개인정보 보호체계 '사전 예방' 전환…1700개 주요 시스템 정부가 직접 점검

▲12일 서울 종로구 정부서울청사에서 송경희 개인정보위원장이 브리핑을 하고 있다. 김연진 기자 yeonjin@

올해 하반기부터 주요 공공시스템과 대규모 개인정보를 처리하는 약 1700개 고위험 시스템에 대해 정부가 정기 점검을 직접 실시한다. 클라우드 사업자, 전문 수탁사, 시스템 공급사 등 공급망 전반으로 점검 범위도 확대한다.

12일 개인정보위는 대통령 주재 국무회의에서 이같은 내용이 담긴 ‘예방 중심 개인정보 관리체계 전환 계획’을 보고했다고 밝혔다. 이날 송경희 개인정보위원장은 서울 종로구 정부서울청사에서 브리핑을 열고 “위험 수준에 따라 차등적으로 점검하는 위험기반 관리 체계를 구축하겠다”며 “주요 공공시스템 387개와 교육·복지 등 고위험 분야는 개인정보위가 집중 관리한다”고 말했다.

개인정보위는 경제적 제재의 실효성을 높이기 위해 반복적이거나 중대한 보호법 위반 행위에 대해 매출액의 최대 10%까지 과징금을 부과한다. 징벌적 과징금 부과는 관련 법률 개정을 거쳐 9월부터 시행된다. 개인정보위는 시행령 등 하위 법령 마련 과정에서 세부 기준을 구체화할 계획이다.

과징금 산정 기준도 강화된다. 현행 ‘3년 평균 매출액’ 기준 대신 ‘직전 연도 매출액’과 ‘3년 평균 매출액’ 가운데 더 높은 금액을 적용하도록 시행령 개정을 추진 중이며 이달 내 관련 절차를 마무리할 예정이다. 이행강제금 제도 도입 등 조사 강제력 강화 관련 법안은 국회에 발의돼 있다. 증거 은닉 행위에 대한 제재 강화와 신고포상금 제도 도입도 추진된다.

개인정보 보호 투자에 적극 나선 기업에는 인센티브를 부여한다. 법정 기준을 넘어서는 선제적 보호조치와 보안 투자, 안전관리체계 운영 여부 등을 종합 평가해 과징금 감경 등을 제공할 예정이다. 개인정보위는 ‘자발적 보호투자 확대’와 ‘위험 기반 관리체계 구축’ 세부 방안을 이달 말 경제관계장관회의를 통해 공개할 계획이다.

개인정보위는 서비스 설계 단계부터 개인정보 보호를 반영하는 ‘개인정보 중심 설계(PbD)’ 원칙도 제도화한다. PbD는 제품 또는 서비스의 기획·제조·파기 등 전 과정에서 개인정보 보호 요소를 충분히 고려하는 것이다. 개인정보 영향평가 기준과 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 기준에도 PbD 원칙을 반영한다.

개인정보 유출 사고 발생 시 기업·기관의 손해배상 책임을 원칙으로 하고 입증 책임 역시 기업이 부담하도록 해 법정 손해배상 제도의 실효성을 높인다. 민감정보 유출 시에는 SNS 등에서의 불법 유통 여부를 모니터링하여 탐지·삭제하고, 수사기관과 협력해 개인정보 불법 유포자와 이용자를 엄정 대응한다.

개인정보위는 지난 2월 현황 조사를 통해 공공부문의 개인정보 보호 인력과 예산 부족을 확인한 바 있다. 이에 관계부처와 협력하여 전담 인력과 예산을 확충하고, 민관 협력을 통해 전반적인 보호 수준을 끌어올릴 계획이다. 송 위원장은 “개인정보 보호를 전담하는 인력은 0.7명이며 기초지방정부는 보호전담 인력이 0.3명 수준으로 확인됐다”며 “부처와 시스템별로 필요한 인력과 예산은 예산처와 합의 중”이라고 말했다.

한편, 지난해 불법 펨토셀을 활용한 고객정보 탈취 및 무단 소액결제 사고를 겪은 KT는 개인정보위의 제재 결과 발표를 앞두고 있다. 쿠팡에 대해선 사업자가 제출한 의견을 개인정보위가 검토하고 있으며 곧 전체회의에서 의결할 예정이다. 송 위원장은 “조사는 끝났으며 KT에 관련 내용을 사전통지한 상황”이라며 “사업자 의견을 받아서 검토를 마무리하고 책임에 상응하는 적절한 처분을 하겠다”고 밝혔다.