쉬운 요약
- 해외로 개인정보를 옮길 때 정보주체가 내용을 더 분명하게 알 수 있도록 하기 위한 법률 개정안이에요.
- 개인정보 처리방침이나 안내문에 국외 이전 관련 내용을 구체적이고 명확하게 적도록 하려 해요.
- 어떤 개인정보가 어느 나라로, 언제, 어떤 방식으로 이동하는지 확인하기 쉬워질 수 있어요.
- 해외 전자상거래 업체 등의 개인정보 처리에 문제가 생겼을 때 과징금과 과태료를 부과할 근거를 마련하려 해요.
- 기업은 해외 이전 동의 절차와 개인정보 처리방침을 다시 점검해야 할 수 있어요.
주요 내용
- 국외 이전 안내 강화: 개인정보를 해외로 제공·위탁·보관할 때 정보주체에게 알려야 하는 내용을 더 구체적으로 적도록 해요.
- 처리방침과 안내문 기준 명확화: 개인정보 처리방침에 공개하거나 별도로 알리는 경우 대통령령으로 정하는 기준에 따라 명확하게 표시하도록 해요.
- 해외 개인정보 처리 책임 강화: 국외 이전 관련 안내 의무를 지키지 않으면 제재할 수 있는 근거를 추가해요.
- 과징금 부과 대상 확대: 국외 이전 안내 의무 위반을 과징금 부과 사유에 포함하려 해요.
- 과태료 부과 근거 신설: 국외 이전 관련 고지 내용을 구체적이고 명확하게 적지 않은 경우 과태료를 부과할 수 있게 해요.
왜 나왔나
발의 당시 설명에 따르면 현행법은 개인정보를 국외로 이전하는 것을 원칙적으로 제한하면서, 정보주체의 별도 동의나 계약 이행에 필요한 경우 등에는 예외적으로 허용하고 있어요. 이때 동의를 받으려면 이전되는 개인정보의 항목, 국가·시기·방법, 이전받는 자, 이용 목적과 보유 기간, 거부 방법 등을 미리 알려야 해요. 하지만 해외 전자상거래 업체의 개인정보 수집·이용 과정에서 국민의 권리가 침해될 우려가 커지면서, 안내 내용을 더 구체적으로 적도록 하고 위반 시 제재할 필요가 있다는 취지로 법안이 제안됐어요.
무엇이 달라지나
1) 국외 이전 동의 안내의 구체성 강화
현재 시행 중인 제28조의8은 개인정보를 국외로 이전하려면 별도 동의를 받도록 하고, 동의를 받을 때 이전되는 개인정보 항목과 국가·시기·방법 등을 미리 알리도록 하고 있어요. 제안안은 이러한 안내 사항을 개인정보 처리방침에 공개하거나 정보주체에게 알릴 때 대통령령으로 정하는 기준에 따라 구체적이고 명확하게 적시하도록 하려 해요.
- 해외 이전에 동의하기 전에 어떤 정보가 어떻게 이동하는지 더 쉽게 확인할 수 있게 하려는 취지예요.
- ‘해외 이전’처럼 범위가 넓고 추상적인 표현만 적는 방식은 충분하지 않다고 판단될 가능성이 커져요.
- 실제로 어느 수준까지 구체적으로 적어야 하는지는 대통령령과 집행 기준에서 정해질 수 있어요.
2) 개인정보 처리방침의 설명 책임 확대
현재 시행 조문은 개인정보 처리방침에 국외 이전 관련 사항을 공개하거나 대통령령으로 정하는 방법으로 정보주체에게 알릴 수 있도록 하고 있어요. 제안안은 이 안내가 형식적으로 이뤄지는 데 그치지 않도록, 미리 알려야 할 사항을 구체적이고 명확하게 적어야 한다는 기준을 추가하려 해요.
- 기업은 개인정보 처리방침에 국외 이전 대상 정보와 이전받는 자, 이용 목적 등을 더 알아보기 쉬운 방식으로 작성해야 할 수 있어요.
- 여러 국가나 업체로 개인정보가 이동한다면 각각의 이전 내용과 조건을 구분해 안내해야 하는지가 중요한 문제가 될 수 있어요.
