개인정보보호위원회는 개인정보 유출사고 예방과 대응을 강화하고 국민의 권리를 더욱 두텁게 보호하기 위한 '개인정보 보호법 시행령' 일부개정령안을 마련해 내달 13일까지 입법예고한다고 2일 전했다.
개정 '개인정보 보호법'은 개인정보 보호책임자(CPO)의 권한과 독립성을 강화하기 위해 일정 규모 이상의 개인정보처리자에 대해서는 CPO 지정·변경·해제 시 이사회 의결을 거치고 개인정보위에 신고하도록 했다.
또 공공·민간 분야에서 파급력이 큰 주요 개인정보처리자에 대해 개인정보 보호 인증(ISMS-P 인증)을 의무화했고, 개인정보 유출 가능성 단계부터 정보주체에게 이를 지체 없이 통지해 신속 대응하도록 했다.
송경희 개인정보보호위원회 위원장이 지난달 27일 서울 종로구 정부서울청사에서 열린 개인정보보호위원회 전체회의에서 모두발언을 하고 있다.(ⓒ뉴스1, 무단 전재-재배포 금지)
◆ CPO 이사회 의결 및 개인정보위 신고 의무 대상 기준 마련
CPO를 지정하거나 그 지정을 변경·해제하는 경우 이사회 의결을 거치고 개인정보위에 신고해야 하는 의무 대상이 되는 기준을 마련했다.
CPO의 독립성과 신분 보장을 강화하기 위해 이사회 의결·신고 의무 대상을 현행법상 전문 CPO 지정 의무 대상과 동일하게 규정했다.
또한 CPO 지정·변경·해제 시 신고 방법·절차를 구체화해, 신고 의무 대상인 개인정보처리자는 의무가 발생한 날로부터 1개월 이내 신고서를 제출해야 한다. 부득이한 사유 시 1개월 연장이 가능하다.
◆ ISMS-P 인증 의무 대상 범위 구체화
개인정보보호 관리체계(ISMS-P) 인증 의무 대상이 되는 범위를 구체화했다.
이에, ▲공공시스템운영기관 중 보호위원회가 정해 고시하는 자 ▲이동통신사업자 ▲본인확인기관 ▲전년도 매출액이 1조 원 이상이고 정보통신서비스 부문 전년도 매출액이 100억 원 이상이며 전년도 말 기준 직전 3개월 개인정보가 저장·관리되는 국내 정보주체 수가 일일 평균 3000만 명 이상인 자는 오는 2028년 12월 31일까지 ISMS-P 인증받아야 한다.
◆ 유출 가능성 통지, 요건·시기·항목 구체화
유출 가능성 통지의 요건·시기·항목을 구체화했다.
개인정보처리시스템에 대한 불법적 접근을 알게 됐거나 개인정보가 불법적으로 거래·유통되고 있음을 알게 된 때는 이를 72시간 이내 정보주체에 통지하도록 했다.
또한 개인정보 분실·도난·유출뿐 아니라 위조·변조·훼손의 경우에도 통지·신고해야 한다.
◆ 과태료 부과기준 정비
제재 실효성을 높이기 위해 과태료 부과기준을 개선·정비했다.
경미한 위반행위에 대해 과태료를 면제하고 경고를 한 경우 향후 동일한 위반행위 재발 시 과태료 가중 횟수에 반영되도록 하고, 위반 횟수별 과태료 부과금액을 법제처 지침에 맞춰 정비했다.
이번 시행령 개정안에 대해 의견이 있는 기관·단체 또는 개인은 다음 달 13일까지 국민참여입법센터(http://opinion.lawmaking.go.kr), 개인정보위 전자우편(kjy260529@korea.kr) 및 일반우편 등으로 의견을 제출할 수 있다.
개정안 전문은 개인정보위 누리집(www.pipc.go.kr) 공지사항에서 확인 가능하다.
문의: 개인정보보호위원회 개인정보보호정책과(02-2100-3057) 자율보호정책과(02-2100-3086) 조사총괄과(02-2100-3102)