쉬운 요약
- 해외로 개인정보를 보내거나 해외에서 원격으로 개인정보에 접속하는 경우의 보호를 강화하기 위한 법률 개정안이에요.
- 개인정보의 국외 이전과 관련해 개인정보 보호위원회의 심의·의결을 거치도록 하려고 해요.
- 해외에서 원격으로 국내 개인정보에 접근할 수 있는 경우도 국외 이전으로 보려고 해요.
- 개인정보취급자의 접근 권한 관리처럼 중요한 안전조치를 법률에 더 분명하게 적으려고 해요.
- 기업과 기관의 개인정보 보호 책임은 커질 수 있지만, 구체적인 적용 범위와 절차는 심사 과정에서 달라질 수 있어요.
주요 내용
- 국외 이전 심의·의결 강화: 개인정보를 국외로 이전하는 경우 개인정보 보호위원회의 심의·의결을 거치도록 하는 근거를 추가하려고 해요.
- 원격 접속의 국외 이전 간주: 해외에서 원격으로 개인정보에 접근할 수 있는 경우를 개인정보의 국외 이전으로 보려고 해요.
- 안전조치의 법률 규정: 개인정보의 분실·도난·유출 등을 막기 위해 필요한 안전성 확보 조치를 하위 규정이 아닌 법률에 더 구체적으로 규정하려고 해요.
- 접근 권한 관리 강화: 개인정보취급자가 어떤 개인정보에 접근할 수 있는지 관리하는 책임을 더 엄격하게 하려는 취지예요.
- 개인정보처리자 의무 확대: 해외 사업자나 해외 근무자가 개인정보에 접근하는 업무를 운영하는 기관과 기업의 점검 부담이 커질 수 있어요.
왜 나왔나
현재 시행 조문은 개인정보를 국외로 제공하거나, 국외에서 처리하거나, 국외에 보관하는 행위를 원칙적으로 제한하면서도 일정한 요건을 충족하면 이전할 수 있도록 하고 있어요. 하지만 발의 당시 제안자는 해외에서 원격으로 접속해 개인정보를 보는 경우가 국외 이전에 포함되는지 명확하지 않다고 봤어요. 또 개인정보취급자의 접근 권한 관리 등 안전성 확보 조치가 하위 규정에 주로 정해져 있어, 개인정보 유출을 막기 위한 의무를 법률에 더 분명히 적을 필요가 있다고 설명했어요.
무엇이 달라지나
1) 국외 이전 심의·의결 대상 추가
현재 시행 중인 개인정보 보호법 제7조의9 제1항은 개인정보 보호위원회가 심의·의결하는 사항을 정하고 있어요. 그중 제6호의2는 개인정보의 국외 이전 중지 명령에 관한 사항을 대상으로 하고 있는데, 제안안은 국외 이전과 관련한 심의·의결 사항을 더 넓히는 내용을 추가하려고 해요.
- 국외 이전이 이뤄진 뒤 문제가 생겼을 때만 중지 명령을 검토하는 데서 벗어나, 이전 자체에 대한 보호위원회의 관여를 강화하려는 방향이에요.
- 개인정보를 해외 법인이나 해외 사업자에게 제공하는 기업은 이전 절차와 보호조치를 더 꼼꼼히 확인해야 할 수 있어요.
- 실제로 모든 국외 이전에 심의·의결이 필요한지, 특정 유형의 이전만 대상이 되는지는 최종 조문을 확인해야 해요.
2) 해외 원격 접속의 국외 이전 간주
현재 시행 조문은 개인정보의 국외 제공뿐 아니라 국외에서 조회되는 경우도 국외 이전에 포함한다고 정하고 있어요. 제안안은 여기에 더해 국외로부터의 원격 접속을 통해 개인정보에 접근할 수 있는 경우도 국외 이전으로 보도록 제28조의8 제1항을 바꾸려고 해요.
- 개인정보를 국내 서버에 보관하더라도 해외 직원이나 해외 업체가 원격으로 접근할 수 있으면 국외 이전 규제가 적용될 수 있어요.
