「개인정보 보호법」 개정(2023.3.14. 공포)의 후속 조치로 「개인정보 보호법 시행령」 2차 개정안이 2024.3.15. 시행되었습니다(이하, 2차 개정 시행령). 이는 개정 「개인정보 보호법」(이하, 개정 개인정보법) 중 공포 후 1년이 경과한 날부터 시행되는 일부 조항의 세부사항을 정한 것입니다(
지난 2023.9.15. 시행된 1차 개정 시행령 바로가기 → ).
'제2차 개정 시행령'은 인공지능의 등장 및 확산에 대응하여 신설된 자동화된 결정에 대한 정보주체의 권리를 구체화하였습니다. 그 외에도 개인정보 보호책임자의 자격요건 및 독립성 구체화, 개인정보 처리방침 기재사항 추가, 손해배상책임의 이행을 위한 보험·공제 가입 등 기준 완화, 고유식별정보 관리실태 정기조사 주기 조정 등에 관한 세부사항을 담고 있습니다(
개인정보 보호위원회의 2024.3.6.자 보도자료 바로가기 → ). 단, 아직 시행일이 정해지지 않은 개인정보 전송 요구권(개정 개인정보법 제35조의2)에 대한 내용은 포함되지 않았습니다.
이에 법무법인(유) 광장 개인정보 및 정보보호 그룹에서는 아래와 같이 ‘2차 개정 시행령’의 주요 내용을 알려드립니다.
1. 인공지능 등 자동화된 결정에 대한 정보주체의 권리(영 제44조의2 내지 제44조의4)
‘개정 개인정보법’에 신설된 자동화된 결정에 대한 정보주체의 권리에 의하면(
개정 개인정보법 제37조의2 바로가기 → ), 사람의 개입 없이 인공지능 등을 이용하여 이루어지는 ‘완전히 자동화된 결정’ 과정에서 정보주체는 해당 결정에 대한 설명 또는 검토 요구를 할 수 있고, 정보주체의 권리∙의무에 중대한 영향을 미치는 경우에는 거부할 수 있습니다. 이에 관한 사항들이 ‘2차 개정 시행령’에 구체화되었습니다. 상세내용은 다음과 같습니다.
■ '자동화된 결정'
‘자동화된 결정’은 (i) 사람의 개입 없이 완전히 자동화된 시스템으로, 개인정보를 분석하는 등 처리하는 과정을 거쳐, (ii) 개인정보처리자가 정보주체의 권리 또는 의무에 영향을 미치는 최종적인 결정을 한 경우를 말합니다.
개인정보보호위원회는 ‘완전히 자동화된 시스템’과 ‘최종적인 결정’에 대하여 다음과 같은 기준과 사례를 제시하였습니다.
■ 정보주체의 요구 절차 및 방법
▷ 개인정보처리자는 자동화된 결정에 대한 정보주체의 권리 행사 절차ㆍ방법을 마련하여야 합니다. 그 방법ㆍ절차는 열람 등 요구 방법ㆍ절차에 준하여야 하고, 개인정보의 수집 방법ㆍ절차에 비해 어렵지 않게 하여야 합니다.
■ 자동화된 결정의 기준 등 공개 의무
▷ 개인정보처리자는 자동화된 결정 사실과 목적 및 대상 정보주체의 범위, 사용되는 주요 개인정보의 유형과 자동화된 결정의 관계, 고려사항 및 주요 개인정보가 처리되는 절차 등을 인터넷 홈페이지 등을 통하여 공개하여야 합니다. 단, 지속적으로 알릴 필요가 없을 때에는 서면 등의 방법으로 고지할 수 있습니다.
■ 정보주체의 권리 행사에 대한 개인정보처리자의 조치 의무
▷ (자동화된 결정 거부) 정보주체가 자동화된 결정이 생명ㆍ신체ㆍ재산 등 자신의 권리 또는 의무에 중대한 영향을 미치는 경우에 해당하여 이를 거부하는 경우, 개인정보처리자는 정당한 사유가 없는 한 (i) 해당 결정을 적용하지 않는 조치를 하거나, (ii) 정보주체가 인적 개입에 의한 재처리를 요구한 경우에는 조치한 후 그 결과를 알려야 합니다. 여기에서 ‘정당한 사유’란 다른 사람의 생명ㆍ신체ㆍ재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 등의 정당한 사유를 말합니다.
