개인정보보호법의 동의·안전조치·유출 대응 체계

개인정보 처리 전 과정을 묶는 법적 기준

개인정보보호법은 개인정보의 수집, 이용, 제공, 관리 과정에서 정보주체의 권리를 보호하기 위한 법적 장치다. 2011년 3월 29일 제정되어 같은 해 9월 30일부터 시행됐고, 공공·민간으로 나뉘어 있던 개인정보 보호 체계를 하나로 정비했다.

개인정보는 성명, 주민등록번호 등을 통해 특정 개인을 알아볼 수 있는 살아 있는 개인에 관한 정보다. 법은 가명정보와 익명정보도 구분해 다룬다.

수집 목적과 제공 범위는 분리해 판단한다

개인정보 수집과 이용은 정보주체의 동의를 기본으로 한다. 다만 법률에 특별한 규정이 있거나 계약 이행에 필요할 때, 공공기관이 법령 등에 정한 소관 업무를 수행할 때에는 동의 없이 처리할 수 있다. 정보주체 또는 제3자의 급박한 생명·신체·재산상 이익을 보호해야 하는 경우와, 개인정보처리자의 정당한 이익 달성에 필요하고 그 이익이 정보주체 권리보다 명백하게 우선하는 경우도 예외에 포함된다.

수집 단계에서는 목적, 수집 항목, 보유·이용 기간, 동의 거부 권리와 거부 시 불이익을 알려야 한다.

⤢✕

수집 목적 범위를 벗어난 이용은 원칙적으로 허용되지 않는다. 제3자에게 제공하려면 별도 동의가 필요하며, 제공받는 자, 제공받는 자의 이용 목적, 제공 항목, 보유·이용 기간, 동의 거부 권리와 거부 시 불이익을 고지해야 한다.

보유기간이 지났거나 처리 목적을 달성해 개인정보가 불필요해지면 지체 없이 파기한다. 전자 파일은 복구할 수 없는 방식으로 영구 삭제하고, 기록물은 파쇄 또는 소각한다. 법령상 보존 의무가 있다면 다른 개인정보와 분리해 보관한다.

정보주체는 처리 현황을 확인하고 통제할 수 있다

정보주체에게는 개인정보 처리에 관한 정보를 제공받을 권리와 동의 여부 및 범위를 선택할 권리가 있다. 처리 여부의 확인과 열람을 요구할 수 있으며, 처리정지·정정·삭제·파기도 요구할 수 있다. 개인정보 처리로 발생한 피해에 대한 구제 역시 권리 범위에 속한다.

⤢✕

처리자가 갖춰야 할 보호 체계

개인정보처리자는 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 기술적·관리적·물리적 조치를 해야 한다. 내부관리계획 수립·시행, 접근 통제, 암호화, 접속기록 보관, 보안프로그램 설치가 여기에 포함된다.

개인정보 처리 업무를 총괄할 보호책임자도 지정해야 한다. 보호책임자는 개인정보 보호 계획을 수립·시행하고, 처리 실태를 점검해 개선하며, 불만처리와 피해구제를 맡는다. 유출 등 사고가 발생했을 때 대응 업무도 담당한다.

공공기관이 개인정보파일을 운용할 때는 개인정보 영향평가를 수행한다. 대상에는 5만 명 이상의 민감정보·고유식별정보 처리, 50만 명 이상의 개인정보파일 연계, 100만 명 이상의 개인정보 처리 시스템이 포함된다.

유출 사고는 통지와 신고를 분리해 처리한다

개인정보 유출을 인지하면 지체 없이 정보주체에게 알려야 한다. 통지와 신고에는 유출된 개인정보 항목, 유출 시점과 경위, 피해 최소화 방법, 대응조치와 피해구제 절차, 문의처를 담는다.

1천 명 이상 개인정보가 유출된 경우에는 개인정보보호위원회 또는 전문기관(KISA)에 신고한다.

