▲사진=클립아트코리아

[노동법률] 박정택ㆍ정동주 김앤장 법률사무소 변호사

1. 들어가며

최근 개인정보 보호에 관한 관심이 증가하면서 기업들의 개인정보 처리 투명성에 관한 요구 수준도 함께 높아지고 있다. 이에 따라 개정 개인정보 보호법(2023. 9. 15. 시행, 이하 법)에서는 개인정보 처리방침 평가제(이하 처리방침 평가제)를 도입했으며, 개인정보보호위원회(이하 보호위원회)는 금년 상반기 내로 처리방침 평가 대상을 선정하고 평가 계획을 수립·공개할 예정이다.

보호위원회는 2024. 4. 30. 처리방침 평가제의 본격적인 시행을 앞두고 법 개정 사항을 반영한 '개인정보 처리방침 작성지침' 개정본(이하 본 작성지침)을 공개했다. 구체적인 처리방침 평가 기준은 향후 평가계획을 통해 공개될 예정이나, 본 작성지침은 기업들이 처리방침 평가제의 시행에 대비해 처리방침을 미리 점검하여 보는 데 중요한 참고가 될 것으로 보인다.

특히 많은 기업들이 실무적으로 고객에 대한 정보뿐 아니라 직원에 대한 개인정보를 다수 취급하는 경우가 많다. 이 경우 각 기업의 인사담당자가 개인정보 보호 책임자를 맡고 있는 경우가 많은데, 이때 개정본의 내용을 숙지하는 것은 중요하다고 할 것이다.

따라서 이하에서는 처리방침 평가제의 구체적 내용을 소개하고, 본 작성지침에 따라 유의해서 점검해 봐야 할 주요 개정 사항을 살펴보고자 한다.

2. 개인정보 처리방침 평가제의 시행

개정법에서는 개인정보 처리방침의 ①적정성, ②가독성, ③접근성을 평가해 개인정보 처리의 투명성을 높일 수 있도록 처리방침 평가제를 도입했다.

처리방침 평가제는 개인정보처리자가 수립하여 공개하고 있는 처리방침이 ①개인정보 보호 법령에 따라 포함돼야 할 사항을 적정하게 정하고 있는지, ②알기 쉽게 작성됐는지, ③정보주체 누구나 쉽게 확인할 수 있는 방법으로 공개하고 있는지를 평가하고, 보호위원회가 개선을 권고할 수 있도록 하는 제도다.

보호위원회는 2024. 2. 20. 처리방침 평가제의 본격 시행을 위해 처리방침 평가 대상 선정 기준과 평가 절차 등을 구체화한 '개인정보 처리방침 평가에 관한 고시'(이하 고시)를 마련했다. 고시에 의하면 보호위원회는 매년 평가 시작일을 기준으로 14일 전까지 평가 대상이 포함된 평가 계획을 심의·의결해 공개해야 한다(고시 제3조).

보호위원회는 다음과 같은 세부 기준을 종합적으로 고려해 처리방침 평가 대상을 선정하며, 필요한 경우 평가 대상을 선정하기 전에 개인정보처리자에게 평가 대상 해당 여부에 대한 확인을 요청할 수 있다(고시 제4조).
 

개인정보 처리방침 평가 대상 선정 세부 기준 ① 전년도 매출액이 1500억 원 이상이면서 전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 정보주체의 수가 일일평균 100만 명 이상일 것 ② 전년도 말 기준 직전 3개월간 민감정보ㆍ고유식별정보가 저장ㆍ관리되고 있는 정보주체의 수가 일일평균 5만 명 이상일 것 ③ 처리방침에 정보주체의 동의 없이 처리할 수 있는 개인정보의 항목ㆍ법적 근거를 동의를 받아 처리하는 개인정보와 구분하고 있지 않을 것 ④ 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템 포함)으로 개인정보를 처리하거나, 그 밖에 새로운 기술을 이용한 개인정보 처리 방식으로 인해 개인정보 침해 우려가 있을 것 ⑤ 최근 3년간 개인정보 유출 등이 2회 이상 됐거나, 보호위로부터 과징금 또는 과태료 처분을 받았을 것 ⑥ 9세 미만 아동 또는 청소년을 주된 이용자로 한 정보통신서비스를 운영할 것

보호위원회는 처리방침 평가를 위해 처리방침 평가위원회를 구성·운영할 수 있으며, 평가위원회는 20명 이상 50명 이내의 외부 전문가로 구성된다(고시 제6조). 개인정보 처리방침 평가 결과는 지체 없이 개인정보처리자에게 통보되며, 개인정보처리자는 평가 결과에 이의가 있는 경우 20일 이내에 이의신청을 할 수 있다(고시 제7조).