▷ (설명 요구) 정보주체의 설명 요구 시 개인정보처리자는 해당 결정의 결과, 해당 결정에 사용된 주요 개인정보의 유형 및 영향 등을 포함하여, 간결하고 의미 있는 설명을 이해하기 쉽게 제공하여야 합니다. 단, 정보주체의 권리ㆍ의무에 중대한 영향을 미치는 경우가 아닌 때에는 자동화된 결정의 기준만을 알리는 방법으로 갈음할 수 있습니다.
▷ (이의제기) 개인정보처리자가 정보주체의 위와 같은 거부ㆍ설명 등의 요구를 거절할 경우, 정보주체가 이에 대하여 이의를 제기할 수 있도록 필요한 절차를 마련하고 안내하여야 합니다(개정 개인정보법 제38조 제5항). 이에 따라 정보주체가 이의를 제기할 시, 개인정보처리자는 이의 제기한 내용을 고려하여 필요한 조치 후 정보주체에게 그 결과를 알려야 합니다.
▷ (조치 기간) 위의 조치들은 원칙적으로 정보주체의 요구를 받은 날로부터 30일 이내에 취해져야 하며, 정당한 사유가 있을 경우 그 기간을 60일 이내 범위에서 연장 가능합니다.
위의 내용 외에 시행을 위한 세부 범위, 내용, 기준 등은 시행령의 위임을 받은 고시에서 구체화될 예정입니다.
2. 개인정보 보호책임자 지정(영 제32조, 제32조의2, 별표1)
‘개정 개인정보법’은 개인정보 보호책임자의 업무 수행에 관하여 독립성을 보장하는 조항을 신설하였으며(개정 개인정보법 제31조 제6항), 개인정보 보호책임자의 ‘자격요건’을 시행령에 위임하였습니다(개정 개인정보법 제31조 제9항).‘제2차 개정 시행령’은 이러한 ‘개정 개인정보법’의 내용을 다음과 같이 구체화하고 있습니다.
우선, 개인정보 보호책임자의 독립성 강화를 위한 개인정보처리자의 준수사항을 다음과 같이 구체화하였습니다.
■ 개인정보 처리와 관련된 정보에 대한 개인정보 보호책임자의 접근 보장
■ 개인정보 보호책임자가 대표자 또는 이사회에 직접 보고할 수 있는 정기 보고 체계 구축
■ 개인정보 보호책임자의 업무 수행을 위한 조직체계의 마련 및 인적ㆍ물적 자원 제공
다음으로, 개인정보 보호책임자의 구체적 ‘자격요건’을 강화하였습니다. 개정 전 시행령에서 개인정보 보호책임의 지정 요건은 ‘사업주, 대표자 또는 임원(임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장)’뿐이었습니다. 그러나 ‘2차 개정 시행령’은 일정한 개인정보처리자(예: 연매출액 또는 연수입이 1,500억 원 이상이면서 (i) 5만 명 이상의 정보주체에 관한 민감정보 또는 고유식별정보, 또는 (ii) 100만 명 이상의 정보주체에 관한 개인정보를 처리하는 자)에 대하여는 ‘개인정보, 정보보호, 정보기술 경력을 합하여 총 4년 이상 보유하고, 그중 개인정보 보호 경력을 최소 2년 이상 보유’한 자를 개인정보 보호책임자로 지정할 것을 요구하고 있으며, 구체적인 경력 인정 기준까지 제시하고 있습니다. (
바로가기 → )
이로 인하여 앞으로 개인정보 보호책임자 선임에 있어 이러한 경력이 확보되도록 유의하실 필요가 있겠습니다. 다만, ‘2차 개정 시행령’의 시행 당시 위 자격요건을 갖추지 못한 개인정보 보호책임자가 선임되어 있는 경우 2년 이내(2026.3.14. 까지)에 자격요건을 갖추도록 하는 경과조치 규정이 마련되어 있어 해당 기간 동안 점진적인 대비가 가능할 것으로 보입니다(2차 개정 시행령 부칙 제2조).
