개인정보처리자의 개인정보보호 인식 수준 제고
국가 전반의 개인정보보호 수준 향상에 노력해야

[보안뉴스= 장 한 행정자치부 개인정보보호정책과장] 2011년 개인정보보호법 시행 이후에도 개인정보 침해사고는 지속되고 있는 반면, 국민의 개인정보보호 인식은 심화되고 있다. 2015년 행정자치부와 개인정보보호위원회가 공동으로 실시한 개인정보보호 실태조사 결과, 정보주체의 88.5%가 ‘개인정보를 중요하게 인식하고 있다’라고 답변했다. 반면, 정보주체의 45.4%는 ‘개인정보처리자가 개인정보보호의 중요성을 인식하고 실천하고 있다’고 답변했다. 이렇듯 정보주체의 개인정보보호 인식수준에 비해 개인정보처리자의 인식수준은 낮게 평가되고 있다.



개인정보보호 정책여건
또한 개인정보보호법 시행 이후 5년 동안 개인정보보호 환경은 급속히 변화했다. 빅데이터, 사물인터넷, 클라우드 컴퓨팅, 이동형 영상정보처리기기 등 신기술의 발달로 개인정보 활용이 일상생활 전반으로 급속히 확산되었다. 서비스 산업에서 개인정보 활용 증가로 생활은 편리해진 반면, 개인정보 유출 등 침해 사고에 대한 우려의 목소리도 커지고 있다.

개인정보의 국외이전도 활발해졌다. 스마트폰 보급 확산에 따라 구글, 페이스북 등을 통한 개인정보 국외이전은 일상화되어 있다. 2015년 3월부터 올해 2월까지 1592만 건의 해외직구 구매가 있었다고 지난 4월 19일 관세청이 발표하였다. 기존에는 개인정보 국외이전이 기업의 무역에 의한 것이 대부분이었지만 이제는 개인의 사적 거래를 통하여도 활발히 이루어지고 있다. 개인정보보호감독기구회의(ICDPPC)는 ‘Privacy by Design’을 국제 표준으로 선정했다. EU는 역외국가에 대해 ‘EU 적정성 평가’를 하여 자신들보다 개인정보보호 수준이 낮은 국가에 대하여는 개인정보 이전을 제한하고 있다.

APEC은 회원국의 개인정보보호 수준을 제고하기 위해 글로벌 인증 프로그램인 CBPR를 운영 중이다. 미국, 캐나다, 일본, 멕시코 등은 CBPR에 가입했고, 미국의 IBM, Apple 등 12개 기업도 인증을 받았다.

2016년 개인정보보호 정책추진 방향
행정자치부는 복잡하고 다양한 국내외 개인정보보호 정책여건에 능동적으로 대응하기 위해 2015년 10월 ‘개인정보보호정책관실’을 신설했다. 이는 보다 더 높은 수준의 개인정보보호 정책 수립·집행을 요구하는 사회 전반의 요구를 받아들인 것이다. 행정자치부는 보강된 개인정보보호 조직·인력을 활용해 다양한 정책 여건을 반영한 개인정보보호 정책을 수립·집행하고자 한다.

불필요한 개인정보 수집·이용 관행 개선
개인정보처리자들은 업무와 직접 연관성이 없는 개인정보들을 관행적으로 수집해 오고 있다. 2015년 개인정보보호 실태조사 결과 정보주체의 72.4%가 ‘개인정보처리자가 개인정보를 과도하게 수집하고 있다’라고 응답했다. 개인정보처리자의 불필요한 개인정보 수집 관행을 개선하기 위하여 먼저 주민등록번호의 처리를 엄격히 제한하고자 한다. 주민등록번호는 유출되었을 경우 2차 피해 우려가 매우 크다. 그래서 지난 2014년 8월 개인정보보호법을 개정해 법령(법, 시행령, 시행규칙)에 처리를 요구하거나 허용하는 경우 처리할 수 있도록 했다.

2016년 1월에는 더 나아가 까다로운 처리근거에 의해 수집된 주민등록번호도 반드시 암호화해 보관하도록 개인정보보호법을 개정했다. 그러나 주민등록번호 법정주의를 도입한 지 2년여가 지났음에도 불필요한 주민등록번호 수집 관행은 좀처럼 개선되지 않고 있다. 이에 2016년 3월 주민등록번호 수집 법정주의를 강화해 법률과 시행령에 처리근거가 있어야 처리가 가능하도록 개인정보보호법을 개정했다.

