[서울=뉴시스]윤정민 기자 = 오는 9월부터 기업·기관이 개인정보 유출을 최종 확인하지 않았더라도 유출 가능성을 알게 되면 이용자에게 관련 사실을 알려야 한다. 또 기업·기관 대표자에게 개인정보 처리·보호에 대한 총괄 관리의무도 부여된다. 개인정보 보호 책임이 실무 담당자 중심에서 최고경영진까지 확대되는 것이다.

30일 개인정보보호위원회에 따르면 오는 9월 11일 '개인정보 보호법' 개정 시행에 따라 개인정보 유출 가능성 통지제와 최고경영자(CEO)의 개인정보 처리·보호 총괄 관리의무가 도입된다.

현행 개인정보 보호법은 개인정보처리자가 개인정보 유출 등을 알게 된 경우 정보주체에게 알리도록 하고 있다. 하지만 실제 유출 여부가 최종 확인되기 전 사고 초기 단계에서는 이용자에게 알릴 의무가 명확하지 않아 신속한 대응에 한계가 있다는 지적이 있었다.

앞으로는 개인정보처리자가 개인정보가 분실·도난·유출·위조·변조·훼손됐을 가능성을 알게 된 경우에도 정보주체에게 관련 사실과 피해 최소화를 위한 정보 등을 통지해야 한다. 유출 사고 초기부터 비밀번호 변경, 추가 인증 설정, 보이스피싱·스미싱 주의 등 이용자 대응 시간을 앞당기겠다는 취지다.

법 개정으로 기업·기관 대표자 책임도 강화된다. 개인정보처리자의 사업주 또는 대표자에게 개인정보 처리·보호에 대한 최종책임자로서 총괄 관리의무가 부여된다.

기존에는 개인정보 보호책임자(CPO)가 개인정보 처리 업무를 총괄하는 구조였다. 하지만 앞으로는 최고경영자(CEO) 등 대표자가 예산·인력 확보 등 개인정보 보호를 위한 관리 조치를 총괄해야 한다.

개인정보위는 이를 통해 개인정보 보호를 단순한 규제 준수나 비용 문제가 아니라 기업 신뢰와 지속 가능한 성장을 좌우하는 경영 의제로 전환하겠다는 방침이다. 잇따른 대규모 개인정보 유출 사고 이후 CPO 개인 책임만으로는 전사적 보안 투자를 끌어내기 어렵다는 문제의식이 반영된 것으로 풀이된다.

국민이 자신의 개인정보를 직접 내려받아 활용할 수 있도록 하는 마이데이터 제도도 확대된다. 마이데이터는 여러 기관과 기업에 흩어진 본인 정보를 정보주체가 직접 받아 관리하거나 원하는 서비스에 활용할 수 있도록 하는 제도다.

이와 관련해 오는 8월 20일부터 본인전송요구권이 전 분야로 확대 시행된다. 그동안 본인대상정보전송자는 의료·통신 분야 개인정보처리자 중심이었다. 하지만 앞으로는 분야와 관계없이 일정 규모를 갖춘 개인정보처리자로 확대된다. 평균 매출액 등이 1800억원을 초과하면서 100만명 이상의 개인정보 또는 5만명 이상의 민감·고유식별정보를 처리하는 사업자 등이 대상이다. 다만 평균 매출액·정보주체 수 기준에 따른 전송자 적용은 내년 2월 20일부터 시행된다.

공공기관이 보유한 데이터를 가명처리해 제공받는 절차도 정비된다. 개인정보가 포함된 공공데이터를 AI 개발이나 연구에 활용하려는 수요는 커지고 있지만 기관마다 신청 창구와 처리 절차가 달라 실제 제공까지 시간이 오래 걸린다는 지적이 있었기 때문이다.

오는 9월 26일부터 공공기관 가명정보 제공 거버넌스가 마련된다. 공공기관별 가명정보책임관을 지정하고 가명정보 제공 신청 접수와 가명처리, 적정성 검토 등 절차를 표준화하는 내용이다.

이를 통해 일반 국민, 기업, 연구자 등은 통계 작성, 과학적 연구, 공익적 기록 보존 등의 목적으로 공공기관이 보유한 데이터를 가명처리해 제공받을 수 있다. 가명정보 제공 신청 후 14일 이내, 최대 28일 이내에 제공 가능 여부를 확인할 수 있도록 해 공공데이터 활용 속도를 높인다는 계획이다.

개인정보위는 공공기관 가명정보 제공 체계가 정립되면 개인정보가 포함된 공공데이터 활용이 활성화되고 인공지능(AI) 개발, 보건·의료 연구, 시장 조사와 예측 등 데이터 기반 산업에도 도움이 될 것으로 기대하고 있다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지