보호위원회는 처리방침 평가 결과 개선이 필요한 경우 개선권고는 물론, 개선 권고의 내용 및 결과에 대해 공표하거나 개선 권고를 받았다는 사실을 공표할 것을 명할 수 있다. 처리방침 평가 결과 우수한 등급을 받은 개인정보처리자에 대해서는 최대 30%의 범위 내에서 과징금의 추가적 감경, 10% 범위 내에서 과태료 감경이 가능하며 우수사례에 대한 포상 및 홍보 등을 지원할 수 있다(고시 제8조).

3. 본 작성지침의 주요 개정사항 

본 작성지침에 따라 개인정보처리자가 유의해 살펴봐야 할 주요 개정사항은 다음과 같다. 

가. 개인정보 처리방침 작성방법 

⑴ 개인정보 처리의 법적 근거

개인정보처리자는 정보주체의 동의 없이 처리하는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 동의받아 수집하는 정보와 구분해 기재해야 한다. 법 제15조 제1항 제2호(법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위해 불가피한 경우)에 따라 동의 없이 처리하는 개인정보에 대해서는 그 근거가 되는 다른 법령도 기재해야 하며, 그 법령명 외에 해당하는 조문까지 구체적으로 작성해야 한다. 

⑵ 개인정보의 국외 수집 및 이전에 관한 사항

개인정보처리자가 개인정보를 국외에서 직접 수집(예 : 해외 사업자가 해외 서버에서 국내 정보주체로부터 개인정보를 직접 수집)해 처리하는 경우에는 해당 사실과 그 국가명을 기재해야 하고, 개인정보를 국외로 이전(제공, 처리위탁, 보관)하는 경우에는 법 제28조의8 제1항에 따른 국외 이전의 법적 근거와 법 제28조의8 제2항 각호에 따른 법정 고지사항을 기재해야 한다.

⑶ 합리적 범위 내의 추가적인 이용ㆍ제공에 관한 사항

당초 수집 목적과 합리적으로 관련된 범위에서 정보주체의 동의 없이 개인정보를 추가적으로 이용 또는 제공하는 것이 지속적으로 발생하는 경우에는 관련 내용을 추가적인 이용 및 제공의 판단기준과 함께 구체적으로 기재해야 한다.

⑷ 행태정보의 수집, 이용 및 거부에 관한 사항 

개인정보처리자가 개인정보 자동 수집 장치를 통해 행태정보를 수집하고, 정보주체를 식별해 행태정보를 처리하는 경우, 그 수집·이용·제공 및 거부 등에 대해 기재해야 한다. 한편, 개인정보처리자가 운영하는 웹·앱에서 제3자가 개인정보 자동 수집 장치를 통해 행태정보를 수집하도록 허용하는 경우에는 수집해가는 행태정보에 관한 사항을 기재할 것이 권장된다.

⑸ 개인정보 처리방침 공개방법 

개인정보 처리방침의 게재 시에는 반드시 '개인정보 처리방침'이라는 명칭을 사용해야 하고, 인터넷 홈페이지뿐 아니라 모바일 앱에서 공개하는 경우에도 앱 첫 화면 또는 메뉴에서 정보주체가 한 번에 쉽게 접근할 수 있는 영역에 공개해야 한다. 

4. 결론

처리방침 평가제는 올해 최초로 시행되는 제도인 만큼 평가제 선정 대상, 평가 기준, 파급 효과 등에 대한 많은 관심이 집중되고 있다. 처리방침 평가 결과는 기업들의 개인정보 처리 수준에 대한 중요한 판단 지표로 작용할 수 있다는 점을 유념해야 한다.

처리방침 평가는 연 1회 또는 2회 정기적으로 시행될 예정이므로, 기업들은 금년 상반기 중 발표될 평가계획을 주의 깊게 살펴보고 기업에서 수립해 공개하고 있는 개인정보 처리방침이 개인정보 보호 법령과 본 작성지침에 따라 작성됐는지 미리 점검해 볼 필요가 있다.