개인정보 수집때 일일이 동의…업체도 소비자도 '한숨'

개인정보보호법 전면시행 D-9…문제없나

#1. 온라인 교육업체 A 대표는 개인정보보호법에 대해 9월 말 시행된다는 사실 외에는 아는 게 거의 없다. 구체적인 시행 내용이나 처벌사항은 무엇이며 또 어떻게 대처를 해야하는 지에 대한 정보를 하나도 수집하지 못했다는 의미다. 안그래도 인력과 자금 부족에 시달리고 있는 A 대표에게 개인정보보호법 시행에 대응하기 위한 별도 인력 확보와 금전적인 투자는 꿈같은 얘기다.

#2. 소규모 취업사이트를 운영하고 있는 B 대표. 역시 개인정보보호법 시행 여부를 떠나 그에 대한 대처는 막막한 상태다. 수집된 개인 이력서 파일이 그 형식 그대로 저장되기 때문에 이를 암호화 하기 위해서는 시간과 인력이 필요하지만 당장 자금 사정때문에 이러지도 저러지도 못하고 있는 상황이다.

오는 30일부터 개인정보보호법이 전면 시행된다. 그러나 그 어떤 대책마련도 세우지 못한 대부분의 중소기업들은 그야말로 발등에 불이 떨어졌다. 행정안전부가 입법예고한 개인정보보호법에 따르면 공공기관과 사업자는 정보주체(고객)의 동의가 있어야만 개인정보의 수집·이용이 가능하며 회원탈퇴 등 처리 목적이 달성된 개인정보는 지체 없이 파기해야 한다.

또 공공기관과 종업원 50인 이상 사업장에는 개인정보보호 책임자를 둬야 하고 영상정보처리기기(CCTV)는 공개된 장소에 범죄”화재예방 등 특정 목적으로만 설치가 가능하다. 처벌기준도 강화된다. 정보주체의 동의를 받지 않고 개인정보를 3자에게 제공하면 5000만원 이하, CCTV 설치 목적을 명시한 안내판을 설치하지 않으면 1000만원의 과태료가 부과된다.

이처럼 개인정보의 수집과 처리에 있어 그 규제와 처벌이 크게 강화되지만 그 내용을 파악조차 못하는 중소기업이 태반이다. 대응 인력과 자금도 턱없이 부족하다. 법의 필요성을 어느정도 공감하는 영세 사업자들도 실제 적용 여부에 대해서는 해법과 선처를 호소하는 실정이다.

규제 또한 까다로워 첩첩산중이다. 고유 식별 정보의 처리 제한 강화，영상정보 처리 기기의 설치 제한 근거마련，개인정보 영향 평가, 개인 정보 유출 사실의 통지·신고 제도 도입 등 규제 조항이 한두가지가 아니다.

개인정보보호법 시행시 개인들도 병원 등에서 진료를 받을 때 일일이 수집동의를 해줘야 한다. 이로인한 불편이 예상된다는 점에서 현실성이 없는 규제라는 지적이 나오고 있다.

◇ 병원, 현실과 어긋난 법령에 대책 마련 골머리 = 개인의 병적기록 등 민감한 정보를 취급하고 있는 병원도 예외는 아니다. 서울대병원·삼성의료원·서울아산병원 등 대형병원은 별도 TFT를 만들거나 보안 전담자를 둬 법 시행에 따른 대비책 마련에 분주한 모습이다. 문제는 중소형 병원과 의원급 의료기관들이다.

박찬호 이지케어텍 차장은 “개인정보 암호화 등 보안 시스템을 구축하는 데 수개월의 시간이 걸리는데다 수천만원에서 많게는 수억대까지의 비용이 들기 때문에 일반 개원의가 대형병원과 같은 보안 투자에 나선다는 것은 현실적으로 쉬운 일이 아니다”라고 토로했다.

중소병원의 현실을 반영하지 않은 개인정보보호법 시행에 의료계는 강력 반발하고 있다. 최세환 대한개원의협회 정보통신이사는 “얼마전 열린 상임이사회에서도 규정과 처벌만 강화된 정부의 탁상공론적인 정책이라며 불만을 제기하는 목소리가 적지 않았다”며 “구체적인 시행령과 시행규칙도 아직 나오지 않아 개원의들을 위한 가이드라인 마련조차 쉽지 않다”고 털어놨다.

