“개인정보 보호조치 기준, 구체적 조문 해석 필요”

행안부, “조만간 보호조치 기준 고시에 대한 해설서 배포 예정”

[보안뉴스 김정완] 행정안전부가 지난해 12월 30일, 제정해 고시한 ‘사업자의 개인정보 보호조치 기준’에 대해 보안기업들은 대체로 만족하는 것으로 나타났다. 하지만 보안책임자에 대해 책임과 의무만 언급되고, 지원이나 혜택 등은 없다거나 실제 유출 후에 대한 조치는 미흡하다는 등의 문제점도 갖고 있다는 의견도 있다.

이는 보안뉴스 주최로 9일, 서울 광화문플래티넘빌딩에서 행안부 개인정보보호과 담당 공무원들과 21개 보안기업 담당자들이 참석한 가운데 개최된 ‘개인정보보호법 제정을 위한 행안부-보안기업 간담회’에서 가진 기술적 보호조치 고시 쟁점 토의에서 나온 것.

사업자가 개인정보 보호조치 의무를 다했는지에 대한 내용을 담고 있는 ‘사업자의 개인정보 보호조치 기준(이하 ‘고시’)’에 대해 집중토론을 펼친 이날 간담회는 정부가 단순히 고시를 제정해 시행하는 것에 그치지 않고, 그에 대한 업계의 의견을 수렴해 이후 개정에 반영할 예정이어서 주목된다.

◇ “개인정보 유출 후에 대한 조치는 미흡”

이날 토론에서 김춘곤 에이쓰리시큐리티 전략실장은 “고시는 개인정보의 접근을 제한하는 것으로 대부분 되어 있는데, 실제 개인정보 유출 후에 대한 조치는 미흡하다”고 지적하고 “로그 기록 등에 대한 규제 등은 상대적으로 적은데 이에 대한 기준은 무엇인가?”라고 질의했다.

이에 차건상 행안부 개인정보보호과 전문위원은 “보안솔루션으로 조치하는 부분에 대한 것은 고민을 많이 했다”고 말하고 “유출 측면에서 방지 부분이 기술적 보호조치 항목으로 추가하는 부분은 열려 상황인데, 규제 측면에서 조심스럽게 접근하고 있다”고 답했다.

윤광택 시만텍코리아 이사는 미국을 예로 들며, “컴플라이언스 이슈가 법을 지키기 위해서라기보다는 솔루션 도입을 위한 부분이 강한데, 사전에 보호하는 부분을 언급하지 않은 것은 미흡하다”고 언급했다.

◇ “기업, 기술적 보호조치 어디까지 해야 하는지 기준 불명확!”

또한 조원희 지란지교소프트 부장은 “고시가 담고 있는 내용은 보안업체 입장에서는 사업적 부분을 많이 염두에 뒀다”고 말하고 “하지만 기준 자체가 기술적 보호조치를 어디까지 해야 하는지, 또 이 고시의 시행에 대해서는 불명확한 것은 문제다. 조문 해석을 좀더 구체적으로 할 필요가 있다”고 지적했다.

이에 차건상 전문위원은 “24개 업종에 대해 어떻게 적용해야 하는지에 대해 고민하고 있다으며, 홍보나 교육을 강화하기 위해 홍보용 매체를 만들어서 배포할 예정”이라고 말하고 “조만간 고시 해설서 책자를 조만간 배포할 계획”이라고 답했다.

◇ “보안인력에 대한 배려가 약한 점은 아쉬워”

최동근 롯데정보통신 이사는 “현재 이 고시가 시행된 지 얼마 안됐지만 실무적 입장에서 규제 측면이 강한 것은 아쉽다”며 보안인력에 대한 배려가 약한 점에 대해서 아쉬움을 전하고, 조원희 부장과 마찬가지로 세부적이지 못한 것에 대한 것과 소규모 사업자들 입장을 배려하지 못한 점에 대해서도 언급했다.

또한 최동근 이사는 “영세한 위탁업체는 비용과 인력이 없어 기술적 보호조치를 하는 것이 거의 불가능한 실정인 만큼 산업별 대책도 필요하다”고 말하고 “개인정보보호법이 제정되면 행안부가 모두 컨트롤 하겠지만 위키리스크처럼 정보를 축적했다가 고발하는 모방 범죄에 대한 대응과 고민도 함께할 필요가 있다”고 제안하기도 했다.

아울러 이용우 웨어밸리 부장은 “개인정보 시스템에 접근하는 경우는 여러 가지가 있는데 이에 대한 기준이 좀더 구체화 됐으면 좋겠다”고 말하고 “개인정보관리 실태조사를 좀더 확대할 필요도 있고, 개인정보관리를 잘하는 기업은 인증을 해주는 제도도 필요할 것으로 생각된다”며 의견을 제시했다.

한편 이날 간담회에는 △글로벌다윈 △닉스테크 △롯데정보통신 △비욘드쏠루션 △삼성SDS △세이프넷코리아 △소만사 △소프트캠프 △시만텍코리아 △시큐아이닷컴 △에이쓰리시큐리티 △웨어밸리 △유넷시스템 △이글루시큐리티 △이스트소프트 △이이다코리아 △인포섹 △지란지교소프트 △파수닷컴 △펜타시큐리티시스템 △코스콤 이상 21개사(가나다순)가 참여했다.

[김정완 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)