개인정보보호법 개정, 어떻게 대비할까?

“내 개인정보 껌값보다 싸다!”

이런 농담이 있을 정도로 최근 개인정보와 관련된 다양한 사건/사고들이 넘쳐나고 있습니다. 디지털 기술의 발전과 인터넷의 보급으로 인해 우리는 많은 양의 개인정보를 온라인상에서 공유하게 되었고 이에 따라 개인정보 유출과 불법적인 활용의 위험도 함께 증가하게 되었죠. 특히 최근 AI 기술의 비약적인 발전에 따라 새로운 법의 필요성이 대두되었고 이에 대응하기 위해 다양한 국가에서는 개인정보보호를 위한 법률과 규정을 개정하고 개선하는 노력을 기울이고 있습니다.

빠른 인터넷 속도만큼 이를 통한 개인정보 관련 범죄가 나날이 늘어나고 있는 대한민국! 오는 9월, 더욱 강력하고 효과적인 개인정보 보호 체계를 구축하고자 개인정보보호법 개정을 실시한다는 사실을 알고 계셨나요? 이번 개인정보보호법 개정은 기업에 새로운 책임과 요구사항을 부과함으로써 개인정보 보호의 중요성을 강조하고, 개인정보 침해 사례를 최소화하고자 하는 목표를 가지고 있습니다.

그렇다면 이번 개인정보보호법 개정에서 우리가 주목해야 할 부분은 어떤 것들이 있을까요? 이번 아티클에서는 곧 시행될 개인정보보호법 개정에 대해 스타트업 씬이 꼭 기억해야 할 내용들에 대해 알아보도록 하겠습니다.

잠깐, 여기서 ‘개인정보’란?

‘개인정보’란 살아 있는 개인에 관한 정보로서 다음의 어느 하나에 해당하는 정보를 뜻합니다. (「개인정보 보호법」 제2조제1호)

1. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보

2. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보(이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 함)

3. 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보

그렇다면 개인 정보에는 어떤 유형이 있고, 그 유형에는 어떤 항목이 있을까요? 아래에 ‘개인정보’로 분류되는 정보들을 정리해보았습니다. 혹시 우리 회사가 심각하게 다루고 있지 않거나 방치하고 있는 정보들이 있진 않나요? 수집한 개인정보를 계속 방치하거나 활용 동의를 받지 않으면 추후 법적 이슈로 발전할 가능성이 있으니 꼭 체크해야 합니다.

(출처:개인정보분쟁조정위원회-분쟁조정 제도안내-개인정보 의미)

개인정보보호법 개정, 왜 하는걸까?

오는 9월, 개인정보보호법이 2011년 이후 처음으로 개정되고 실행될 예정이라고 하는데요. 지난 2023년 2월 27일에 이미 공표된 내용으로 많은 분이 개정된다는 사실 자체는 잘 알고 계실 겁니다. 그런데 이번 개정 도대체 왜 하는 걸까요?

우선 큰 이유 중 하나는 ‘마이데이터’의 확산입니다. 요즘 다양한 플랫폼에서 나의 금융 정보들을 한 번에 볼 수 있는 기능을 선보이고 있죠? 몇몇 앱들에서는 다양한 혜택을 빌미로 동의를 촉구하는 프로모션을 진행하는 경우도 종종 목격됩니다. 이를 위해서는 특정 서비스가 나의 개인 정보들을 다른 기업이나 기관에서 끌어올 수 있어야 하는데요. 바로 이런 마이데이터 서비스에 관련된 내용이 신설됩니다.

그리고 앞서 설명한 대로 인공지능의 도입으로 인해 개인 정보가 대량으로 유출되거나 자동화 되어 수집될 가능성이 있다는 점도 한 가지 이유입니다. 또한 글로벌 시장에서 활동하는 ICT 회사의 증가, 드론 산업의 발전 등으로 인하여 위와 같은 내용을 개정하게 되었습니다.

이렇게 개정 이유와 배경을 파악하고 있는 것은 대단히 중요합니다. 법률을 기계적으로만 해석하면 우리의 비즈니스에 미치는 영향을 정확하게 파악하기 어렵기 때문이죠.

개인정보보호법 개정, 이건 꼭 기억하세요!

이번 개인정보보호법 개정에서 우리는 개인정보 전송 요구권(이동권), 자동화된 결정에 대한 설명 요구권, 개인정보의 국외 이전 요건 다양화 및 보호 조치 강화, 이동형 영상정보처리기기 운영 기준을 마련한 점에 주목해야 합니다.