개인정보보호법의 하위 법령이 기존의 의료법과 서로 상충된다는 점도 일선 병원의 혼란을 가중시키고 있다. 의료법 시행규칙에는 ‘진료기록부에 환자의 이름과 주민등록번호·주소 등을 정확히 기록하도록 명시하라’고 되어 있지만 이는 새로 시행되는 개인정보보호법과는 정면으로 배치된다.

최 이사는 “매번 진료때마다 서면으로 개인정보 수집 동의를 받는 것은 환자의 번거로움과 병원의 업무 부담만 가중시키는 격”이라며 “전문기관에 혈액검사 의뢰 시 개인정보 처리 문제 등 생각지도 못한 상황에서 부딪힐 수 있는 애로사항도 많을 것”이라고 말했다.

◇ 비영리단체, 예산배정조차 못해 = “개인정보보호법을 준비하게 된 비영리단체들이 예산 부족 문제로 당분간 혼선을 불가피한 상황입니다”개인정보보호법 시행이란 험난한 ‘파고’ 앞에 협회 등 비영리단체들의 시름도 깊어지고 있다.

영리적 목적으로 개인정보를 이용했던 사업자에 비해 동창회, 친목회, 후원회 등 비영리단체의 경우 개인정보보호를 위한 인력이나 솔루션, 시스템 등을 구비하기 위한 올해 예산을 제대로 배정 못한 곳이 대다수다.

보안업체인 관계자는 “상반기 보안관련 문의는 전년대비 50% 늘었지만 비영리단체들의 경우 어려움을 호소하는 게 사실”이라며 “민간단체의 경우 주민등록번호 등을 암호화하는 기술력을 확보하는 데 상당한 비용이 발생해 막막해하고 있다”고 말했다.

그나마 대규모 협회나 비영리단체를 중심으로 개인정보 보안솔루션 도입을 진행하는 등 발 빠른 움직임을 보이고 있지만 교육과 홍보 부족으로 산하 회원들이 느끼는 체감효과 미미하다는 지적이다. 여전히 구체적으로 개인정보보호법 시행에 어떻게 대비해 무엇을 준비해야하는지 갈팡질팡하는 곳이 많다는 얘기다.

박찬옥 한국개인정보보호협의회 운영국장은 “사실상 동창회 등과 같은 비영리단체 한 번에 개인정보보호법 규율을 받기란 어려울 것”이라면서 “법이 적용되더라도 당장 시행이 어려운 사업자들에게는 ‘단속’의 개념보다는 개인정보보호의 중요성을 인식시켜주고 법 테두리 안에 들어올 수 있도록 교육과 지원이 필요하다”고 조언했다.

◇ 당장 동문회 주소록 발간 어쩌나 = 대학들도 개인정보보호법 세부 내용조차 파악하지 못하고 있어 우려의 목소리가 높다. 특히 각 대학들은 입시, 학사 관리 등으로 수많은 개인 정보를 다루고 있어 악성코드 감염과 중요 정보 유출이 빈번함에도 이에 대비한 보안 시스템을 도입한 곳은 거의 없었다.

서울대 전산원 측은 새롭게 시행되는 개인정보보호법과 관련해 “아는게 없다”며 “서버보안이나 네트워크보안 등도 아직 준비된 게 없다”고 말했다. 몇몇 대학들도 상황은 마찬가지다.

보안업체 한 관계자는 “대학은 다른 산업에 비해 그동안 보안과 관련한 투자가 미흡했다”며 “서버·네트워크·DB보안, 좀비PC·USB 보안 등 다양한 솔루션이 필요하다”고 말했다.

여기에 새롭게 시행되는 개인정보보호법은 동의 없이 주소록에 기재된 개인정보를 지워달라는 동문의 요구를 받아들이지 않을 경우 거액의 과태료를 물게 하는 내용도 담고 있어 각별한 준비가 필요할 것으로 보인다.

서울대 총동창회는 내년 발간을 목표로 동문회 주소록을 준비 중이다. 서울대 총동창회 관계자는 “내년은 10년 만에 전체 동문의 주소록을 발간할 계획”이라면서 “사전 동의를 구한 후 동의하지 않는 동문의 주소는 뺄 것”이라고 말했다.

하지만 전문가들은 인터넷 헌책방 사이트 등에서 주요 대학의 주소록을 손쉽게 구할 수 있기 때문에 각 대학이 만든 동문 주소록이 보이스피싱 등 범죄에 악용될 우려가 있어 각별한 대비책이 필요하다고 입을 모으고 있다.