개인정보보호법 시행령 개정안 입법 예고

 

 

한 때 보안 컨설팅 일을 하면서 CPPG 자격증을 따기 위해 개인정보보호법을 굉장히 많이 봤던 것 같습니다. 하지만 최근에는 다른 일을 하다 보니 법을 들여다 보는 일이 줄어들었는데요. 대신 틈틈히 법이 개정된다는 뉴스가 나오면 어떻게 바뀌는지 확인하는 정도로만 보고 있죠.

 

 

그런데 지난 3월 개인정보보호법이 전면으로 개정되면서, 이에 대한 후속 조치로 시행령도 개정될 예정이라고 합니다. 과거보다 정보주체의 권리가 강화되면서 공공분야에서도 내부관리 계획이나 기술적인 안전조치를 한층 더 꼼꼼히 하도록 만드는 취지를 가지고 있죠.

그래서 이번 글에서는 개인정보보호법 시행령이 어떻게 바뀌는지 간단히 말씀드리려고 합니다. 특히 이 시행령이 개정되면 개인정보관리사 시험인 CPPG에서도 바뀐 내용으로 문제가 출제될 가능성이 높겠죠. 그래서 시행령에서는 어떤 부분이 바뀌었는지 중점적으로 설명드려보도록 하겠습니다.

 

우선 가장 크게 바뀐 점은 정보주체가 자신의 개인정보에 대한 권리를 실질적으로 행사할 수 있도록 동의 원칙을 구체화했다는 점입니다. 시행령의 조항 문구 자체에 "정보주체의 자유로운 의사"라는 문장이 포함되어 있기 때문에 동의 여부를 선택할 수 있다는 사실을 구분하여 표시하도록 바뀔 예정입니다.

 

그리고 이전까지 온라인(정보통신서비스 제공자)과 오프라인(개인정보처리자)을 구분해서 규제를 해왔지만, 앞으로는 동일한 기준을 적용하여 규제할 예정입니다. 특히 정보주체가 아닌 제3자로부터 개인정보를 수집해 출처를 통지하는 경우를 아래와 같이 개선한 것을 볼 수 있습니다.

 

 

출처: 개인정보보호위원회

 

 

또한 개인정보보호법을 위반한 경우 과징금이 위반 행위에 비례하여 산정될 수 있도록 변경하였는데요. 과징금 산정을 위한 기준이 되는 금액을 현행 3구간 단일 비율 방식에서 4구간 차등 비율 방식으로 전환했습니다. 그리고 개인정보 유출 신고도 유출 규모가 1천명 이상인 경우 72시간 내 개인정보위나 KISA에 신고하도록 바뀌었죠. 

 

다음으로 공공분문 개인정보 처리에 대한 내용을 보면 공공기관에서도 국민의 개인정보를 처리하기 때문에 개인정보파일을 자체적으로 관리하고 있는데요. 그런데 지금까지는 내부적 업무처리 목적인 경우에는 행정안전부에 별도로 등록하지 않아도 되었지만, 앞으로는 일시적 처리를 제외하고는 반드시 등록하도록 변경되었습니다.

 

마지막으로 개인정보 영향평가(PIA)를 공공기관이 수행하야 하는 시점 자체도 개인정보파일 운용 또는 변경 전으로 명확하게 명시했고, 영향평가 이후 요약본을 공개하여 공공기관의 개인정보를 투명하게 관리하도록 했습니다. 이는 최근 증가하고 있는 개인정보 유출로 인한 제도 보완 차원으로 보시면 될 것 같습니다.

 

 

1천명 이상 민감정보 유출시 72시간 이내 개인정보위·KISA에 신고해야

 

 

여기까지 간단하게 앞으로 바뀔 수 있는 개인정보보호법의 시행령에 대해 말씀드렸습니다. 물론 아직 입법 예고만 한 상태고 의견을 받는 기간이기 때문에 당장은 아니지만 이후 CPPG 시험을 준비하시는 분들이라면, 개정 후에는 위와 같은 기준으로 공부를 다시 하셔야겠죠.  


정리해보면 이번 시행령 개정에서는 정보주체의 권리를 강화하고 공공부문에서도 안전조치를 더욱 더 꼼꼼히 하여 개인정보 유출을 방지하는 등 규제를 정비하려는 것으로 보입니다. 앞으로도 개인정보보호법이 더 좋은 방향으로 개정되어 기업이나 기관들에서 개인정보 보호에 더 많은 신경을 기울였으면 합니다.