개인정보 전송요구권 시행 유예기간 검토
과징금 산정기준 연구반 운영해 시행령 반영
개인정보보호위원회는 28일 국무회의에서 정부 내 합의를 거친 개인정보 보호법 개정안이 의결돼 9월 중 국회에 제출될 예정이라고 밝혔다. 2020년 말 부터 준비를 시작해 1월 입법예고 후 이해관계자와 정부부처 간 이견 조정에만 10개월쯤 걸렸다.
이번 개정안은 2011년 개인정보 보호법 제정 이후 최초로 정부가 주도해 산업계, 시민단체, 관계부처 등의 다양한 의견을 반영해 마련한 전면 개정안이다.
전송요구권 도입으로 정보주체인 국민은 자신의 개인정보를 본인 또는 다른 기업에게 직접 전송하도록 요구할 수 있게 된다. 개인정보 전송요구권은 정보주체인 국민이 기업 등 개인정보처리자가 보유한 본인의 개인정보를 자신 또는 다른 기업에게 전송해 줄 것을 요구할 수 있는 권리다.
일반법인 개인정보 보호법에 전송요구권을 도입함에 따라 현재 금융·공공 등 일부 분야에서만 추진 중인 마이데이터 사업이 全국민, 全분야 마이데이터 산업으로 확산될 것으로 전망된다. 다만, 개인정보위는 산업별 특성을 고려해 법 통과 후 1~2년 정도의 유예 기간을 갖는 것을 고려 중이다.
개인정보위는 일부 플랫폼 기업으로 데이터가 집중되는 독점 현상을 완화하고, 새싹기업(스타트업) 등 다양한 경제주체들이 데이터를 안전하게 활용할 수 있는 기반도 마련될 것으로 기대했다.
AI 등 신기술이 국민생활에 큰 영향을 미칠 것으로 예상됨에 따라, 과세대상·복지 수혜자격 결정·신용등급 등 완전히 자동화된 결정으로 인해 자신의 권리와 의무에 중대한 영향을 받게 되는 경우 이를 거부하거나 이에 대한 설명을 요구할 수 있는 권리를 도입한다. 자동화된 결정에 대한 대응권은 사람의 개입없이 완전히 자동화된 시스템에 의한 결정으로 권리 또는 의무에 중대한 영향을 받은 경우 거부하거나 설명을 요구할 수 있는 권리다.
디지털 시대 아동의 권리 강화를 위해 이해하기 쉬운 양식 사용 등의 의무를 온라인 사업자에서 오프라인 등 전체 개인정보처리자로 확대하고, 국가와 지방자치단체는 아동에 대한 개인정보 보호 시책을 마련하도록 하여 아동의 개인정보 보호를 더욱 강화했다.
그동안 일반 국민과 기업에게 법 적용의 혼선과 이중부담의 원인이 되어 왔던 온-오프라인 이중규제, 개인영상정보 처리 등 신기술환경 변화에 따라가지 못하는 규제도 정비한다.
데이터 3법 개정으로 별도로 규율하고 있던 온라인 특례규정을 통합해 국민의 권리 보장에 도움이 되는 규정은 모든 분야로 확대해 정비하고, 실효성이 낮은 규정은 삭제했다. 확대된 규정은 해외사업자의 국내대리인 지정 의무화, 만 14세 미만 아동의 개인정보 보호, 손해배상책임의 보장, 이용내역 통지 등이다. 삭제된 규정은 방송사업자 준용규정, 개인정보 유효기간제 등이다.
급증하는 고정형·이동형 영상기기 운영 기준이 명확하지 않은 문제를 개선하기 위해 촬영이 가능한 범위 등을 구체화했다. 고정형 영상기기(CCTV)의 무분별한 운영을 방지하기 위해 ‘정당한 권한을 가진 자’만 설치·운영할 수 있도록 명확히 규정했다. 드론, 자율주행차 등 이동형 영상기기의 경우, 산업현장에서 실제 적용이 가능하도록 공개된 장소에서 업무를 목적으로 촬영할 수 있는 범위를 신설했다.
