개인정보보호법의 처리 원칙과 기업 준수 체계

개인정보를 다루는 전 과정의 기준

개인정보보호법은 개인정보의 수집·이용·제공에 관한 사항을 정해 정보주체의 권리와 이익을 보호하는 법률이다. 2011년 3월 29일 제정됐고, 같은 해 9월 30일부터 시행됐다.

이 법은 공공기관과 민간기업 모두에 적용되는 개인정보 보호의 일반법적 성격을 가진다. 개인정보를 안전하게 처리하는 일과 개인의 자기결정권을 보장하는 일이 핵심에 놓인다.

수집 단계에서 처리목적을 분명히 한다

개인정보처리자는 수집 시점에 처리목적을 명확하게 특정해야 한다. 해당 목적에 필요한 최소한의 개인정보만 적법하고 정당하게 수집해야 하며, 원칙적으로 처리목적 밖의 이용은 허용되지 않는다.

⤢✕

온라인 쇼핑몰의 동의 문구는 처리목적과 항목, 보유기간을 함께 보여주는 방식으로 구성할 수 있다.

[개인정보 수집·이용 동의]
1. 수집목적: 회원가입, 주문 및 결제, 상품 배송, 고객 서비스 제공
2. 수집항목: 이름, 주소, 연락처, 이메일, 결제정보
3. 보유기간: 회원 탈퇴 시까지 또는 법정 보존기간

처리목적을 명시하면 정보주체는 자신의 정보가 어떤 방식으로 활용될지 예측할 수 있다.

보유기간이 끝나면 파기한다

개인정보는 처리목적을 달성하는 데 필요한 기간 안에서만 보유한다. 개인정보처리자는 정보주체에게 보유기간을 명확히 고지해야 하며, 보유기간이 지나거나 처리목적이 달성되면 지체 없이 파기해야 한다.

법정 보존기간의 예시는 다음과 같다.

• 전자상거래 소비자 보호법: 계약/청약철회 기록(5년), 대금결제/재화공급 기록(5년), 소비자 불만/분쟁처리 기록(3년)
• 통신비밀보호법: 로그기록, IP 정보(3개월)
• 국세기본법: 거래 관련 증빙서류(5년)

⤢✕

제3자 제공과 처리 위탁은 구분해서 관리한다

제3자 제공은 개인정보를 수집한 기관이 아닌 다른 기관에 정보를 제공하는 행위다. 원칙적으로 정보주체의 동의가 필요하며, 제공받는 자와 제공 목적, 제공 항목, 보유기간을 명확히 고지해야 한다.

동의 없이 제3자 제공이 가능한 경우는 법률에 특별한 규정이 있을 때, 정보주체 또는 제3자의 급박한 생명·신체·재산상 이익을 보호해야 할 때, 특정 개인을 식별할 수 없는 형태의 통계작성 및 학술연구 목적일 때, 공공기관이 법령상 소관 업무를 수행해야 할 때다.

금융회사의 제3자 제공 고지는 다음과 같은 내용을 포함할 수 있다.

[개인정보 제3자 제공 동의]
1. 제공받는 자: oo보험사, xx카드사
2. 제공목적: 보험 가입 확인, 카드 결제 승인
3. 제공항목: 이름, 생년월일, 연락처, 거래내역
4. 보유기간: 제공목적 달성 시까지

개인정보 처리 위탁은 개인정보 처리업무를 제3자에게 맡기는 경우를 뜻한다. 위탁자는 수탁자의 개인정보 처리 현황을 관리·감독하고, 정보주체에게 위탁 사실을 고지해야 한다.

위탁계약에는 위탁업무 목적 외 처리 금지, 기술적·관리적 보호조치, 재위탁 제한 또는 사전 동의, 정보주체 권리 보장 등의 사항이 포함돼야 한다.

⤢✕

쇼핑몰이 배송 업무를 위탁할 때의 고지 예시는 다음과 같다.

[개인정보 처리 위탁 고지]
1. 위탁받는 자: oo물류회사
2. 위탁업무: 상품 배송
3. 위탁항목: 이름, 주소, 연락처
4. 위탁기간: 위탁계약 종료 시까지

정보주체가 행사할 수 있는 권리

정보주체는 자신의 개인정보 처리 여부를 확인하고 열람을 요구할 수 있다. 오류가 있는 개인정보의 정정을 요구하거나 필요 없는 정보의 삭제를 요구할 수 있으며, 개인정보 처리정지와 수집·이용·제공 동의 철회도 가능하다. 개인정보 유출 등으로 피해가 발생한 경우에는 손해배상을 청구할 수 있다.

개인정보처리자는 이러한 권리의 행사 방법을 안내하고 지원해야 한다.

⤢✕

개인정보 열람 신청은 개인정보처리자 웹사이트의 개인정보 열람 신청 메뉴에서 시작할 수 있다. 정보주체는 아이디·비밀번호 또는 추가 인증으로 본인 확인을 거친 뒤 수집 현황, 이용 내역, 제3자 제공 현황 등의 요청 항목을 선택해 신청한다. 개인정보처리자는 10일 이내에 열람 결과를 통지한다.

침해사고 대응과 벌칙

개인정보 침해사고가 발생하면 신속한 대응과 책임 규명이 필요하다. 법률은 개인정보 보호의 실효성을 확보하기 위해 벌칙과 과태료 규정을 둔다.

허위 등록된 개인정보 처리, 개인정보 유출·훼손, 영리 목적의 개인정보 제공은 각각 5년 이하 징역 또는 5천만원 이하 벌금의 대상이 될 수 있다. 정보주체 권리 보장 의무, 안전성 확보조치, 개인정보 파기 의무를 위반한 경우에는 각각 3천만원 이하 과태료가 부과될 수 있다.

개인정보침해신고센터는 국내 대표적인 개인정보 침해 신고 창구이며, 한국인터넷진흥원(KISA)은 개인정보 침해 신고 접수와 상담을 수행한다.

개정 논의가 다루는 변화

개인정보보호법은 디지털 환경 변화에 맞춰 지속적으로 개정돼 왔다. 2020년 데이터 3법인 개인정보보호법, 정보통신망법, 신용정보법 개정에서는 가명정보 개념이 도입됐고 개인정보보호위원회가 중앙행정기관화됐다.

2023년에는 AI와 메타버스 등 신기술 관련 개인정보 이슈에 대응하기 위한 개정 논의가 진행 중이다. 가명정보 활용 범위, 개인정보 이동권, 아동·청소년 개인정보 보호, 국경 간 데이터 이전 규제 정비가 주요 변화로 다뤄진다.

기업이 갖춰야 할 개인정보 처리 체계

기업은 개인정보 수명주기 전체에서 법적 의무를 이행해야 한다. 개인정보 처리방침을 수립해 홈페이지 등에서 쉽게 확인할 수 있게 공개하고, 개인정보 보호 업무를 총괄할 개인정보 보호책임자를 지정해 공개해야 한다.

내부관리계획을 수립·시행하고, 접근통제·암호화·접속기록 관리 등을 포함한 기술적·관리적·물리적 보호조치를 적용해야 한다. 대량의 개인정보를 처리하는 시스템을 도입하기 전에는 개인정보 영향평가를 수행하며, 유출 사고가 발생했을 때 신속히 통지하고 대응할 수 있는 체계도 마련해야 한다.

개인정보보호법은 개인정보 보호와 활용의 균형을 다루는 핵심 법제다. 기업에는 책임 있는 정보 활용의 기준이 되고, 정보주체에게는 자신의 개인정보에 관한 권리를 행사할 수 있는 기반이 된다.