이에 제·개정이 비교적 용이한 시행규칙에 주민등록번호 처리 근거를 마련한 기관들은 2016년 9월까지 법률이나 시행령에 처리근거를 마련해야 한다. 주민등록번호 뿐만 아니라 성명, 주소 등 일반 개인정보도 필요 최소한의 원칙을 준수하도록 개선을 추진한다. ‘개인정보 수집·이용 최소화 가이드라인’을 마련하여 개인정보처리자가 업무처리를 위한 필요 최소한의 개인정보만을 수집·이용하도록 할 방침이다.

또한, 개인정보취급자들이 어려움을 겪는 사항중의 하나가 개인정보 수집 동의서 작성이다. 동의서는 어떠한 형식으로 어떠한 내용들을 담아야 하는지에 대해 명확한 해답을 찾기가 쉽지 않다. 이에 동의서를 작성할 때 고려해야 할 점들을 정리해 ‘개인정보 수집·제공 동의서 작성 가이드라인’을 마련해 보급할 계획이다. 이 가이드라인에 따라 동의서를 작성하게 되면 개인정보취급자는 동의 관련 다양한 법적 의무사항을 준수할 수 있게 되고, 정보주체는 자신의 개인정보가 어디에 어떻게 이용되는지를 쉽게 알 수 있게 되어 개인정보자기결정권이 강화될 수 있을 것으로 기대된다.

개인정보보호 기반 강화
빅데이터 산업 활성화, 사물인터넷 등 신기술 발달 등으로 사회 전반에서 개인정보의 활용에 대한 요구가 증가하고 있다. 그러나 이와는 반대로 개인정보의 활용으로 인한 개인정보 유출, 오·남용 등 침해를 우려하는 목소리도 크다. 이에 관계 부처, 다양한 분야의 전문가들의 의견을 수렴해 개인정보보호 기반을 강화하면서 산업 발전도 도모할 수 있는 법적·제도적 균형점을 모색해 나갈 것이다.

영상정보처리기기도 다양해졌다. 차량용 블랙박스가 대중화되었으며, 웨어러블 카메라와 같이 소형화되어 이동이 용이해졌고 드론과 같이 촬영방법도 다양해졌다. 범죄 예방, 시설물 안전관리, 교통정보 수집 등 다양한 분야에서 영상정보처리기기의 활용이 증가되어 국민생활이 더욱 안전해지고 편리해졌다. 그러나 공공장소에서의 무분별한 촬영, 몰래 카메라 등 피해 사례도 늘어나고 있다. 이에 개인영상정보의 보호를 강화하기 위해 영상정보처리기기에서의 개인정보보호제도를 개선해 나갈 예정이다.

‘개인정보의 안전성 확보조치 기준’은 기업 규모나 개인정보 보유량에 관계없이 모든 사업자에게 동일한 의무를 부여함에 따라 대규모 사업자는 상대적으로 보호책임이 낮은 반면, 영세사업자는 과도한 부담을 지는 불합리한 면이 있었다. 이를 위해 대량의 개인정보를 보유한 대기업·공공기관에는 기술적·관리적 안전조치를 대폭 강화하고, 개인정보 보유량이 적은 소상공인 등 영세사업자에게는 꼭 필요한 안전조치 의무만 부여하고 과도한 규제의 적용은 면제하는 등 안전조치를 기업 규모와 개인정보 보유량에 맞게 차등화하여 적용되도록 개선할 예정이다.

개인정보보호 자율규제·교육 확대
360만 사업자의 개인정보보호 실태를 정부가 혼자서 관리하기에는 한계가 있다. 정부는 사업자의 개인정보보호 수준을 높이기 위해 다양한 교육 프로그램을 운영하고 있으며, 연중 상시로 개인정보보호 실태점검을 하고 있으나 일부 사업자에게만 영향력을 미치고 있다. 그래서 민·관 협력이 절실하다.

특히 사업자 단체·협회가 소속 사업자에게 개인정보보호 교육을 실시하고 자율점검을 한다면 정부의 개인정보보호 관련 법령·정책·제도 개선사항 등이 모든 사업자에게 전달되어 국가 전반의 개인정보보호 수준이 제고될 것이다. 이에 협·단체를 통한 자율규제를 활성화해 나갈 것이다. 개인정보보호 시민 모니터단(개인정보 지킴이)을 구성·운영하여 일상생활에서 발견되는 개인정보 처리의 불합리한 사항을 발굴해 개선하고, 온·오프라인상 개인정보 침해 신고포상제를 실시하여 개인정보보호 실태점검의 한계를 보완하고자 한다.