✅ 개인정보전송요구권(이동권)

앞서 설명해 드린 대로 다른 기업이나 기관으로 나의 개인정보의 전송을 요구할 수 있는 ‘개인정보 전송 요구권’이 신설되었습니다. 그런데 ‘나는 이미 마이데이터 서비스를 이용하고 있는데?’라고 생각 중인 분들이 계실 거예요. 현재 본인의 주민등록증이나 대학 졸업장, 학점과 같은 것들도 의해서 본인이 다운로드 받거나 제출해야 하는 기관에 직접 전송을 요구할 수 있죠. 이렇게 금융권이나 공공기관의 경우 이미 활용하고 있던 마이데이터 서비스를 이제 모든 산업 분야에서 이용할 수 있게 됩니다.

만약 이 법률안에 포함되는 범위내에서 창의적인 아이디어가 있어 국민들에게 혁신적인 서비스를 제공할 수 있다면 이를 구현할 수 있는 기회가 제공될 수 있다는 점에서 이번 개정은 스타트업 씬이 주목해야 할 주요 포인트 중 하나라고 할 수 있습니다.

✅ 자동화된 결정에 대한 거부, 설명 요구권

해당 내용은 챗GPT와 같은 AI 기술의 활용으로 자동으로 인공지능이 개인정보를 처리할 수 있게 된 상황이 펼쳐지면서 신설되었습니다. 기존에는 자동화된 결정에 대한 설명 요구권과 제기권만 있었는데 이번 개정안에는 거부권이 추가 되었다고 하는데요.

이렇게 만약 우리가 인지하지 못하는 사이에 특정 결정에 동의하게 되었다면 이를 거부하거나 설명을 요구할 수 있도록 법적 권리가 생긴 것입니다.

✅ 개인정보의 국외 이전 요건 다양화 및 보호 조치 강화

기존에 개인정보를 국외로 이전하려면 정보 주체의 동의가 필요했습니다. 그러나 이번 개정을 통해 우리나라 기업이 유럽에서 유럽 회원국의 개인정보를 수집해서 우리나라로 추가적인 동의나 어떤 국가의 허락 없이 이전할 수 있습니다. 마찬가지로 유럽이 우리나라의 적정성 결정을 신청해서 적정성 결정을 받으면 우리나라 국민을 상대로 한 수립된 개인정보를 이전할 수 있게 되었습니다.

물론 정보 주책의 피해가 발생할 우려가 많은 경우에는 이전의 중지를 명령할 수 있는 이전 중립 명령권도 함께 신설되었습니다. 만약 여러 가지 요건에 의해서 개인정보가 이전되더라도 보호 조치가 필요할 경우에는 과감하게 정부가 개입해서 이전 중지 명령을 할 수 있는 법적 권리가 함께 생겼다고 이해하시면 되겠습니다.

✅ 이동형 영상정보처리기기 운영 기준 마련

기존에는 고정형 영상 정보처리기 즉 CCTV와 관련한 규정만 있었는데, 이번 개정으로 자율 주행 자동차, 드론과 같은 기기들의 법적 운영 기준도 마련되었습니다.

이는 이동형 영상 정보 처리기기의 사용이 증가함에 따라 마련되었는데요. 그동안 관련 비즈니스는 법적 불확실성도 높고 규제 샌드박스가 공간, 기간적으로 굉장히 제한되어 있었기 때문에 사업을 전개하기가 굉장히 불안했었습니다. 그리고 법의 사각지대에 있다 보니 연구하기도 굉장히 까다로웠는데요. 신설된 기준을 쉽게 설명하면 이동형 기기로 개인 영상 정보가 촬영된다는 사실을 충분히 정보 주체가 인지할 수 있는 경우에는 예외적으로 개인 영상 정보를 이동형 영상 정보 처리를 통해서 영상 정보를 촬영하는 촬영할 수 있는 근거가 마련된 것이죠.

이번 법적 근거 마련으로 인해 관련 사업에 새로운 돌풍이 불 것으로 기대됩니다.

이렇게 개인정보보호법 전면 개정과 관련하여 스타트업은 어떤 내용을 주목해야 하는지 알아보았습니다.

각 개정 사항은 개인정보를 수집하여 처리하는 회사뿐 아니라 개인 정보를 관리하는 업무를 전문적으로 수행하는 회사의 비즈니스에도 영향을 미칠 수 있습니다.

과연 우리 시장에 어떤 영향이 미치게 될지, 혹시 개인정보와 관련하여 잘못 알고 있던 내용들이 있는지 미리 확인하고 싶으신가요? 또한 이에 따라 생길 법적 이슈를 미리 막고 싶으시다면 이번 [개인정보 보호 노하우 세미나]를 통해 점검하고 적용해 보세요!

• Edited by 효효