쉬운 요약

• 개인정보가 유출된 경우 정보주체가 자신의 개인정보 처리를 멈춰 달라고 요구할 수 있도록 보호하기 위한 법률 개정안이에요.
• 개인정보처리자가 유출을 이유로 처리정지 요구를 거절하지 못하게 하려는 내용이에요.
• 개인정보를 이용하는 데 동의했던 사람도 유출을 이유로 동의를 철회하면 그 요청이 받아들여지도록 하려는 안이에요.
• 현재 법에는 법령상 의무, 다른 사람의 권익 보호, 공공기관 업무, 계약 이행 등을 이유로 처리정지나 동의 철회를 제한할 수 있는 예외가 있어요.
• 이 법안이 통과되면 개인정보 유출을 이유로 한 처리정지와 동의 철회에는 기존 예외를 적용하지 않는 방향으로 바뀔 수 있어요.

주요 내용

• 유출 상황에서 정보주체 권리 강화: 개인정보 유출로 피해가 우려되는 사람의 처리정지 요구와 동의 철회를 더 강하게 보장하려는 안이에요.
• 처리정지 거절 제한: 개인정보처리자가 유출을 이유로 받은 처리정지 요구를 거절하지 못하도록 하려는 내용이에요.
• 동의 철회 예외 제한: 개인정보 유출을 이유로 동의를 철회한 경우에는 철회에 따른 조치를 하지 않을 수 있는 예외를 두지 않으려 해요.
• 개인정보 자기결정권 보호: 정보주체가 유출 이후 자신의 개인정보가 계속 처리되는 것을 중단할 수 있는 선택권을 넓히려는 방향이에요.
• 개인정보처리자 대응 방식 변화: 유출이 발생했을 때 정보주체의 요구를 개별적으로 거절하기보다 처리 중단이나 동의 철회에 맞춰 후속 조치를 해야 할 가능성이 커져요.

왜 나왔나

발의 당시 설명에 따르면 현행법은 정보주체가 개인정보 처리의 정지를 요구하거나 처리에 대한 동의를 철회할 수 있도록 하면서도 일정한 경우에는 개인정보처리자가 이를 거절할 수 있게 하고 있었어요. 개인정보 유출로 인한 침해사고가 반복되면서, 유출이 발생한 경우만큼은 이런 예외를 인정하지 않아야 한다는 의견이 제기됐어요. 이 법안은 유출 이후에도 개인정보가 계속 처리될 수 있는 상황을 막아 정보주체의 개인정보 자기결정권을 보호하려는 취지예요.

무엇이 달라지나

1) 유출 이후 처리정지 요구 제한 완화

현재 시행되는 개인정보 보호법 제37조 제1항은 정보주체가 자신의 개인정보 처리정지를 요구하거나 처리에 대한 동의를 철회할 수 있다고 정하고 있어요. 제2항은 법률상 의무 준수, 다른 사람의 생명·신체나 재산 보호, 공공기관 업무 수행, 계약 이행 등을 이유로 개인정보처리자가 처리정지 요구를 거절할 수 있게 해요.

• 제안안은 개인정보 유출을 이유로 한 처리정지 요구에는 이런 거절 사유를 적용하지 않으려 해요.
• 유출된 정보가 계속 이용되는 것을 원하지 않는 사람은 처리 중단을 요구할 수 있는 폭이 넓어져요.
• 다만 이는 법안이 제안한 변화이므로, 실제 적용 범위와 다른 조문과의 관계는 심사 과정에서 달라질 수 있어요.

2) 유출을 이유로 한 동의 철회 보장

현재 시행 조문은 정보주체가 동의를 철회하면 개인정보처리자가 수집된 개인정보를 복구·재생할 수 없도록 파기하는 등 필요한 조치를 하도록 해요. 다만 제37조 제2항의 예외 사유에 해당하면 동의 철회에 따른 조치를 하지 않을 수 있어요.

• 제안안은 개인정보 유출을 이유로 동의를 철회한 경우에는 개인정보처리자가 이 예외를 들어 조치를 하지 못하도록 하려는 내용이에요.
• 동의 철회 뒤에는 개인정보 파기 등 필요한 조치를 해야 한다는 원칙이 유출 상황에서도 작동하게 될 수 있어요.
• 서비스 제공이나 법정 의무와 충돌하는 경우 어떤 범위까지 중단·파기가 가능한지는 구체적인 심사와 집행 기준을 함께 봐야 해요.

3) 개인정보처리자의 유출 대응 책임 확대

현재 시행 조문은 처리정지 요구를 거절하거나 동의 철회에 따른 조치를 하지 않은 경우 정보주체에게 그 사유를 지체 없이 알리도록 하고 있어요. 제안안은 유출을 이유로 한 요구를 거절할 수 없도록 하여, 사유를 통지하는 방식보다 실제 처리 중단과 후속 조치가 우선되도록 하려는 방향을 담고 있어요.

• 개인정보처리자는 유출 사실을 확인한 뒤 처리정지와 동의 철회 요청을 신속하게 처리할 절차를 마련해야 할 수 있어요.
• 정보주체별 요청 접수, 처리 범위 확인, 파기나 접근 차단 여부를 기록하는 관리 부담이 커질 수 있어요.
• 처리정지된 개인정보는 현행 조문에 따라 지체 없이 파기 등 필요한 조치를 해야 하므로, 유출 대응 체계와 개인정보 보관 체계의 연계가 중요해져요.

누구에게 영향이 있나

• 개인정보가 유출된 사람: 자신의 정보가 계속 이용되는 것을 막거나 동의를 철회할 수 있는 권리가 강화될 수 있어요.
• 개인정보처리자: 유출 이후 처리정지와 동의 철회 요청을 거절하기 어려워지고, 파기·접근 차단 등 후속 업무가 늘어날 수 있어요.
• 온라인 서비스 이용 사업자: 개인정보 처리를 멈추면 계약상 서비스를 제공하기 어려운 경우를 어떻게 처리할지 기준을 마련해야 할 수 있어요.
• 공공기관: 법령상 의무나 소관 업무 수행에 필요한 개인정보라도 유출을 이유로 한 요청과 어떤 관계가 있는지 검토가 필요해질 수 있어요.
• 개인정보 보호 업무 담당자: 유출 사고 대응 절차에 정보주체 요청의 우선 처리와 결과 기록을 반영해야 할 가능성이 있어요.

봐야 할 점

• 개인정보 유출의 범위를 단순한 노출, 외부 제공, 무단 접근 중 어디까지로 볼지 구체적인 기준이 필요해요.
• 법정 의무나 공공기관 업무처럼 개인정보 처리를 멈추기 어려운 경우에도 일률적으로 처리정지를 요구할 수 있는지 살펴봐야 해요.
• 동의 철회 뒤 파기해야 하는 개인정보와 법령상 보존해야 하는 자료가 충돌할 때 처리 기준이 마련돼야 해요.
• 처리정지나 파기가 서비스 이용 중단으로 이어지는 경우 정보주체에게 어떤 안내를 제공할지 정해야 해요.
• 법안이 통과되더라도 실제 부담과 권리 보호 수준은 시행령, 처리 절차, 유출 사고별 집행 기준에 따라 달라질 수 있어요.