정부 개인정보 인증심사 손질…현장점검 강화·과태료 유예 신설

(사진제공=개인정보보호위원회)

개인정보 보호 인증(ISMS-P) 심사에 서면심사와 현장심사를 병행하는 방안이 도입된다. 인증을 받은 기업에서 개인정보 유출 등 침해사고가 발생하면 전문 기술인력이 현장에서 취약점 진단과 모의침투도 실시할 수 있게 된다.

개인정보보호위원회는 이 같은 내용을 담은 개인정보 보호법 시행령 개정안을 다음 달 26일까지 입법예고한다고 16일 밝혔다. 이번 개정안은 4월 발표한 ‘정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안’의 후속 조치다.

ISMS-P는 기업 등이 운영하는 개인정보보호 체계가 적절하게 구축·운영되고 있는지 인증하는 제도다.

개정안은 인증심사의 현장성을 높이는 데 초점을 맞췄다. 기존 심사 과정에서 서면심사와 현장심사를 함께 실시할 수 있도록 관련 규정을 명확히 한다.

인증 유효기간 중 침해사고나 개인정보 유출이 발생한 기업에 대해서는 일정 자격을 갖춘 기술인력이 점검 도구를 활용해 현장에서 취약점을 살펴볼 수 있도록 한다. 취약점 진단뿐 아니라 실제 공격 상황을 가정한 모의침투도 가능하다. 인증 취득 후 매년 이뤄지는 사후심사에서도 서면·현장심사를 병행하고 취약점 점검을 실시할 수 있다.

기업별 개인정보 처리 규모와 사회적 파급력을 고려해 인증 기준을 차등 적용할 수 있는 근거도 구체화한다. 사업자의 규모나 서비스 특성이 다른 만큼 동일한 기준을 일률적으로 적용하는 대신 위험 수준 등을 심사에 반영하기 위한 조치다.

인증 의무대상 기업이 인증 취소 처분을 받을 경우 과태료 부과를 1년간 유예하는 제도도 신설한다. 인증이 취소된 직후 곧바로 인증 의무 위반에 따른 과태료가 부과되는 대신 재발방지 대책을 마련하고 인증을 다시 취득할 시간을 부여한다는 취지다.

다만 거짓이나 부정한 방법으로 인증을 취득해 인증이 취소된 경우에는 과태료 부과 유예 대상에서 제외한다.

개인정보위는 입법예고 기간 이해관계자와 관계부처 의견을 수렴한 뒤 법제처 심사 등을 거쳐 시행령 개정을 추진한다. 연내 관련 고시도 개정할 계획이다.