개인정보위, 인터넷망 일률 차단제도 개선 “위험기반 보호로 전환”

‘개인정보의 안전성 확보조치 기준’ 개정안 시행

개인정보보호위원회(위원장 송경희, 이하 개인정보위)가 ‘개인정보의 안전성 확보조치 기준’ 개정안을 10월 31일부터 시행했다. 이번 개정은 그동안 일률적으로 적용돼 온 인터넷망 차단조치 제도를 위험기반 보호체계로 전환하는 내용을 담고 있다.

이번 개정에는 ▲오픈마켓 판매자 등 플랫폼 이용자의 개인정보 보호 강화 ▲개인정보처리자 자율보호 체계 확립 ▲내부관리계획 수립 항목 확대 등 개인정보 관리 전반의 개선 사항도 포함됐다.

‘개인정보의 안전성 확보조치 기준’은 개인정보보호법 제29조를 근거로 개인정보보호위원회가 제정·시행하는 고시(행정규범)로, 개인정보처리자가 반드시 준수해야 할 기술적·관리적 보호조치의 세부 기준을 규정하고 있다.

‘일률 차단’ 대신 위험분석 기반으로…AI·클라우드 활용 길 열려

그동안 일평균 100만명 이상 개인정보를 저장·관리하는 개인정보처리자는 모든 개인정보취급용 컴퓨터에서 인터넷망을 차단해야 했다. 즉, 개인정보를 내려받거나 파기할 수 있는 시스템에 접속하는 모든 기기는 인터넷 연결이 불가능했다.

그러나 개정 이후에는 개별 기기의 위험성을 분석해 위험이 감지될 경우 보호조치를 취하거나, 위험하지 않은 경우 차단 대상에서 제외할 수 있다. 이는 개인정보를 처리하는 업무 환경이 인공지능(AI)·클라우드 기반으로 빠르게 변화하는 현실을 반영한 조치다.

다만, 접근권한을 설정할 수 있는 컴퓨터나 민감정보·암호화 대상 정보를 다운로드할 수 있는 컴퓨터 등 중요도가 높은 기기는 기존처럼 인터넷망 차단을 유지해야 한다. 개인정보위는 이를 통해 기존의 ‘망 분리 중심’ 조치에서 벗어나, 데이터 중요도와 위험 수준에 따라 유연한 보안체계를 마련하도록 유도했다고 밝혔다.

오픈마켓·플랫폼 사업자 책임 강화

이번 개정안은 오픈마켓 판매자 등 플랫폼을 이용해 개인정보를 처리하는 자의 보호조치를 강화하는 내용도 포함했다. 기존에는 플랫폼 사업자가 제공하는 인증수단 적용이나 접속기록 보관 의무의 범위에 입점 판매자 등 제3자 이용자가 포함되지 않아 관리 사각지대가 발생했다.

이에 따라, 앞으로는 접근권한 차등부여 대상이 기존 ‘개인정보취급자’에서 ‘업무수행자’로 확대되고, 인증 실패 시 접근 제한 대상도 ‘개인정보처리시스템에 접근하는 모든 자’로 확대되며, 외부 접속 시 안전한 인증수단을 적용해야 하는 대상도 ‘정당한 접근권한을 가진 모든 자(정보주체 제외)’로 변경됐다

접속기록 보관 대상 역시 ‘개인정보취급자’에서 ‘개인정보처리시스템에 접속한 모든 자(정보주체 제외)’로 확대됐다. 이로써 플랫폼을 통해 개인정보를 처리하는 소상공인과 입점 판매자도 보다 안전한 환경에서 업무를 수행할 수 있게 된다.

자율보호 중심의 내부관리체계 강화

기존 안전성 확보조치 기준은 접속기록 점검이나 다운로드 사유 확인 등 형식적인 절차 중심으로 운영된다는 지적이 있었다. 이에 따라 개정안은 개인정보처리자가 내부 관리계획을 수립하고 점검 주기·방법·사후조치 절차를 자율적으로 설정할 수 있도록 개선했다.

다만, 접속기록 보관 대상이 확대된 점을 고려해, 오픈마켓 판매자의 접속기록은 보관하되 점검 및 사후조치는 개인정보취급자에 한정해 실시할 수 있도록 했다

또한 출력·복사 시 안전조치(제12조) 및 개인정보 파기(제13조) 관련 내용이 내부관리계획 수립 항목으로 추가됐다. 이에 따라 개인정보처리자는 보다 체계적으로 보안 절차를 수립하고 운영해야 한다.

이번 개정안은 조항별로 시행 시기가 구분된다. 즉시 시행되는 항목은 제2조(정의), 제6조의2(인터넷망의 차단조치 등)이며, 내부 관리계획 수립·점검과 접근권한 관리, 접근통제, 접속기록 보관 및 점검 등에 관한 조항은 1년의 유예기간이 주어진다.

개인정보위는 이번 개정 내용을 포함해 지난 9월 발표한 ‘개인정보 안전관리체계 강화 방안’에서 제시한 암호화 확대 등 선제적 보호조치를 반영한 ‘개인정보의 안전성 확보조치 안내서’를 연내 발간할 예정이다. 또 관계자 대상 설명회와 교육을 통해 세부 지침을 안내할 계획이다.

양청삼 개인정보위 개인정보정책국장은 “이번 개정으로 개인정보처리자가 기술 환경 변화에 유연하게 대응하면서도 개인정보를 보다 안전하게 관리할 수 있게 됐다”며 “현장의 어려움을 세심히 살피고 실질적인 지원을 아끼지 않겠다”고 밝혔다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network