- 기업은 서버의 물리적 위치만 확인하는 것이 아니라, 누가 어느 국가에서 개인정보에 접근할 수 있는지도 관리해야 할 수 있어요.
- 해외 고객지원, 클라우드 운영, 유지보수처럼 원격 접근이 포함된 업무의 계약과 권한 체계를 다시 점검할 필요가 있어요.
3) 국외 이전 요건과 보호조치 점검
현재 시행 조문은 정보주체의 별도 동의, 법률이나 조약의 특별한 규정, 계약 이행에 필요한 처리위탁·보관, 일정한 인증, 보호 수준이 실질적으로 동등하다고 인정되는 경우 등을 국외 이전의 예외로 두고 있어요. 제안안은 원격 접근까지 국외 이전으로 보게 하면서 이 요건과 보호조치를 적용받는 범위를 넓히려는 취지예요.
- 해외에서 개인정보를 조회하거나 처리하는 업무도 기존 국외 이전 기준에 맞는지 확인해야 할 수 있어요.
- 개인정보가 이전되는 국가와 방법, 이전받는 자, 이용 목적과 보유기간 등을 정보주체에게 알리는 절차가 중요해질 수 있어요.
- 국외 이전 계약에 개인정보 보호법 위반 내용을 담지 않도록 계약서와 업무 지침을 함께 점검해야 해요.
4) 안전조치 의무의 법률 상향
현재 시행 중인 제29조는 개인정보처리자가 개인정보의 분실·도난·유출·위조·변조·훼손을 막기 위해 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 기술적·관리적·물리적 조치를 하도록 정하고 있어요. 제안안은 이런 안전성 확보에 필요한 조치를 법률에 각 호로 더 구체적으로 규정하려고 해요.
- 개인정보 보호 책임이 하위 규정의 세부 기준에만 의존하지 않고 법률상 의무로 더 분명해질 수 있어요.
- 개인정보취급자의 접근 권한을 부여하고 바꾸고 회수하는 절차를 체계적으로 관리해야 할 가능성이 커져요.
- 접근기록과 내부 관리체계를 갖추는 것뿐 아니라, 실제로 권한이 적절하게 운영되는지 지속적으로 확인해야 해요.
누구에게 영향이 있나
- 개인정보처리자: 기업과 공공기관은 국외 이전과 해외 원격 접속 여부를 확인하고 관련 보호조치를 마련해야 할 수 있어요.
- 해외 사업자와 수탁자: 국내 개인정보를 처리하거나 조회하는 해외 업체는 국외 이전 요건과 계약상 보호의무를 더 엄격하게 적용받을 수 있어요.
- 개인정보취급자: 업무상 개인정보에 접근하는 직원은 부여된 권한 안에서만 처리하고, 접근기록 관리 기준을 따라야 할 수 있어요.
- 정보주체: 해외 이전이나 원격 접근에 관한 보호 절차가 강화되면 개인정보가 어디에서 어떻게 처리되는지에 대한 통제가 높아질 수 있어요.
- 개인정보 보호위원회: 국외 이전 관련 심의·의결과 보호조치 점검의 범위가 넓어질 수 있어요.
봐야 할 점
- 국외 이전에 대해 개인정보 보호위원회의 심의·의결이 필요한 범위와 적용 시점이 어떻게 정해지는지 확인해야 해요.
- 해외에서 원격으로 접속할 수 있다는 사실만으로 국외 이전으로 보는지, 실제 개인정보 조회나 처리까지 있어야 하는지 살펴봐야 해요.
- 클라우드, 원격 유지보수, 해외 본사 지원처럼 여러 국가에서 접근하는 업무의 책임 주체가 어떻게 정리되는지 중요해요.
- 제29조에 새로 들어갈 안전조치의 내용과 기존 하위 규정의 관계를 확인해야 해요.
- 법률상 의무가 늘어날 경우 기업과 기관이 기존 시스템을 정비할 시간과 비용, 소규모 사업자의 이행 부담을 어떻게 고려할지도 봐야 해요.
