 공지 의무를 적용하는 유출 기준이 1만명 이상에서 1천명 이상으로 축소되었다. 이때 신고해야 하는 정부 기관은 행정안전부와 한국인터넷진흥원이 해당된다. 신고 내용은 법률 제34조 제1항에 따른 통지 및 제2항에 따른 조치 결과를 수록해야 한다.

 

개인정보보호법 제34조 제1항의 통지 사항 1. 유출된 개인정보의 항목 2. 유출된 시점과 그 경위 3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 4. 개인정보처리자의 대응조치 및 피해 구제절차 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

  

지금까지 개인정보보호법을 중심으로 2017년에 개정된 주요 내용을 살펴보았다. 이번 개인정보보호법 신설 조항은 고지의 표시 방법(글자 포인트, 다른 글자와 상대적 크기)을 구체적으로 규정하고 있다. 기존에 문서로 작성된 동의 양식이나 웹사이트의 화면 설계와 디자인을 수정해야 하고 개발 중인 서비스가 있다면 설계 변경도 고려해야 하므로 현업의 부담이 클 듯하다. 개인정보보호 담당자뿐만 아니라 기획자, 개발자, 디자이너까지 여러 부문의 각별한 논의와 협업이 필요하리라 본다.

 

2018년은 ‘개’의 해인 무술년(戊戌年)이다. 개는 주인에 대한 충성심이나 친화력도 각별하지만 전통적으로 집이나 가축의 안전을 지키는 중요한 역할을 도맡아 왔다. 특히 우리 토종 개 품종 중 ‘삽살개’는 삽(‘퍼낸다, 없앤다’), 살(煞:‘사람을 해치는 나쁜 기운’)이라는 이름처럼 귀신을 쫓아 주는 신통한 영물이었다. 아무쪼록 보안 업무를 담당하는 독자 분들이 ‘보안사고’라는 귀신를 쫓는 ‘삽살’의 영험한 능력을 발휘하여 무탈한 2018년을 보내시기를 바란다.