"권리 높이고, 기준 구체화"…개인정보보호법 시행령 2차 개정안 입법예고

고학수 개인정보보호위원회 위원장(사진=개인정보보호위원회)

[이데일리 김가은 기자] 개인정보보호위원회는 ‘개인정보 보호법 시행령’ 개정안을 오는 23일부터 내년 1월 2일까지 40일간 입법예고한다고 22일 밝혔다.

이번 시행령 개정안은 지난 3월 14일 공포된 개정 ‘개인정보 보호법’에 따른 후속 조치다. 내년 3월 15일 시행이 예정된 자동화된 결정에 대한 정보주체의 권리, 개인정보 보호책임자의 자격 요건 및 대상, 손해배상의 보장, 공공기관 개인정보 보호수준 평가 등에 관해 개정법에서 위임한 기준과 절차를 마련하는 내용을 담고 있다.

◇AI가 개인정보 처리해도 정보주체 권리 보장

먼저 자동화된 결정에 대한 정보주체의 거부·설명 등을 요구할 수 있는 권리가 신설됨에 따라, 정보주체의 요구절차 및 방법, 개인정보처리자의 조치사항과 공개사항 등 세부 절차를 마련했다. 자동화된 결정이 생명·신체·재산의 이익 등 권리 또는 의무에 중대한 영향을 미치는 경우, 정보주체가 거부하면 적용하지 않도록 했다.

또 정보주체가 재처리를 요구하면 조치 결과를 알리도록 했다. 또한 설명을 요구할 때는 결정의 결과, 사용된 주요 개인정보 유형 및 영향 등을 포함해 이해하기 쉽게 제공하도록 구체화했다. 뿐만 아니라 권리·의무에 중대한 영향을 미치지 않는 경우에는 사전 공개한 기준과 절차 등을 활용해 설명할 수 있도록 규정했다.

아울러 완전히 자동화된 결정에 따라 개인정보 처리를 하는 경우, 사전에 기준과 절차 등을 공개하도록 하되, 일회적으로 이뤄지는 경우에는 정보주체에게 사전에 알리도록 했다. 공개 시에는 표준화·체계화된 용어와 시각화 방법 등을 활용할 수 있도록 규정했다.

◇개인정보 보호책임자 지정·자격요건 정비

개인정보 보호책임자(CPO)의 전문성과 독립성을 강화할 수 있도록 법이 개정됨에 따라, 시행령에 위임된 자격요건과 적용대상, 독립성 강화방안 등을 정비했다.

우선 개인정보 보호책임자의 전문성 강화를 위해 매출액, 개인정보의 보유 규모를 고려해 일정 기준 이상 개인정보처리자는 관련 경력(자격요건)을 갖춘 인물로 지정하도록 했다. 또 독립성을 보장하기 위해 대표자와 이사회에 직접 보고할 수 있는 보고체계를 구축했다. 특히 관련 정보에 대한 접근 보장, 인적·물적 자원 제공과 부당한 지시에 대한 불이행을 이유로 한 불이익 금지 등 준수사항을 구체화했다.

CPO간 교류와 협력을 활성화할 수 있도록 ‘CPO협의회’ 공동사업에 대한 구체적 범위도 규정하고, 개인정보위가 지원할 수 있도록 했다.

◇공공분야 개인정보 보호수준 평가 기준·절차 마련

공공분야 내 개인정보 보호 수준을 평가할 수 있는 법적 기준과 절차도 마련됐다. 제11조의2가 신설됨에 따라 법에서 위임된 평가 대상, 평가기준과 절차 등에 관해 필요한 사항을 구체화시켰다. 기준, 평가 시행 전 평가계획 통보, 효율적 평가 실시를 위한 평가단 구성과운영에 대한 근거 규정을 마련했으며, 계획에 따라 제출한 자료를 기준으로 평가하되, 필요시 현장방문 또는 대면평가의 방법으로 실시할 수 있도록 절차를 정비했다.

◇손해배상책임 보장 의무대상자 범위 개선

끝으로 개인정보 처리 과정에서 손해를 본 경우 보상을 받을 대상자와 의무면제에 대한 기준을 정립했다. 손해배상책임 보장을 위한 보험(공제) 가입과 준비금 적립 등 의무대상 기준을 현행 ‘매출액 5000만 원’과 ‘이용자 수 1000명’ 이상에서 ‘매출액 10억원’ 및 ‘정보주체 수 1만명’ 이상으로 조정했다. 면제 기준의 경우 법 제39조의7에서 규종하는 공공기관, 비영리법인과 단체, 소상공인으로 개인정보처리를 위탁한 자 등에 대한 사항을 상세히 기재했다.

이외에도 고유식별정보 관리실태 정기조사 기간을 2년에서 3년으로 조정하고, 중복되는 조사·점검이 있는 경우 제외할 수 있도록 정비했다. 개인정보를 국외에서 수집해 처리하는 경우 해당 사실과 법적 근거를 개인정보 처리방침에 기재하도록 개선했다.

고학수 개인정보위 위원장은 “지난 9월 15일 법 시행 이후 개정법이 안정적으로 정착될 수 있도록 분야별 현장 설명회와 안내서 발간 등을 통해 계속해서 현장과 소통해왔으며, 그 과정에서 나온 자동화된 결정에 대한 권리 보장이나 개인정보 보호책임자의 전문성·독립성 강화 등 의견을 개정안에 담았다”며 “개정된 ‘개인정보 보호법’이 현장에서 차질없이 시행될 수 있도록 입법예고 이후에도 간담회와 설명회 등을 통해 학계, 산업계, 시민단체 등의 다양한 의견을 들어 시행령에 반영해 나갈 것”이라고 했다.