쉬운 요약

• 대형 온라인플랫폼의 대규모 개인정보 유출을 예방하고 피해를 줄이기 위한 법률 개정안이에요.
• 개인정보 보호조직, 접근권한 관리, 접속기록 보관 같은 핵심 안전조치를 법률에 더 분명하게 담으려 해요.
• 일정 규모 이상의 개인정보처리자에게 유출된 개인정보를 이용자가 직접 확인할 수 있는 온라인 수단을 제공하도록 하려 해요.
• 유출 사고가 발생했을 때 상담과 피해구제를 맡는 전담 창구도 마련하도록 하려 해요.
• 개인정보 유출 뒤 이용자가 직접 대응해야 하는 부담을 줄이고, 사업자가 사전 예방과 사후 지원을 더 책임지게 하려는 제안이에요.

주요 내용

• 안전조치 기본 틀의 법률화: 개인정보 보호조직과 접근권한 관리, 접속기록 보관 등 핵심 조치를 법률에 명확히 규정하려 해요.
• 개인정보 보호조직 운영: 개인정보를 안전하게 관리할 조직을 구성하고 운영하도록 하는 기준을 두려 해요.
• 접근권한 관리 강화: 개인정보에 접근할 수 있는 사람과 권한을 관리하는 의무를 분명히 하려 해요.
• 접속기록 보관·위변조 방지: 개인정보에 누가 접근했는지 기록하고 기록이 바뀌거나 훼손되지 않도록 관리하게 하려 해요.
• 유출정보 온라인 조회: 일정 기준에 해당하는 개인정보처리자에게 유출된 개인정보를 이용자가 온라인으로 확인할 수 있는 수단을 마련하게 하려 해요.
• 상담·피해구제 전담 창구: 대규모 유출 사고가 발생했을 때 이용자가 상담받고 피해구제를 신청할 수 있는 전담 창구를 두도록 하려 해요.

왜 나왔나

발의 당시 설명에 따르면, 대형 온라인플랫폼에서 수천만 명의 개인정보가 한꺼번에 유출되는 사고가 반복되고 있어요. 이름과 연락처뿐 아니라 통관번호, 주소, 현관 출입 정보처럼 일상생활과 안전에 연결된 정보까지 유출될 수 있어 피해가 커질 수 있다는 문제의식이 담겼어요. 현재 법은 안전조치의 구체적인 내용을 대통령령 등 하위 기준에 많이 맡기고 있어 사업자의 책임과 의무가 법률에 충분히 드러나지 않는다는 지적도 있었어요. 유출 이후 비밀번호 변경과 계정 보호, 피해 확인까지 이용자가 직접 부담하는 상황을 줄이기 위해 사전 안전조치와 사후 지원을 함께 강화하려는 법안이에요.

무엇이 달라지나

1) 안전조치 기본 틀의 법률화

현재 시행 조문인 제29조는 개인정보처리자에게 개인정보의 분실·도난·유출 등을 막기 위해 내부 관리계획 수립과 접속기록 보관 등 대통령령으로 정하는 기술적·관리적·물리적 조치를 하도록 하고 있어요. 제안안은 개인정보 보호조직, 접근권한 관리, 접속기록 관리와 같은 핵심 안전조치의 기본 틀을 법률에 더 구체적으로 적으려 해요.

• 사업자가 지켜야 할 개인정보 보호의 기본 방향이 하위 기준에만 머물지 않고 법률에서 더 분명해질 수 있어요.
• 대규모 사업자일수록 내부 보호체계가 실제로 작동하는지 점검해야 할 책임이 커질 수 있어요.
• 세부 기술 기준과 운영 방법은 여전히 대통령령 등에서 정해질 수 있으므로, 법률에 적힐 의무의 범위를 확인해야 해요.

2) 개인정보 보호조직 구성·운영

제안안은 개인정보 보호조직의 구성과 운영을 안전조치 의무의 기본 내용으로 명시하려 해요. 현재 제29조는 내부 관리계획 등 필요한 조치를 요구하지만, 제공된 현재 조문에는 개인정보 보호조직의 구성과 운영이 구체적으로 적혀 있지는 않아요.

• 개인정보를 담당하는 조직과 책임 체계를 사업자 내부에 갖추도록 하는 방향이에요.
• 사고가 발생한 뒤 책임자를 찾는 데 그치지 않고, 평소에 보호 업무를 맡는 구조를 마련할 수 있어요.
• 조직의 규모와 권한, 다른 부서와의 관계를 어떻게 정할지는 추가적인 법률 문구와 하위 기준에서 구체화될 수 있어요.

3) 접근권한 관리 강화

제안안은 개인정보에 접근할 수 있는 사람과 권한을 관리하는 의무를 법률상 안전조치의 한 요소로 분명히 하려 해요. 개인정보가 필요한 사람에게만 접근권한을 부여하고, 권한의 범위와 변경 내용을 관리하는 체계를 강화하려는 취지로 볼 수 있어요.