개인정보보호 교육도 확대해 2015년 180만명에 이어 올해는 200만명 교육을 목표로 추진할 예정이며, 개인정보보호 종합지원 포털에 등록된 전문 강사에 대하여도 최근의 법·제도 변경사항의 취지와 주요 내용을 전달하는 보수교육을 실시하여 정부의 개인정보보호 정책 방향이 제대로 국민에게 전달되도록 하며, 이들 전문 강사의 교육실적을 관리해 역량을 강화해 나갈 방침이다.

실태점검을 통한 보호조치 기준 이행 촉진
민간분야의 개인정보처리자는 약 360만 명이다. 그러나 행정자치부가 가용가능한 인력을 총동원해서 실태점검을 한다 하더라도 연간 약 300여곳 정도로 0.1%에도 못 미친다. 한편 개인정보처리자들의 84%가 개인정보 처리업무를 외부기관에 위탁하고 있다. 이 점에 착안하여 2015년에 134개 IT 수탁업체에 대해 개인정보 실태점검을 하고 개선권고를 하였다. 그 결과 이들 업체에 개인정보 처리업무를 위탁한 97만여 위탁사에 대한 개선효과가 있었다. 이러한 결과를 바탕으로 올해도 지속적으로 IT 수탁사에 대한 점검을 실시해 나갈 계획이다.

개인정보를 대량으로 보유하고 있는 기업, 개인정보 침해사고가 빈번한 취약 분야에 대한 현장점검도 강화해 나갈 계획이다. 침해우려가 큰 업종을 선정하여 예방차원의 점검을 월 1회 이상 실시할 예정이며, 개인정보 침해민원이 발생했거나 개인정보 유출사고가 발생한 경우 해당 개인정보처리자에 대해서는 특별점검을 실시할 계획이다. 점검의 효율성을 높이기 위해 민간단체를 통한 자율점검 지원체계를 마련해 운영한다. 자율점검을 통해 위반사항을 스스로 점검하여 개선하도록 하자는 취지이다.

개인정보 처리에 있어서 책임성이 더욱 요구되는 공공기관에 대하여는 실태점검을 한층 더 강화하여 자율점검을 연 1회 이상 정례화하고, 필요 시 관계 부처 합동으로 현장점검을 실시하는 등, 민간분야 보다 강화된 실태점검을 추진할 계획이다. 민간기업에 대하여는 자율성을 많이 부여하는 반면, 중대한 법 위반으로 과태료 부과 등 행정처분을 받은 개인정보처리자는 개인정보보호위원회의 심의·의결을 거쳐 공표하는 등, 개인정보처리자의 책임성을 강화해 나갈 계획이다.

개인정보 이용의 글로벌화에 따른 국제협력 강화
인터넷의 발달로 개인정보의 이동은 이미 글로벌화되어 있다. 구글이나 페이스북 등 국경을 초월한 SNS 활동, 아마존 등 해외 사이트를 통한 물품 직구 등이 좋은 사례이다. 이에 세계 각국에서는 자국민의 개인정보를 보호하기 위한 다양한 정책을 펼치고 있다. EU는 개인정보보호수준 적정성 평가를 통해 개인정보보호 수준이 낮은 국가로의 개인정보 이전을 통제하고 있다. APEC은 CBPR(Cross Border Privacy Rule)을 통해 회원국간 상이한 개인정보 제도의 상호 운용성을 확보하고자 하고 있다.

러시아는 자국민의 개인정보 처리는 러시아 내에서만 허용하는 데이터 국지화 법률을 2015년 9월에 제정하여 시행하고 있다. 이러한 국제적 흐름에 맞추어 EU의 개인정보보호 수준 적정성 평가 획득과 APEC의 CBPR 인증을 추진하고 있다. 또한 ‘개인정보 국제협력지원센터’를 설치하여 국내 기업이 해외에 진출하고자 할 때 해당 국가의 개인정보보호제도, 유의사항 등을 컨설팅할 계획이다.

앞으로도 행정자치부는 개인정보보호 정책환경 변화에 따라 다양한 정책과 제도를 마련하여 추진해 나갈 것이다. 또한 이에 따른 관계 법령의 제·개정도 적극 추진하는 등, 국민의 개인정보가 안전하게 보호되도록 국가 전반의 개인정보보호 수준을 제고해 나갈 것이다.
[글 _ 장 한 행정자치부 개인정보보호정책과 과장(hjang59@korea.kr)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>