⤢✕

가명정보 활용 범위와 익명정보의 구분

2020년 개정은 가명정보 개념과 활용 근거를 마련했다. 가명정보는 추가정보 없이는 특정 개인을 알아볼 수 없도록 처리한 정보다. 통계 작성, 과학적 연구, 공익적 기록보존 등에 활용할 수 있다.

개인을 식별할 수 없는 익명정보는 개인정보보호법 적용 대상에서 제외된다.

위반에 따른 형사·행정 책임

개인정보를 불법으로 수집·이용·제공하면 5년 이하 징역 또는 5천만원 이하 벌금이 부과될 수 있다. 개인정보 유출, 훼손, 침해, 변경도 5년 이하 징역 또는 5천만원 이하 벌금 대상이다. 영리 목적으로 위반한 경우에는 10년 이하 징역 또는 1억원 이하 벌금이 적용된다.

행정적으로는 매출액의 3% 이하 과징금이 부과될 수 있고, 시정명령과 최대 5천만원의 과태료도 가능하다. 고의·과실로 개인정보 침해가 발생하면 손해배상 책임이 따르며, 3배 징벌적 손해배상제가 적용된다.

동의와 접근 통제가 실패한 사건

2015년 홈플러스 개인정보 불법 수집 및 제공 사건에서는 홈플러스가 경품행사를 통해 개인정보를 수집해 보험회사에 판매했다. 수집 목적을 명확히 고지하지 않았고 제3자 제공에 관한 별도 동의도 받지 않은 점이 문제로 지적됐다. 과징금과 형사 처벌이 뒤따랐으며, 수집과 제3자 제공 단계에서 명확한 고지와 별도 동의가 필요하다는 점을 보여준다.

2019년 N사 채팅앱 개인정보 유출 사건은 이용자 정보 처리 과정의 접근 통제 미흡으로 발생했다. 기술적·관리적 보호조치가 부실했던 것이 문제였고, 과징금과 과태료가 부과됐으며 집단소송도 제기됐다. 안전조치 의무의 이행 여부는 유출 사고와 그에 따른 경제적 손실에 직접 연결된다.

GDPR과 미국의 규제 방식

EU GDPR(General Data Protection Regulation)은 2018년 시행된 유럽연합의 개인정보보호 규정이다. 역외 적용, 전 세계 매출의 4%에 이르는 높은 과징금, 잊힐 권리 등이 특징이다. 한국 개인정보보호법은 GDPR과의 유사성을 인정받아 2021년 EU 적정성 결정을 획득했다.

미국은 포괄적인 단일법 대신 금융, 의료, 아동 등 분야별 법률로 개인정보를 규제한다. 캘리포니아 소비자 개인정보보호법(CCPA)처럼 주별 입법도 활발하며, 데이터 이동성과 삭제권 등 정보주체 권리는 강화되는 추세다.

개인정보 거버넌스에 연결할 운영 항목

기업은 개인정보 처리방침을 명확하게 최신화하고, 수집은 최소화하며 목적별 동의를 세분화해야 한다. 개인정보 처리 시스템에는 암호화와 접근통제 등 보안 조치를 적용하고, 처리 실태 점검과 교육을 정기적으로 수행할 필요가 있다.

유출 대응 매뉴얼을 마련하고 훈련하는 일, 가명·익명처리 기술로 데이터를 안전하게 활용하는 일도 운영 체계에 포함된다. 개인정보 영향평가와 위험분석은 정례화 대상이다.

데이터 활용과 보호 사이에서 바뀌는 규제

AI와 빅데이터 환경에서는 개인정보 보호와 활용의 균형이 과제로 남는다. 마이데이터와 데이터 이동권은 정보주체의 데이터 주권을 강화하는 방향이며, 가명정보 활용 활성화와 안전장치 강화도 함께 요구된다.

글로벌 개인정보 규제와의 조화, 국제 이전 규정 정비, 디지털 신원 관리와 생체정보 보호 같은 신기술 관련 규제 역시 계속 발전할 영역이다. 개인정보처리자는 단순한 규제 준수를 넘어 개인정보 거버넌스 체계를 갖춰야 하며, 정보주체의 권리 인식과 적극적인 행사 문화도 필요하다.