▲이미지=클립아트코리아

[노동법률] 박정택 김앤장 법률사무소 변호사

앞서 2023년 1월 31일 고용노동부와 함께 발표한 개인정보 보호 가이드라인(인사·노무 편)의 내용을 소개한 바 있다. 이번에는 정보주체의 권리 강화, 개인정보 처리 관련 규정 통합 정비, 형벌에서 경제제재 중심으로의 전환 등을 주요 골자로 해 2023. 9. 15. 시행 예정인 개정 개인정보 보호법과 관련해 개인정보보호위원회는 2023. 5. 19. 동법 시행령의 개정안(이하 '시행령 개정안')을 입법예고했는데 그 내용을 소개하기로 한다.   

본 시행령 개정안은 ①정보주체의 자기결정권을 실질적으로 보장하기 위해 동의 여부를 선택할 수 있도록 동의의 원칙을 개선하고, ②온라인과 오프라인으로 구분해 달리 규율하고 있는 현행 개인정보 보호법의 여러 규정을 디지털 시대로의 전환 및 글로벌 스탠다드에 맞게 일원화하며, ③공공부문에서 계속되는 개인정보 침해사고 예방을 위한 안전조치 강화 등을 주요 내용으로 하고 있다.

본 시행령 개정안은 40일의 입법예고 기간(2023. 5. 19.부터 2023. 6. 28.까지)을 거쳐 의견 수렴을 한 후 개정 개인정보보호법과 마찬가지로 2023. 9. 15. 시행될 예정이다. 참고로 개인정보 보호법 개정 사항 중 2024. 3. 15. 시행 예정인 ①개인정보 전송요구권, ②자동화된 결정에 대한 정보주체의 권리, ③공공기관 개인정보 보호 수준 평가 등에 대한 시행령 개정안은 올해 하반기 중 추가로 입법 예고될 예정이다.  

본 시행령 개정안에서 다루고 있는 이슈별 주요 내용은 아래와 같다.

 