촬영할 수 있는 범위는 동의, 계약, 법률의 규정 등 적법한 수집·이용이 가능한 경우(제15조제1항 각 호), 정보주체가 촬영사실을 알 수 있었으나 거부의사를 밝히지 않은 경우다.
전자상거래 확대에 따른 개인정보의 국외이전 증가 등의 변화에 대응해 글로벌 수준에 부합하도록 개인정보 국외이전 제도를 개선하고, 법 위반에 대한 형벌 완화와 함께 과징금 제도를 정비한다.
우리나라와 동등한 수준으로 개인정보를 보호하고 있는 국가 또는 기업이라고 인정되는 경우에 국외이전이 가능하도록 하고, 법을 위반하거나 보호수준이 취약하다고 판단되는 경우에는 국외이전을 중지할 수 있는 근거를 마련했다.
현행법은 글로벌 기준과는 달리 개인정보 보호에 대한 책임을 기업보다는 담당자 개인에 대한 형벌 중심으로 규율하고 있는 문제점을 개선하기 위해, 개인에 대한 형벌은 완화하되 기업에 대한 경제적 책임은 강화하는 방향으로 전환했다.
논란이 많았던 과징금의 경우 상한액을 전체 매출액(3% 이하) 기준으로 조정하는 초안을 유지했다. 개인정보위는 과징금이 책임의 범위를 벗어나 과도하게 부과되지 않도록 ‘위반행위에 상응하는 비례성’과 ‘침해 예방에 대한 효과성’이 확보되도록 했다고 설명했다.
다만 산업계·관계기관 등의 의견을 반영해 개인정보가 유출된 경우에도 기업이 안전조치를 다한 경우에는 과징금 부과 대상에서 제외됨을 명확히 했다.
개인정보위는 과징금 부과의 합리적 산정기준을 마련하기 위해 홍대식 교수(서강대)를 반장으로 하는 과징금 부과기준 연구반을 구성한다. 10월부터 법률전문가와 산업계·시민단체 등 대표성 있는 이해관계자가 참여하는 연구반 운영 결과를 하위규정(시행령·고시) 개정안에 반영할 예정이다.
이번 개정안에는 기업 등 경제주체의 자율적인 보호활동을 지원하고 분쟁조정을 활성화하는 등 개선사항을 포함했다. 분쟁조정 절차에 당사자의 참여를 의무화하고, 기업 내부의 개인정보보호책임자의 독립성을 강화했다. 자율규제단체 지정 및 연합회 설립 등을 통해 자율적인 보호활동을 지원할 수 있는 기반을 마련했다.
윤종인 개인정보위 위원장은 "이번 개정안은 디지털 대전환 시대에 선제적으로 대응하기 위해 다양한 이해관계자와 조율을 거쳐 어렵게 마련된 점을 고려해, 국회에서 신속한 논의가 이루어지기를 희망한다"며 "앞으로도 이번 개정안에 머무르지 않고, 아동·청소년 등 취약계층 보호, 민감정보·생체정보·영상정보 등 국민생활에 큰 영향을 미치는 개인정보에 대하여도 지속적으로 개선해 국민의 개인정보 자기결정권이 보다 실질적으로 보장될 수 있도록 노력하겠다"고 말했다.
기업이 안전조치를 다했을 시 과징금 부과 대상 제외 문구과 관련해 기업의 면피 조항이 될 것이란 우려에 최영진 개인정보위 부위원장은 "기존 법에는 면제 사유는 없고, 경감 사유만 있었다"며 "기업이 의무를 다 하지 못할 경우에 생기는 사고가 대부분이기 때문에 면피 조항이 될 것이라 생각하진 않는다"고 말했다.
개인정보 처리방침 평가가 권고라 실효성이 부족할 수 있다는 지적에 이병남 개인정보위 개인정보보호정책과장은 "실질적으로는 권고사항이긴 하지만 시정명령을 했음에도 이행하지 않으면 과태료를 부과할 수 있는 내용이 개정안에 담겨져 있다"며 "각 기업들이 가진 개인정보 처리방침이 정보주체 권리를 보장할 수 있는 방향으로 운영할 수 있도록 지속적으로 기능을 강화하겠다"고 설명했다.
류은주 기자 riswell@chosunbiz.com