• 업무상 필요하지 않은 사람이 개인정보를 열람하거나 이용하는 위험을 줄이는 데 초점이 맞춰져 있어요.
• 담당자가 바뀌거나 업무가 끝났을 때 접근권한을 조정하는 관리가 중요해질 수 있어요.
• 구체적으로 어떤 권한 관리 절차와 점검 주기를 요구할지는 대통령령이나 관련 기준을 함께 봐야 해요.

4) 접속기록 보관·위변조 방지

현재 제29조는 접속기록 보관 등을 대통령령으로 정하는 안전조치의 예로 두고 있어요. 제안안은 접속기록을 보관하고 그 기록이 위·변조되지 않도록 하는 내용을 법률에 명확히 규정하려 해요.

• 개인정보에 누가 접근했는지 확인할 수 있는 기록을 남기는 책임이 더 분명해질 수 있어요.
• 사고가 발생했을 때 유출 경로와 접근 범위를 파악하는 데 필요한 자료를 보존할 수 있어요.
• 기록을 얼마나 오래 보관할지, 원본성을 어떻게 확인할지와 같은 세부 기준이 실효성을 좌우할 수 있어요.

5) 유출정보 온라인 조회 수단 제공

현재 시행 조문인 제34조는 개인정보가 유출되면 정보주체에게 유출 항목, 시점과 경위, 피해 최소화 방법, 사업자의 대응조치와 피해구제 절차 등을 지체 없이 알리도록 하고 있어요. 제안안은 대통령령으로 정하는 기준에 해당하는 개인정보처리자에게 유출된 개인정보를 이용자가 온라인으로 확인할 수 있는 수단을 제공하도록 하는 추가 조치를 신설하려 해요.

• 이용자가 자신의 어떤 정보가 유출됐는지 직접 확인할 수 있는 통로가 마련될 수 있어요.
• 단순히 유출 사실을 통지받는 데서 그치지 않고, 자신의 피해 가능성을 구체적으로 확인하는 데 도움이 될 수 있어요.
• 온라인 조회 과정에서 본인 확인과 추가 개인정보 노출을 어떻게 막을지가 중요한 설계 과제가 돼요.

6) 상담·피해구제 전담 창구

제안안은 일정 기준에 해당하는 개인정보처리자가 유출 사고 이후 상담과 피해구제를 맡는 전담 창구를 설치하도록 하려 해요. 현재 제34조도 피해 신고를 접수할 담당부서와 연락처를 알리도록 하고 있지만, 제안안은 대규모 사업자에게 별도의 상담·피해구제 기능을 요구하려는 방향이에요.

• 이용자는 유출 사고 뒤 비밀번호 변경, 계정 보호와 피해 신고 방법을 한 곳에서 안내받을 수 있어요.
• 피해가 발생했을 때 어떤 절차로 구제를 요청할지 찾는 부담이 줄어들 수 있어요.
• 전담 창구의 운영 시간, 처리 범위와 피해구제 방식은 법안이 정해진 뒤에도 구체적인 기준이 필요해요.

누구에게 영향이 있나

• 온라인플랫폼 이용자: 개인정보 유출 여부와 유출 항목을 확인하고 상담·피해구제를 신청할 수 있는 통로가 넓어질 수 있어요.
• 대규모 개인정보처리자: 보호조직 운영, 권한 관리, 접속기록 관리와 온라인 조회·전담 창구 마련에 추가 비용과 인력이 필요할 수 있어요.
• 개인정보 보호 담당 조직: 안전조치의 기준을 정비하고 사고 예방과 대응을 상시 관리해야 할 수 있어요.
• 개인정보에 접근하는 임직원: 권한 부여와 변경, 접속기록 관리가 더 엄격해질 수 있어요.
• 개인정보보호 관련 행정기관: 대규모 사업자 기준과 안전조치, 유출정보 조회·피해구제 창구의 운영 기준을 마련해야 할 수 있어요.
• 유출 사고 피해자: 유출 사실과 피해 대응 방법을 확인하는 데 드는 시간과 불편이 줄어들 가능성이 있어요.

봐야 할 점

• 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 범위가 어디까지인지 확인해야 해요.
• 개인정보 보호조직의 구성 요건과 책임자의 권한이 실제로 독립적인 보호 업무를 보장하는지 살펴봐야 해요.
• 접속기록 보관 기간과 위·변조 방지 방법이 정해져야 사고 원인과 책임을 제대로 확인할 수 있어요.
• 유출된 개인정보 온라인 조회 과정에서 본인 확인 정보가 다시 노출되지 않도록 안전장치를 마련해야 해요.
• 상담·피해구제 전담 창구가 단순 안내에 그치지 않고 실제 피해 접수와 구제 절차까지 연결할 수 있는지 확인해야 해요.
• 현재 제34조에도 유출 항목과 경위, 피해 최소화 방법, 대응조치와 피해구제 절차를 알리는 의무가 있으므로, 제안안의 추가 조치가 기존 통지 의무와 어떻게 구분되고 결합되는지 살펴봐야 해요.