구분	주요 내용
개인정보 처리 요건	(동의를 받는 방법) 적법한 동의의 요건으로 (i)정보주체의 자유로운 의사에 따른 동의일 것, (ii)동의의 내용이 구체적이고 명확할 것, (iii)동의 문구가 평이하고 이해하기 쉬울 것, (ⅳ)정보주체에게 동의 여부에 대한 의사를 명확하게 표시할 수 있는 방법을 제공할 것 등을 명시
이동형 영상정보처리기기	(이동형 영상정보처리기기의 정의) 이동형 영상정보처리기기를 (i)안경, 시계 등 사람의 신체, 의복에 착용하는 장치(착용형 장치), (ⅱ)휴대전화기, 디지털카메라 등 사람이 손쉽게 휴대할 수 있는 장치(휴대형 장치), (ⅲ)차량, 무인항공기 등 이동 가능한 물체에 고정적으로 부착 또는 거치하는 장치(부착ㆍ거치형 장치) 등으로 분류 (촬영 사실 표시 방법) 이동형 영상정보처리기기 활용 시 불빛, 소리, 안내판, 서면, 안내 방송 또는 그 밖에 이에 준하는 수단으로 촬영 사실을 표시하고 알리도록 하되 촬영 방법의 특성상 촬영 사실을 표시하고 알리기 어려운 경우(예 : 드론) 홈페이지 공지 등 개인정보보호위원회가 고시하는 방법으로 알릴 수 있도록 규정
개인정보의 국외 이전 제한	(개인정보 보호 수준 인정) 국가ㆍ국제기구에 대한 개인정보 보호 수준을 인정할 때 고려해야 하는 사항 및 절차(국외이전전문위원회의 심의, 정책협의회를 통한 관계부처 의견 수렴) 규정 (중지 명령의 기준) (i)국외 이전됐거나 추가 이전이 예상되는 개인정보의 유형 및 규모, (ⅱ)관계 규정 위반의 중대성 정도, (ⅲ)피해가 중대하거나 회복하기 어려운지 여부, (ⅳ)명백히 정보주체에게 이익이 되는지 여부 등을 종합적으로 고려한다고 규정
개인정보처리방침 평가제	(평가 대상) 평가 대상자는 (i)개인정보처리자의 유형 및 매출액 규모, (ⅱ)민감정보 및 고유식별정보 등 처리하는 개인정보의 유형 및 규모, (ⅲ)개인정보 처리의 근거 및 형태ㆍ방식, (ⅳ)개인정보 보호 법령 위반행위 발생 여부, (ⅴ)아동ㆍ청소년 등 정보주체의 특성 등을 고려해 선정 (평가기준) 평가기준으로는 (i)개인정보 처리 방침에 법정 사항을 모두 포함했는지, (ⅱ)이해하기 쉬운 언어로 작성했는지, (ⅲ)개인정보 처리 방침에 대한 접근성을 확보해 쉽게 확인할 수 있는지 등의 사항을 제시
온ㆍ오프라인 규제 일원화	(개인정보 이용ㆍ제공 내역 통지) 전년도 말 기준 직전 3개월간 일일 평균 기준 (i)5만 명 이상의 정보 주체에 관한 민감정보 또는 고유식별정보 처리 시, 또는 (ⅱ)100만 명 이상의 정보 주체에 관한 개인정보 처리 시 주기적으로 이용ㆍ제공 내역을 통지하도록 규정 (국내 대리인 지정 대상자 범위) 국내 대리인 지정 대상자 범위를 (i)전 사업연도 전체 매출액 1조 원 이상, 또는 (ⅱ)전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 국내 정보주체의 수 일일 평균 100만 명 이상, 또는 (ⅲ)자료 제출을 요구받은 자로서 국내대리인을 지정할 필요가 있다고 개인정보보호위원회가 심의ㆍ의결한 경우로 명시 (개인정보 유출 통지ㆍ신고) 개인정보 유출 시 그 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지하도록 규정하고, (i)1000명 이상의 정보 주체에 관한 개인정보 유출 시, (ⅱ)민감정보 또는 고유식별정보 유출 시, 또는 (ⅲ)외부로부터의 불법 접근에 의한 개인정보 유출 시 72시간 내에 관계기관에 신고하도록 규정
개인정보 분쟁조정제도	(분쟁조정의 예외 사유) 개인정보처리자가 분쟁조정에 응하지 않을 수 있는 예외 사유로 (i)분쟁조정 신청 이전에 소가 제기된 경우, (ⅱ)분쟁조정이 확정판결 등의 방법으로 이미 종결된 경우, (ⅲ)분쟁조정위원회에서 심의ㆍ결정ㆍ종결 처리한 사건을 다시 조정 신청한 경우 등을 명시 (분쟁조정 관련 자료조사ㆍ열람 사전고지) 분쟁조정위원회는 자료조사ㆍ열람 시 원칙적으로 그 7일 전까지 조사ㆍ열람의 목적, 기간과 장소, 범위와 내용 등 일정한 사항을 문서로 고지하도록 규정
과징금 부과 세부기준 및 절차	(위반행위와 관련 없는 매출액 산정기준) (i)명백히 개인정보의 처리와 관련이 없는 재화 또는 서비스의 매출액, 또는 (ⅱ)위반행위로 인해 직ㆍ간접적으로 영향을 받는 재화 또는 서비스의 매출액이 아니라는 입증자료를 제출한 경우로서 보호위원회가 인정하는 매출액 등은 위반행위와 관련 없는 매출액으로서 과징금 산정기준에서 제외될 수 있음을 명시 (과징금 부과 예외 사유) 위반행위를 시정하고 개인정보보호위원회가 고시하는 기준에 해당되는 경우에는 과징금을 부과하지 아니할 수 있도록 규정 (과징금 기준금액 산정 시 위반행위의 중대성 분류) (i)매우 중대한 위반행위, (ⅱ)중대한 위반행위, (ⅲ)보통 위반행위에 더해, (ⅳ)약한 위반행위를 추가해 총 네 개의 구간으로 분류
과태료 부과 세부기준 및 절차	(과태료 감경 또는 면제 사유 추가) 과태료 감경 또는 면제 사유로 (i)피해 회복및 피해 확산 방지 조치를 이행한 경우, (ⅱ)개인정보 보호 인증 획득, 자율적인 보호 활동 등 개인정보 보호 노력이 인정되는 경우, (ⅲ)자진신고한 경우 등을 추가

개정 개인정보보호법은 개인정보 보호 및 활용과 관련된 기업의 의무와 책임에 영향을 줄 수 있는 사항들을 규율하고 있으며 그 구체적인 내용은 시행령과 개인정보보호위원회의 고시 등을 통해 규정될 것이다. 따라서 이번 시행령 개정안을 포함해 향후 개정법의 내용이 구체화되는 과정을 계속해서 주목할 필요가 있다.  특히 기업의 인사 담당자로서는 현재 직원들의 개인정보와 관련해서 회사의 개인 동의가 개정법에 맞게 적정하게 이루어지고 있는지, 개인정보처리지침은 업데이트가 필요하지 않은지, 직원들의 개인정보가 국외로 이전되는 경우가 있는지, 만약 있다면 그 이전이 개정법에 맞게 되고 있는지에 대해 하나하나 모두 점검할 필요가 있다.