- 정보주체가 내용을 실제로 이해할 수 있는지, 단순히 긴 문구를 나열하는 것으로 충분한지는 후속 기준에서 확인해야 해요.
3) 국외 이전 의무 위반에 대한 과징금 근거 추가
현재 시행 중인 제64조의2는 일정한 개인정보 처리 위반이나 제28조의8 제1항을 위반한 국외 이전 등에 대해 전체 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있도록 하고 있어요. 제안안은 국외 이전 동의 과정에서 요구되는 안내 내용을 구체적이고 명확하게 적지 않은 경우도 과징금 부과 대상에 포함하려 해요.
- 개인정보를 실제로 해외에 이전했는지만이 아니라, 동의 과정에서 정보를 제대로 설명했는지도 제재 판단의 대상이 될 수 있어요.
- 기업은 과징금 위험에 대비해 국외 이전 동의 화면, 처리방침, 안내 기록을 함께 관리해야 할 수 있어요.
- 과징금 규모와 산정 방식은 기존 과징금 규정과 대통령령에 따라 위반 내용, 기간, 규모 등을 종합해 판단될 가능성이 있어요.
4) 과태료 부과 기준 신설
현재 시행 중인 제75조는 개인정보 처리방침을 공개하지 않거나 정보주체에게 알려야 할 사항을 알리지 않은 경우 등 여러 위반행위에 과태료를 부과하도록 하고 있어요. 제안안은 국외 이전 안내 내용을 대통령령으로 정하는 기준에 따라 구체적이고 명확하게 적시하지 않은 경우를 별도의 과태료 부과 사유로 추가하려 해요.
- 국외 이전 고지 의무를 지키지 않은 사업자에게 행정상 금전 제재를 할 수 있는 근거가 더 분명해져요.
- 과징금과 과태료가 각각 어떤 위반에 적용되는지, 두 제재가 함께 부과될 수 있는지는 세부 규정과 집행 사례를 살펴봐야 해요.
- 안내문을 누락한 경우뿐 아니라 내용이 지나치게 모호하거나 불명확한 경우도 문제가 될 수 있어요.
이 법안이 시행되면 해외 이전 동의는 단순히 형식적인 확인 절차가 아니라, 개인정보의 이동 경로와 이용 조건을 구체적으로 설명하는 절차가 될 수 있어요.
누구에게 영향이 있나
- 해외 전자상거래 업체: 국내 이용자의 개인정보를 해외에서 수집·처리하거나 국외 사업자에게 이전하는 경우 안내 문구와 동의 절차를 손봐야 할 수 있어요.
- 국내 플랫폼과 온라인 사업자: 해외 클라우드, 결제·배송 업체, 고객센터 등에 개인정보를 맡기는 과정이 국외 이전에 해당하는지 확인하고 관련 내용을 구체적으로 공개해야 할 수 있어요.
- 개인정보처리자: 이전되는 정보의 항목, 국가, 시기, 방법, 이전받는 자, 이용 목적과 기간, 거부 방법을 최신 상태로 관리해야 해요.
- 정보주체: 개인정보가 어느 나라와 어떤 업체로 이동하는지, 이전에 동의하지 않을 때 어떤 효과가 있는지 더 분명하게 확인할 수 있게 될 수 있어요.
- 개인정보 보호위원회: 구체적·명확한 안내의 기준을 마련하고, 위반 여부와 과징금·과태료 부과 기준을 집행해야 해요.
봐야 할 점
- 대통령령으로 정할 ‘구체적이고 명확한’ 안내 기준이 어느 수준인지 확인해야 해요.
- 여러 국가와 수탁자가 관여하는 서비스에서 국가별·업체별 정보를 어디까지 나눠 안내해야 하는지 살펴봐야 해요.
- 개인정보 처리방침 공개만으로 충분한지, 별도 안내나 동의 화면에서 다시 설명해야 하는지 명확해져야 해요.
- 안내 내용의 일부 누락과 전체적인 부실 안내를 과징금과 과태료 중 어떤 방식으로 구분할지 봐야 해요.
- 기업 규모와 서비스 특성에 따라 준수 비용이 크게 달라질 수 있으므로 중소사업자의 대응 부담도 점검할 필요가 있어요.
