오는 9월부터 기업과 공공기관의 개인정보 보호 책임이 대폭 강화된다. 개인정보보호위원회는 30일, 오는 9월 11일 시행되는 ‘개인정보 보호법’ 개정 내용을 공개하며 개인정보 유출 대응 체계와 책임 구조가 근본적으로 바뀐다고 밝혔다. 이번 개정의 핵심은 △개인정보 유출 가능성 단계에서도 이용자에게 신속히 알리는 ‘유출 가능성 통지제’ 도입 △기업·기관 대표자(CEO)의 개인정보 처리·보호 총괄 관리의무 신설 △마이데이터 제도 전 분야 확대 △공공기관 가명정보 제공 절차 표준화 등이다.
먼저 개인정보 유출 통지 의무가 사고 초기 단계까지 확대된다. 기존 제도는 개인정보처리자가 실제 유출 사실을 확인한 경우에만 정보주체에게 통지하도록 규정해, 사고 발생 직후에는 이용자가 적절한 대응을 하기 어려운 문제가 있었다. 앞으로는 분실·도난·위조·변조·훼손 등 유출 가능성을 인지한 단계에서도 즉시 관련 사실을 알려야 한다. 이를 통해 이용자는 피해를 입은 사이트의 비밀번호 변경, 계정 잠금, 추가 인증 설정, 금융거래 모니터링 등 필요한 조치를 보다 신속히 취할 수 있게 된다. 개인정보위는 “사고 초기부터 정보를 이용자에게 신속하게 제공해 2차 피해를 줄이고 이용자의 불안을 최소화할 수 있을 것”이라고 설명했다.
기업·기관의 책임 구조도 크게 달라진다. 그동안 개인정보 보호책임자(CPO)가 실무 중심으로 개인정보 처리 업무를 총괄해 왔지만, 개정법은 대표자에게 최종 책임을 부여한다. CEO는 개인정보 보호를 위한 예산 확보, 전문 인력 배치, 안전관리 체계 구축 등 전사적 관리 조치를 직접 총괄해야 한다. 이는 반복되는 대규모 유출 사고 속에서 실무자 중심의 책임 구조만으로는 충분한 보안 투자를 끌어내기 어렵다는 문제의식이 반영된 조치다. 개인정보위는 “개인정보 보호를 단순한 규제 준수나 비용 문제가 아니라 기업 신뢰와 지속 가능한 성장을 좌우하는 경영 의제로 전환하겠다”고 강조했다.
국민이 자신의 정보를 직접 내려받아 활용할 수 있는 마이데이터 제도도 확대된다. 오는 8월 20일부터 본인전송요구권이 의료·통신 등 일부 분야에서 전 분야로 확대 시행된다. 일정 규모 이상의 개인정보처리자와 공공시스템 운영기관은 정보주체가 요청할 경우 개인정보를 전송해야 하며, 이용자는 이를 직접 관리하거나 데이터 기반 서비스 기업에 제공해 맞춤형 서비스를 받을 수 있다. 다만 평균 매출액·정보주체 수 기준을 충족하는 일부 사업자는 내년 2월 20일부터 제도가 적용된다. 개인정보위는 “국민이 자신의 정보를 보다 쉽게 관리·활용할 수 있는 마이데이터 생태계가 본격적으로 구축될 것”이라고 전망했다.
공공데이터 활용 절차도 정비된다. 산업계에서는 인공지능(AI) 개발이나 연구 목적으로 공공기관의 개인정보 포함 데이터를 활용하려는 수요가 지속해서 증가하고, 요구가 이어졌다. 하지만 기관마다 신청 창구와 처리 절차가 달라 제공까지 시간이 오래 걸린다는 지적도 되풀이됐다. 이에 따라 오는 9월 26일부터 공공기관 가명정보 제공 거버넌스가 마련된다. 각 기관에 가명정보책임관을 지정하고, 신청 접수·가명처리·적정성 검토 등 절차를 표준화해 신청 후 14일 이내, 최대 28일 이내에 제공 가능 여부를 확인할 수 있도록 한다. 이를 통해 통계 작성, 과학적 연구, 보건·의료 연구, 시장 조사 등 다양한 분야에서 공공데이터 활용 속도가 크게 높아질 것으로 기대된다.
이번 개인정보 보호법 개정은 △기업의 책임 강화 △이용자 보호 조치의 신속성 확보 △데이터 활용 생태계 확장 등 세 가지 축을 중심으로 이뤄졌다. 개인정보위 관계자는 “개인정보 보호와 데이터 활용이 균형을 이루는 환경을 조성해 국민의 신뢰를 높이고 데이터 기반 산업 발전을 지원하겠다”고 밝혔다.
