개인정보보호 관련 인증 취득, 저조한 이유 3가지

개인정보보호 인증, PIMS 29건·PIPL 10건으로 총 39건에 불과
자율제도, PIMS와 PIPL 통합 추진, 높은 인증수준 등으로 관심 적어

[보안뉴스 김경애] 개인정보보호에 대한 중요성은 갈수록 커지고 있는 반면, 기관 및 기업의 개인정보보호 관련 인증 취득현황은 여전히 미흡한 실정이다.

물론 인증을 취득했다고 해서 기업·기관의 개인정보보호를 잘하고 있다고 확언할 순 없지만, 적어도 해당 기관·기업의 개인정보보호 활동이 적극적인지 여부를 파악할 수 있다는 점에서 그 가치를 인정받을 수 있기 때문이다.

현재 개인정보보호 인증제도는 PIMS와 PIPL 인증으로 구분된다. PIMS 인증의 경우 방송통신위원회 고시 제2013-17호 ‘개인정보보호 관리체계 인증 등에 관한 고시’를 근거로 운영되고 있으며, 방송통신위원회가 인증기관 지정 및 감독 업무를 담당하는 인정기관이며, 한국인터넷진흥원이 인증심사 수행 및 결과를 보고하는 인증기관이다.

PIPL 인증은 지난 2011년 3월 ‘개인정보보호법’ 이후 2013년 안전행정부 고시(제2013-45호) ‘개인정보보호 인증제 운영에 관한 규정’을 통해 실질적인 추진 근거를 확보하고, 2013년 10월말부터 본격적으로 시행 중이다. 인증유형은 기관의 규모 및 특성에 따라 소상공인, 중소기업, 대기업 등 3개로 구분되며, 공공부문은 단일유형으로 되어 있다.

인증 대상자는 ‘개인정보보호법’의 적용을 받는 350만 개인정보처리자가 모두 해당이 되며, 자율적으로 신청하고 취득하는 자율 인증제도이다.

PIMS, 2015년 6월까지 총 29건 불과

PIMS 취득 현황을 살펴보면 2015년 6월 현재까지 총 29건으로, 지난 2010년 11월 방송통신위원회 의결로 처음 인증제도가 도입된 이후 2011년 최초로 2건이 발급됐다. 이후 2012년 7건, 6.25사이버테러 등 주요 정보보호이슈가 많았던 지난 2013년에 11건으로 늘었지만 개인정보 유출사고가 많았던 지난해는 7건에 그치고 말았다. 올해도 상반기가 끝나가지만 취득기업은 2곳에 불과하다.

▲출처: 한국인터넷진흥원

2013년 10월부터 시행된 PIPL은 2014년 한해 동안 총 10건으로 PIMS에 비해 비교적 양호한 편이다. 주로 공공기관과 대기업이 취득했지만, 중소기업과 소상공인의 취득현황이 없어 아쉽기는 마찬가지다.

PIPL 관련 공공기관 관계자는 “2014년 한해 기준으로 볼 때 10건의 취득성과는 비교적 좋은 성과”라며 “개인정보보호 강화를 위해 인증 홍보도 필요하지만 기업 입장에서는 의무가 아니기 때문에 정부가 규제한다는 느낌도 줄 수 있어 조심스러운 부분이 있다”고 말했다. 하지만 개인정보보호의 중요성이 커지고 있는 만큼 기업의 적극적인 참여가 요구된다고 덧붙였다.

개인정보보호 관련 인증, 왜 저조할까?

그럼 개인정보 유출사고는 빈번하게 발생하고 있는 반면, 개인정보보호 관련 인증 취득현황은 왜 저조한 것일까. 이러한 원인에 대해 전문가들은 자율제도라는 점과 향후 통합될 인증제도의 변화, 취득의 어려움을 꼽았다.

이에 대해 PIMS 관련 공공기관 관계자는 “개인정보보호 인증제도의 경우 의무제도가 아니다 보니 취득하려는 기업이 많지 않고, PIMS 인증을 취득하기도 사실상 쉽지 않다”며 “기업에서 개인정보관리체계를 강화하지 않고는 고시 기준에 맞춰 구축·운영하는 게 어렵기 때문”이라고 설명했다.

이로 인해 개인정보관리체계 구축이 용이한 대기업에서 취득하는 경우가 대부분이며, 중소기업에서 취득하는 게 매우 어렵다는 얘기다.

PIMS+PIPL= 새로운 인증제도 윤곽

또한, 인증제도의 중복 논란이 제기되면서 2016년부터는 PIMS와 PIPL이 합쳐질 전망이라 향후 변화 추이를 살펴본 후, 인증 취득여부를 결정하려는 기업이 상당수 있다는 점도 인증 취득이 저조한 이유로 작용하고 있다.

이와 관련 또 다른 공공기관 관계자는 “PIMS와 PIPL이 합쳐지면서 이름은 PIMS 인증으로 하고, 인증유형은 기존 PIPL처럼 공공기관, 대기업, 중소기업, 소상공인 4개 유형으로 운영될 것”이라며, “PIPL의 유형을 수용할 계획이지만, 좀더 자세한 사항은 각 기관과 부처간 협의과정에 있다”고 밝혔다. 이는 규모가 작은 기업들도 인증 취득이 보다 용이하도록 하겠다는 것을 의미한다.

또한, 기존에 취득했던 인증은 모두 PIMS로 전환되고, 인증 취득 대상 사업자에 따라 정통망법을 적용받는 사업자는 한국인터넷진흥원에, 개인정보보호법을 적용받는 사업자는 한국정보화진흥원에 인증심사를 신청하면 된다는 설명이다. 하지만 인증비용을 비롯한 세부사항은 아직 조율 중인 것으로 알려졌다.
[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)