정보통신사업자 위한 개인정보보호 길라잡이

위치정보이용 사업자, 빅데이터 사업자 등 위한 가이드 제공
정보통신사업자 대상 ‘온라인 개인정보보호 정책세미나’ 개최

[보안뉴스 민세아] 정보통신망법이 개정되면서 정보통신 분야 개인정보보호 담당자들이 크게 긴장하고 있다. 개정된 법률을 제대로 숙지하지 못하면 자기도 모르는 사이 법 위반으로 과태료가 부과되고 형사처벌을 받을 수 있기 때문이다.

▲ 27일 방송통신위원회와 한국인터넷진흥원은 정보통신서비스 사업자 200여명을 대상으로 ‘온라인 개인정보보호 정책세미나’를 개최했다.

이러한 가운데 방송통신위원회(위원장 최성준, 이하 방통위)와 한국인터넷진흥원(원장 백기승, KISA)은 온라인 개인정보·위치정보 정책방향을 사업자 질문 중심으로 안내하고 사업현장에서의 적용을 지원하기 위해 ‘온라인 개인정보보호 정책세미나’를 27일 개최했다.

이날 행사는 정보통신망법 적용을 받는 이통사·포털 등 사업자, 위치정보 사업자 등 200여명을 대상으로 진행됐으며, ‘위치정보 사업 신고 및 개정 위치정보법 주요내용’, ‘빅데이터 개인정보보호 가이드라인’, ‘온라인 개인정보 취급 가이드라인 및 개정 정보통신망법’에 대한 내용을 중심으로 진행됐다.

최근 이슈가 되고 있는 개인위치정보의 경우 위치만으로도 특정 개인의 위치를 알 수 없다고 하더라도 다른 정보와 용이하게 결합해 특정 개인의 위치를 알 수 있다면 개인위치정보로 간주한다. 위치정보를 이용한 사업은 위치정보사업과 위치기반서비스 사업으로 나눌 수 있는데, 위치정보를 수집해 이를 위치기반 서비스 사업자에게 제공할 경우 위치정보사업에 해당한다. 또한, 위치정보사업자로부터 받은 위치정보를 이용해 서비스를 제공하는 경우 위치기반 서비스 사업에 해당한다.

‘위치정보 사업 신고 및 개정 위치정보법 주요 내용’ 세션에서는 사업자들을 위한 위치정보사업 허가와 신고 방법, 신고 유형 및 대상, 요건, 절차, 서류 작성방법 및 구비서류에 대해 상세하게 설명했다.

개정 정통망법에 따르면 개인정보는 수집시 정보의 일부 또는 전부를 삭제·대체하거나 다른 정보와 쉽게 결합하지 못해 특정 개인을 알아볼 수 없도록 비식별화 조치를 취한 후 보관해야 한다. 비식별화한 개인정보를 다른 정보 또는 데이터와 비교, 연계, 결합 등을 통해 특정 개인을 알아볼 수 있게 재식별화될 경우 해당 정보를 즉시 파기하거나 비식별화해야 한다.

비식별화 조치 기준은 ‘공공정보 개방 공유에 따른 개인정보보호 지침’에 다양한 조치 기법들이 제시되어 있으나 이를 반드시 따를 필요는 없다는 것. 사업자가 스스로 비식별화 조치 기준을 마련해 개인정보를 보관해도 무방하다는 설명이다.

또한 ‘빅데이터 개인정보보호 가이드라인’ 제10조 ‘제3자 제공’에 따르면 정보통신서비스 제공자가 제3자에게 이용자의 개인정보를 제공하기 위해서는 개인정보가 포함된 공개된 정보, 이용내역 정보, 생성 정보의 경우 이용자의 동의를 받아야 한다. 그러나 이들이 비식별화 처리되어 개인정보로 간주할 수 없게 되는 경우 동의 없이 제3자 제공이 가능하다.

정보통신망법 주요 개정사항은 다음과 같다. 이용자의 사전 동의가 있더라도 수집 가능한 개인정보를 필요한 최소한으로 한정하고 수집해야 하며, 이용자의 동의 없이 개인정보 취급위탁이 가능한 예외 조항이 추가됐다.

또한, 개인정보 누출 인지 후 지체없이 24시간 이내에 이용자에게 통지하고 방통위 또는 KISA에 신고해야 한다. 24시간을 넘길 경우 정당한 사유를 소명해야 한다. 24시간 이내에 모든 이용자에게 통지하는 것이 실질적으로 어려울 경우 24시간 이내에 통지를 시작해 추후에 소명할 수 있다.

이와 함께 서비스를 이용하지 않는 이용자의 개인정보 조치 유효기간이 3년에서 1년으로 단축됐으며, 위법한 개인정보 분식·도난·누출에 대한 법정 손해배상제도를 도입해 이용자가 누출통지를 받은 날부터 3년, 누출된 날부터 10년 이내에 청구할 수 있다.

이 외에도 개인정보 보호조치 위반에 대해 과징금을 매출액 기준으로 통일함으로써 사업장 규모에 비례해 과징금이 부과도록 했다. 특히, 수탁자가 개인정보보호 규정을 위한한 경우 위탁자가 그 책임을 지게 되고, 개인정보 누출과 기술적·관리적 보호조치 위반과의 인과관계 입증 없이 과징금을 부과할 수 있게 된다.

[민세아 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)