한편, ‘개정 개인정보법’에서는 개인정보처리자가 개인정보의 안전한 처리 및 보호, 정보의 교류, 공동의 사업을 위하여 개인정보 보호책임자를 구성원으로 하는 협의회를 구성ㆍ운영할 수 있도록 관련 규정을 신설하였는데(개정 개인정보법 제31조 제7항), ‘2차 개정 시행령’에서는 이와 관련하여 개인정보 보호책임자 협의회가 목적으로 할 수 있는 공동의 사업 범위를 정책 조사, 침해사고 분석 및 대책 연구, 국내외 주요 동향 조사, 분석 등으로 구체화하였습니다(2차 개정 시행령 제32조의2).
3. 개인정보 처리방침의 내용 및 공개방법(영 제31조 제1항)
‘2차 개정 시행령’에서는 개인정보 처리방침에 기재되어야 하는 사항으로 다음의 내용을 추가하였습니다.
■ 국외에서 국내 정보주체의 개인정보를 수집하여 처리하는 경우 처리 국가명
■ 국외 이전 시 이전의 법적 근거 및 법정 고지 사항
4. 손해배상의 보장(영 제48조의7)
정보주체에 대한 손해배상책임을 이행할 수 있도록 보험가입, 준비금 적립 등의 의무를 이행해야 하는 대상이 온라인 사업자인 정보통신서비스 제공자에서 오프라인ㆍ공공부문을 포함하는 전체 개인정보처리자로 변경됨(개정 개인정보법 제39조의7)에 따라 ‘2차 개정 시행령’에서는 의무대상자의 기준을 합리적으로 조정하고 의무면제 기준을 규정하였습니다. 특히, 정보통신서비스 제공자를 대상으로 하던 기존 법령에서는 이용자 1천 명 이상, 매출액 5천만 원 이상인 경우에만 위 조치를 의무화하였는데, ‘2차 개정 시행령’은 이 기준을 정보주체 1만 명 이상, 매출액 10억 원 이상으로 조정하였습니다. 그리고 공공기관, 공익법인 및 비영리 민간단체, 책임보험에 가입한 전문수탁자에게 업무를 위탁한 소상공인은 그러한 조치 의무의 면제 대상으로 명시되었습니다.
5. 고유식별정보 관리실태 정기조사(영 제21조)
보호위원회가 5만 명 이상의 정보주체에 관하여 고유식별정보를 처리하는 자 등에 대하여 기존에 2년마다 실시하던 고유식별정보 관리실태 정기조사의 기간을 3년으로 조정하였습니다. 그리고 중복조사로 인한 부담을 방지하기 위하여 ‘개인정보보호 수준 평가’ 및 ‘개인정보보호 인증(ISMS-P)’ 대상이거나 다른 법률에 따라 정기적인 점검이 이루어지는 경우로서 관계 중앙행정기관의 장의 요청에 따라 보호위원회가 인정한 경우에는 정기조사를 실시한 것으로 갈음할 수 있도록 하였습니다.
이외에도 개인정보보호위원회는 ‘2차 개정 시행령’에서 개정ㆍ신설된 사항을 중심으로 세부적인 기준 및 사례 등을 담은 안내서 초안을 시행령 개정에 앞서 공개하였고(
바로가기 → ), 이어서 진행되는 설명회 등을 통해 현장의 의견을 반영하여 추가할 예정이라고 하므로, 해당 안내서 초안 및 설명회 등에서 공개되는 내용을 참고하여 주시기 바랍니다.
저희 법무법인(유) 광장은 국내 최대 규모의 개인정보보호 및 정보보안 전문가들로 구성된 개인정보 및 정보보호 그룹을 구성하여 기업의 개인정보와 관련한 자문, 법적 조사 대응, 소송 등의 법률 서비스를 제공하고 있습니다. 개정 「개인정보보호법」 및 개정 시행령과 관련하여 자문이 필요하신 경우, 언제든지 법무법인(유) 광장 개인정보 및 정보보호 그룹에 문의하여 주시기 바랍니다.
「개인정보보호법」의 주요 개정 내용 및 시행령 1차 개정에 관하여는 아래 뉴스레터를 참고하시기 바랍니다.
「개인정보보호법」 제2차 전면개정안 국회통과(1) ( 바로가기 → )
「개인정보보호법」 제2차 전면개정안 국회통과(2) ( 바로가기 → )
「개인정보보호법」 제2차 전면개정안 국회통과(3) ( 바로가기 → )
「개인정보보호법」 시행령 개정 ( 바로가기 → )