 ▲ 법제처 국민참여입법센터 누리집 접속 화면 © |
개인정보보호위원회가 개인정보 유출사고 예방과 대응을 강화하는 '개인정보 보호법 시행령' 일부개정령안을 마련해 내달 13일까지 입법예고한다고 2일 밝혔다.
이번 개정은 2025년 6월 쿠팡에서 퇴사한 중국인 전 직원이 탈취한 인증키를 이용해 5개월간 3,367만 건의 개인정보가 무단 조회된 사건과 2025년 4월 SK텔레콤에서 2,324만 명의 USIM 정보가 유출된 사태를 계기로 제도적 허점을 보완하기 위해 마련됐다. 특히 개인정보위는 SKT에 역대 최대 규모인 1,347억 원의 과징금을 부과했으나 SKT가 행정소송으로 맞서는 등 유출 사고 이후 사후 제재 중심의 한계가 드러났다는 지적이 잇따른 바 있다.
개정안의 핵심은 네 가지다. 먼저 개인정보 보호책임자(CPO) 지정·변경·해제 시 이사회 의결을 거치고 개인정보위에 신고하도록 했다. 의무 대상인 개인정보처리자는 의무 발생일로부터 1개월 이내 신고서를 제출해야 하며, 부득이한 경우 1개월 연장이 가능하다.
공공·민간 분야 주요 개인정보처리자에 대한 ISMS-P 인증도 의무화했다. 이동통신사업자·본인확인기관·전년도 매출액 1조 원 이상이면서 정보통신서비스 부문 매출 100억 원 이상이고 일일 평균 국내 정보주체 수가 3,000만 명 이상인 사업자는 2028년 12월 31일까지 인증을 받아야 한다.
유출 통지도 강화된다. 개인정보처리시스템에 대한 불법적 접근을 알게 됐거나 개인정보가 불법으로 거래·유통되고 있음을 알게 된 때부터 72시간 이내에 정보주체에게 통지해야 한다. 기존 분실·도난·유출뿐 아니라 위조·변조·훼손의 경우에도 통지·신고 의무가 적용된다.
과태료 부과기준도 정비해 경미한 위반에 경고 후 재발 시 가중 횟수에 반영하도록 했다. 개정안 의견은 다음 달 13일까지 국민참여입법센터(http://opinion.lawmaking.go.kr)·개인정보위 전자우편(kjy260529@korea.kr)으로 제출할 수 있으며, 전문은 개인정보위 누리집(www.pipc.go.kr)에서 확인 가능하다.
[기자 코멘트] 충남·충청권은 삼성SDI·현대제철·한화·SK하이닉스 천안사업장 등 대형 제조·IT 기업이 밀집한 개인정보 고위험 지역이다.
임직원 수만 명의 개인정보와 협력업체 데이터를 대규모로 처리하는 이들 기업이 이번 ISMS-P 의무 인증 대상에 해당하는지 여부를 사전에 점검할 필요가 있다.
특히 쿠팡·SKT 사태에서 드러났듯 내부자 접근 통제와 퇴직자 계정 관리 미비가 대형 사고의 직접 원인이었다는 점에서, 충남 지역 중견·중소 협력업체들의 보안 역량 강화를 위한 충남도·천안시 차원의 교육·컨설팅 지원 체계 구축이 시급하다.
CPO 이사회 의결 의무화는 대기업 중심 제도로 설계돼 있어, 중소기업이 밀집한 충청권 산업단지 현장의 실질적 보호 강화로 이어지기 위한 후속 보완책 마련이 과제로 남는다.
미디어코리아 박상찬 기자 mknews114@gmail.com