쉬운 요약
- 개인정보 유출 사고가 난 뒤 피해를 줄이고 복구 상황을 관리하기 위한 법률 개정안이에요.
- 개인정보처리자가 사고 대응 계획을 세우고 개인정보보호위원회에 제출하도록 하려 해요.
- 지금의 통지와 신고에 더해, 사고 이후 무엇을 할지 설명하고 관리하는 절차를 강화하려는 내용이에요.
- 피해 확산 방지, 복구조치, 사고 원인 분석과 재발 방지 대책을 계획에 담도록 하는 방향이에요.
- 개인정보 유출 대응을 사고 사실을 알리는 데서 끝내지 않고, 복구 과정까지 관리하는 체계로 넓히려는 법안이에요.
주요 내용
- 보호계획 수립 의무: 개인정보 유출등이 발생하면 개인정보처리자가 사후 대응을 위한 보호계획을 세우도록 해요.
- 보호계획 제출: 작성한 계획을 개인정보보호위원회에 제출하도록 의무화하려 해요.
- 피해 확산 방지: 추가 유출이나 피해가 커지지 않도록 필요한 대응 내용을 계획에 담는 방향이에요.
- 복구조치 관리: 사고 이후 복구조치가 실제로 이행되는지 관리할 수 있도록 해요.
- 원인 분석과 재발 방지: 사고 원인을 분석하고 같은 문제가 반복되지 않도록 대책을 마련하게 하려 해요.
왜 나왔나
발의 당시 제안 이유에 따르면 개인정보처리자는 개인정보 유출등을 알게 되면 정보주체에게 통지하고 개인정보보호위원회 또는 전문기관에 신고해야 했어요. 하지만 통지와 신고 이후에 어떤 조치를 했는지 별도로 보고하도록 한 의무가 없어 피해 확산 방지와 복구조치가 충분히 관리되지 않는다는 지적이 있었어요. 사고 원인을 분석하고 재발 방지 대책을 마련하는 과정도 체계적으로 관리하기 어렵다는 문제의식이 제안 배경이에요. 이에 사고 이후 대응을 계획으로 정리해 개인정보보호위원회에 제출하도록 하려는 개정안이 제안됐어요.
무엇이 달라지나
1) 개인정보 유출 보호계획 의무화
제안안은 개인정보 유출등이 발생한 경우 개인정보처리자가 보호계획을 수립하도록 하는 내용을 새로 두려 해요. 보호계획에는 피해 확산을 막고 사고를 복구하며 원인을 분석하는 등 사후 대응에 필요한 내용이 포함될 수 있어요.
- 사고가 발생했다는 사실을 알리는 데서 그치지 않고, 이후 대응 순서를 계획으로 정리하게 될 수 있어요.
- 보호계획에 어떤 항목을 반드시 넣어야 하는지와 언제까지 마련해야 하는지가 실제 책임 범위를 좌우할 수 있어요.
2) 개인정보보호위원회 제출 절차
제안안은 개인정보처리자가 작성한 보호계획을 개인정보보호위원회에 제출하도록 의무화하려 해요. 이를 통해 사고 이후 조치가 제대로 진행되는지 확인하고 대응의 책임성과 투명성을 높이려는 취지예요.
- 개인정보보호위원회가 사고 직후의 통지와 신고뿐 아니라 복구와 재발 방지 과정도 확인할 수 있는 근거가 마련될 수 있어요.
- 제출 대상 사고의 범위, 제출 기한, 보완 요청이나 이행 확인 절차는 후속 규정에서 구체화될 필요가 있어요.
3) 현행 제34조의2와 제안 조항의 관계
현재 시행 중인 제34조의2는 공중에 노출된 개인정보가 삭제되거나 차단되도록 하는 조항이에요. 반면 제안안이 말하는 제34조의2 신설 등은 개인정보 유출 이후 보호계획을 수립하고 제출하게 하려는 내용이어서, 현재 시행 조문과 제안 당시 설명 사이에는 다루는 대상과 기능에 차이가 있어요.
- 현재 조문은 노출된 개인정보의 삭제·차단이라는 즉각적인 조치에 초점을 두고 있어요.
- 제안안은 사고 원인 분석, 복구, 재발 방지처럼 사고 이후의 관리 절차를 별도로 다루려는 방향이에요.
- 실제 조문 번호와 기존 조문과의 정합성은 최종 개정문과 후속 심사 과정에서 확인해야 해요.
누구에게 영향이 있나
- 개인정보처리자: 유출 사고가 발생하면 보호계획을 마련하고 관계 기관에 제출해야 하는 추가 절차가 생길 수 있어요.
- 기업과 공공기관의 개인정보 담당자: 사고 대응, 복구, 원인 분석, 재발 방지 대책을 문서로 관리하는 업무가 중요해져요.
- 개인정보보호위원회: 제출된 보호계획을 검토하고 필요한 경우 사고 대응이 제대로 이뤄지는지 확인하는 역할이 커질 수 있어요.
- 정보주체: 사고 이후 어떤 조치가 진행되는지 더 체계적으로 관리될 가능성이 있어요.
- 전문기관과 보안업체: 사고 원인 분석, 피해 차단, 복구와 재발 방지 대책을 지원하는 업무가 늘어날 수 있어요.
봐야 할 점
- 보호계획을 제출해야 하는 개인정보 유출등의 범위가 어디까지인지 확인해야 해요.
- 사고 발생 후 계획 수립과 제출 기한이 현실적인지 살펴볼 필요가 있어요.
- 계획 제출이 실제 복구조치와 재발 방지로 이어지는지, 서류 제출에 그치지 않는지 중요해요.
- 개인정보보호위원회가 계획을 어떤 기준으로 검토하고 이행 여부를 어떻게 확인할지 봐야 해요.
- 현재 시행 중인 노출 개인정보의 삭제·차단 조항과 새로 제안된 사후 대응 절차가 충돌 없이 연결되는지도 확인해야 해요.
