개인정보 처리 통합안내서(안) 교육 방안 마련 논의

[보안뉴스 원병철 기자] 개인정보보호 전문강사협회에서 주최하는 제6차 개인정보보호 전문강사포럼(이하 포럼)이 지난 18일 일산 킨텍스에서 ‘SECON & eGISEC 2025’와 함께 개최됐다. 포럼은 개인정보보호위원회로부터 위촉받은 개인정보보호 전문강사들이 개인정보보호 교육효과의 극대화 및 전문강사 역량 강화를 위해 주제 발표와 토론을 통해 해법을 찾고자 하는 비공개 콘퍼런스다.


▲제6차 개인정보보호 전문강사포럼[자료: 개인정보보호 전문강사협회]

이번 제6차 포럼에서는 ‘개인정보 처리 통합안내서(안)’를 개인정보처리자가 개인정보 처리 업무에 원활하게 적용할 수 있도록 교육하는 방안을 마련한다는 주제로 진행됐다. 포럼에는 약 40명의 초대받은 전문강사가 참여했으며 정재원 강사(협회 회장)의 사회로 시작해 최기근 강사(한국교육과정평가원)의 ‘개인정보 처리 통합안내서 주요 내용’에 대한 주제 발표가 이어졌다. 이어, 패널토론에서는 이지연 강사(협회 부회장)가 좌장을 맡고 김용운 강사, 경정익 강사, 이성훈 강사, 최병훈 강사, 백남정 강사가 패널로 참여했다.

이날, 주제 발표와 토론을 통해 다음과 같은 의견이 수렴됐다.

1. 개인정보 처리 통합안내서 발간 취지
개인정보 처리 시 개정된 사항에 대한 개인정보처리자가 알기 쉽게 반영할 수 있도록 사례 및 판결례 중심으로 발간됐다. 개인정보 수집 동의서에 변화 및 개인정보의 수집, 보관, 처리 및 폐기 전 과정에서 개인정보자기결정권을 보장하기 위한 개인정보 제공 및 활용에 대한 명확한 법적 기준 마련이 요구되고 있다. 주요 사항은 다음과 같다.
·개인정보 수집 이용 동의서 사례
·개인정보 비동의 적법 근거 사례를 통한 편향적 해석 경계
·분야별 개인정보보호 안내서 등 참고

공공 및 민간 부문에서 개인정보 보호 수준을 높이기 위한 정책이 추진되고 있으며, 위반 시 과징금 부과 등 강력한 제재가 취해지고 있다.

2. 개인정보보호법 상 입증책임
개인정보처리자는 개인정보 처리 시 입증에 대한 법적 문제를 검토하고 있다. 개인정보 처리 시 최소 수집의 원칙에 부합한 지 입증할 수 있어야 하며, 이에 대해 심층적으로 논의했다.
·개인정보 수집에 대한 입증책임에 대한 가이드라인 배포 필요성
·개인정보자기결정권 보장을 위한 사항으로 개인정보 수집 이용 동의서 작성 시 선택 항목에 대한 구분 동의 및 수집 목적에 대한 분명한 명시가 필요함
·예로서 원천징수의무자는 법률에 근거해 필수항목을 수집하지만, 추가 필요성에 따라 신분증 사본, 주소지, 연락처 등을 취합하고 있음. 단 이에 대한 안내는 필수항목으로 갈음하는 사례가 많으며, 선택 항목 또는 필수항목의 판단은 목적을 구분해서 동의서를 작성해 안내하는 것으로 입증될 수 있을 것이며 이러한 것이 최소 수집의 원칙을 고려해야 함
·아울러 개인정보처리방침 내 비동의 적법 근거, 민감정보의 공개 가능성 등 정보주체권익보장을 활동을 공개 강화해야 함

동창회에서 개인정보 처리자에게 개인정보를 제공하는 것과 학생이 다른 학생의 정보를 전달해 주는 것 등 법에서 규정하지 않은 사항 등은 비즈니스 모델에서 활용하고 있으며 입증책임에 대한 구체적인 설명이 필요하다.

3. 계약에 관한 개인정보 수집에 대한 비동의 적법 근거
법 제15조1항제4호 ‘계약에 따른 개인정보 수집 범위’에 대해 포괄적 해석에 대한 우려가 존재하고 있다. 주요 쟁점은 다음과 같다.
·개인정보 처리자가 계약에 관한 근거를 마련하고 있으며 이에 대한 적법한 해석이 필요함
·약관 등에 따른 1:N의 포괄적 사항은 제외되며 명시적으로 안내되어야 함
·추가적인 사항에 대한 수집 및 제공에 대해 개인정보처리방침을 공개해야 함

정보 주체의 추가적인 이용과 제공을 위한 근거로 제15조 3항 및 제17조 4항을 활용 시 개인정보처리방침 등 명시를 통해 정보 주체 권리를 확보의 필요성에 대한 교육이 필요하다.

4. 개인정보 수집 방식 변화
최근 PbD(개인정보보호 중심설계) 개인정보 반영된 신원인증 방식으로 생체인식 특징 개인정보 수집 방식이 변화하고 있다. 이는 개인정보 최소 수집 원칙을 적용한 사례로, 다음과 같은 변화가 나타나고 있다.
·생체인식 특징 정보 처리에 대한 PbD 방식 처리
·개인정보 보호법 개정으로 인한 기업의 인증 방식 변경
·최소 수집 원칙을 적용한 사용자 인증 방식 개선
·개인정보 자기 결정권 보장 고려

개인정보 보호와 사용자 편의성을 동시에 고려한 기술 도입이 증가하고 있다.

5. 개인정보 처리 기준 변화
개인정보 보호 기준이 기존의 EU GDPR 방식에서 점진적으로 자율적인 가이드라인 방식으로 변화하고 있다. 이는 기업의 자율성을 존중하는 방향으로의 전환을 의미하며, 다음과 같은 사항이 주요하게 논의되고 있다.
·기존의 엄격한 규제에서 기업의 자율성을 확대하는 방향으로 변화
·개인정보 보호 관련 법규 및 가이드라인 해석 문제 발생
·데이터 보호와 활용 간의 균형 유지 방안 검토

향후 개인정보 보호 체계가 더욱 정교해질 전망이며, 기업과 정부 기관이 이를 효과적으로 적용할 수 있도록 정책 마련이 요구된다.

현재 개인정보 보호 및 활용에 대한 법적, 기술적, 정책적 논의가 지속되고 있으며, 금융 및 공공기관의 개인정보 활용 방식과 보호 기준이 변화하고 있다. 특히 개인정보 보호법 개정과 기술 발전에 따라 데이터 처리 방식이 변화하고 있으며, 데이터 보호를 위한 최소 수집 원칙과 개인정보자기결정권 강화가 강조되고 있다.

앞으로 개인정보 보호와 데이터 활용 간의 균형을 맞추는 것이 주요 과제가 될 것이며, 이를 위해 관련 법률 및 정책의 지속적인 개선이 필요할 것이다.

개인정보보호 전문강사협회 정재원 회장은 “이번 포럼을 통해 개인정보처리자에게 새롭게 개정되어 발표된 통합안내서의 내용이 현업에 원활하게 적용될 수 있도록 개인정보보호 전문강사가 역할을 다할 것”이라고 전했다.

한편, 제7차 개인정보보호 전문강사포럼은 오는 5월 코엑스에서 ‘PIS FAIR 2025’와 동시 개최 행사로 열릴 예정이다.

[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>