[기업법률 가이드] 9월 시행되는 개인정보 보호법

안희철 (법무법인 디라이트 변호사)

인공지능 기술이 발전하면서 개인정보 처리와 관련한 문제가 더욱 중요해졌다. 국내에서도 지난 2월27일 개인정보 보호법 개정안이 국회를 통과했다. 개정안 중 일부는 다음 달 15일부터 나머지 일부는 내년도 3월15일부터 시행된다.

다음 달 15일 시행되는 개정안(1차 시행안)은 △정보통신서비스 특례 정비(온·오프라인 서비스 사업자 구분 폐지) △이동형 영상기기 규정 △동의 방법 및 추가 이용·제공 △개인정보 처리방침 평가제 △분쟁조정제도 절차 △공공시스템 운영기관 특례 등 안전성 확보 조치 △국외 이전 및 중지 명령 △과징금 부과기준 △공포명령 등이다.

내년도 3월 시행 개정안(2차 시행안)은 △자동화된 결정에 대한 정보주체의 권리 △공공기관 개인정보 보호 수준평가 △개인정보보호책임자의 업무 및 자격요건 △손해배상 보장 대상 범위 및 기준 △개인정보 전송요구권 등으로 요약할 수 있다.

이 중 1차 시행안 내용에 대해 우선 살펴본다.

첫째, 개인정보보호법에서 정보통신서비스 제공자에 대한 특례 규정이 삭제된다. '개인정보처리자'와 '정보통신서비스 제공자 등'으로 이원화돼 있던 체계가 일원화돼 동일한 규제가 적용된다.

둘째, 드론이나 자율주행 기기 등 이동형 영상정보처리기기 관련 조항이 추가됐다. 개정 전 법에는 CCTV 등 고정형 영상기기에 대해서만 정하고 있어서 이동형 영상정보처리기기에 관한 규제 공백에 있었다. 이번에 이동형 영상 기기로 영상을 촬영하는 경우 불빛과 소리, 안내판 등으로 촬영 사실을 표시하고 알리는 등의 조건을 만족하면 특정 업무에 한해 예외적으로 촬영할 수 있도록 허용됐다.

셋째, 개정 전 법에선 정보주체와의 계약 체결 및 이행을 위해 '불가피하게 필요한 경우' 에 개인정보를 수집할 수 있고 그 수집 목적 범위에서 이용할 수 있다고 정하고 있다. '불가피한 사정'에 대해선 개인정보처리자가 입증토록 했다. 이 때문에 이 조항은 거의 사문화됐다. 개정법에는 '불가피하게'라는 요건을 삭제해 해당 조항에 근거해 개인정보 수집이 실무적으로 이루어질 수 있게 했다.

넷째, 개정법에선 단순 과실은 형사처벌을 면제해 형벌 규정을 형사처벌에서 경제 제재로 전환한 측면이 있다. 또한, 개정법에선 과징금 산정 기준을 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액으로 규정했다. 처분 대상자인 개인정보처리자가 위반행위와 관련이 없는 매출액을 스스로 입증하도록 했다.

다섯째, 개인정보보호 인증을 받은 경우나 이전되는 국가 또는 국제기구의 개인정보 보호 수준이 보장된다고 인정되는 경우 등에 해당하면 정보주체 동의를 받지 않아도 국외에 이전할 수 있다. 국외 이전에 문제가 있으면 개인정보보호위원회가 개인정보의 국외 이전 중지 명령을 할 수 있도록 했다.

이 외에도 개인정보처리방침 평가제, 분쟁조정제도 절차, 공공시스템 운영기관 특례 등 안전성 확보 조치 등이 시행된다. 다음 달 15일부터 시행되는 개인정보보호법의 내용을 잘 숙지해 개인정보보호법에 맞게 개인정보를 수집, 이용, 관리할 필요가 있다.

안희철 <법무법인 디라이트 변호사>