개정 망법 개인정보보호 신규제도 따라잡기!

기업의 개인정보 관리 강화, 과도한 개인정보 보관 제한 등

[보안뉴스 호애진] 지난 8월 18일부터 시행된 개정 정보통신망법상의 개인정보보호 관련 신규제도에는 어떠한 것들이 있을까?

26일 포스트타워에서 열린 ‘2012 정보통신망법 개선사항 설명회’에서 윤재석 한국인터넷진흥원 개인정보제도개선팀장은 ‘정보통신망법 개인정보보호 신규제도 소개’라는 주제로 강연하며, 추진 배경 및 경과, 시행령 개정 방향 및 주요 내용을 소개했다.

윤재석 팀장은 “개정 정보통신망법은 기업의 개인정보 관리가 강화됐으며, 과도한 개인정보 보관을 제한하고, 이용자 자기정보결정권을 강화하는 한편, 개인정보보호 관리체계(PIMPS) 인증 관련 규정이 신설됐다”고 설명했다.

우선 기업의 개인정보 관리를 강화하는 차원에서 개인정보처리시스템과 외부 인터넷망을 분리하도록 했다. 이는 최근 개인정보관리자 등의 계정 해킹에 의한 대량의 개인정보 유출 사고가 발생함에 따라 사고를 예방하기 위해 높은 수준의 보안 대책 마련이 필요하다는 취지에서 비롯됐다.

적용 사업자는 전년도 말 기준 직전 3개월간 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스 부문 전년도 매출액이 100억원 이상인 정보통신서비스 제공자 등이다. 대상은 망분리 적용 사업자 중 특정한 권한을 보유한 개인정보취급자로 제한한다.

윤재석 팀장은 “일정 수준의 보안성을 갖췄다면 물리적 망분리뿐만 아니라 논리적 망분리도 허용된다”면서 “다만, 구축 기간을 고려해 6개월의 유예기간을 부여했다”고 설명했다.

또한, 과도한 개인정보 보관을 제한하기 위해 개인정보 유효기간제를 도입했다. 이는 장기간 서비스를 이용하지 않는 이용자의 개인정보에 대해 파기 등 필요한 조치를 취함으로써 사업자가 불필요하게 보관하는 개인정보를 최소화하기 위함이다.

유효기간은 3년으로 하되, 해당 기간 경과 후 즉시 파기 또는 다른 개인정보와 분리 저장·관리한다. 파기 대상은 정보통신서비스 제공자 등이 보유한 이용자의 개인정보로, 유효기간 만료 30일까지 전자우편, 서면, 모사전송, 전화 또는 이와 유사한 방법으로 파기 또는 분리 저장·관리 사실, 기간 만료일 및 해당 개인정보의 항목을 통지해야 한다.

윤재석 팀장은 “최초 회원 가입 또는 회원 정보 수정 등의 단계에서 수집·관리되는 개인정보뿐만 아니라 접속 로그(log), 쿠키(cookie), 결제 기록 등 서비스 이용과정에서 생성되는 정보도 파기 등의 조치대상에 해당된다”고 밝혔다.

이용자 자기정보결정권도 강화됐다. 이용자가 개인정보의 활용 내역을 정확히 알고, 통제할 수 있는 제도로 개인정보 이용내역 통지 제도와 개인정보 누출 등의 통지·신고제를 도입했다.

개인정보 이용내역 통지제도는 사업자가 주기적으로 이용자의 개인정보 이용내역을 통지함으로써, 이용자가 본인의 개인정보 이용내역을 정확히 알고 통제가 가능하도록 하는 것이다.

해당 사업자는 개인정보 수집·이용 목적 및 수집 항목, 개인정보 제공받은 자와 제공 목적 및 제공 항목, 취급 위탁 받은 자 및 취급 위탁 목적을 연 1회 이상 통지해야 한다는 내용이 주 골자다.

이어 개인정보 누출 등의 통지·신고제는 개인정보 누출사고 발생 시 이용자에게 해당 사실을 통지하고 방통위에 신고해 명의 도용, 금전적 피해 등 추가 피해가 확산되는 것을 방지하기 위함이다.

해당 사업자는 개인정보 분실·도난·누출 사실을 안 때, 지체없이 이용자 통지 및 방통위에 신고를 해야 하며, 통지 내용은 누출 개인정보 항목, 누출 발생 시점, 이용자가 취할 수 있는 조치, 정보통신서비스 제공자 등의 대응 조치, 이용자 상담 접수 부서 및 연락처 등이다. 또 사업자는 개인정보의 누출 등에 대한 대책 마련 및 피해 최소화 조치를 강구해야 한다.

윤재석 팀장은 “다만, 온·오픈라인에서 사업을 영위하는 경우 정보통신망법상 누출 등 신고와 개인정보보호법상 유출 신고는 범위, 시점, 접수 기관, 내용 및 목적에서 차이가 있다”면서 “해당 사업자는 방송통신위원회와 행정안전부 또는 전문기관에 신고해야 한다”고 밝혔다.

[호애진 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)