개인정보위, 하반기부터 고위험 개인정보 처리 분야 먼저 점검
개인정보보호위원회(이하 개인정보위)는 올 하반기부터 개인정보 침해 위험 수준에 따라 분야를 고·중·저 위험군으로 나누고 고위험 분야를 먼저 점검하는 ‘위험 기반 실태점검’을 본격 실시한다고 22일 밝혔다. 개인정보위는 이날 경제장관회의에서 관계부처 합동 ‘예방 중심 개인정보 관리체계 전환 계획’을 발표했다.
이번 계획은 지난 12일 국무회의에 보고한 계획의 후속 조치다. 인공지능(AI), 플랫폼, 클라우드 기반 서비스가 확산되면서 개인정보 처리 규모와 방식이 빠르게 바뀐 점을 반영했다. 개인정보위는 사후 조사와 제재 중심 대응만으로는 개인정보 침해와 유출 위험을 줄이는 데 한계가 있다고 보고 사전 예방 체계를 강화하기로 했다.
개인정보위는 개인정보 처리 규모, 민감도, 산업별 특성을 기준으로 개인정보 처리 분야를 고위험군, 중위험군, 저위험군으로 나눈다. 고위험군은 고유식별정보나 민감정보를 대규모로 처리하거나 100만명 이상 개인정보를 다루는 분야가 주요 대상이다. 올해는 플랫폼, 금융기관, 공공기관, 에듀테크, 요양병원 등 대규모 개인정보나 민감정보를 처리하는 분야를 중심으로 실태점검을 추진한다.
고위험군은 개인정보위가 점검 분야를 사전에 공개한 뒤 정기·수시 점검을 한다. 점검에서는 개인정보보호책임자(CPO)를 중심으로 내부통제가 제대로 작동하는지 살핀다. 서비스 설계나 변경 단계에서 CPO 검토가 있었는지, 개인정보 접근권한을 검토하고 조정했는지 등이 주요 점검 항목이다. 미흡한 사항은 시정권고하고 이행 여부를 일정 기간 관리한다.
중위험군은 각 부처가 소관 분야를 자체 점검하고 개인정보위가 결과를 검토한다. 이슈가 발생하면 부처와 개인정보위가 합동 점검에 나선다. 저위험군은 자율점검 도구와 컨설팅을 제공해 기본 보호수준을 확보하도록 지원한다.
사물인터넷(IoT) 기기와 에이전트 AI 등 신기술 분야도 점검 대상에 포함된다. 개인정보위는 영상 기반 IoT 기기의 개인정보 저장, 국외 전송, 암호화 여부를 살핀다. 에이전트 AI 개발 프레임워크에 대해서는 과도한 개인정보 수집·이용, 외부 전송, 로그 기록 내 개인정보 포함 여부 등을 점검할 계획이다.
개인정보위는 민관 개인정보 위협 조기경보 연락체계도 운영한다. 오는 9월부터 CPO 지정 신고제가 도입되는 만큼 CPO협의회 등 협회·단체와 협력해 최신 위협 정보를 전달하는 핫라인을 마련한다. 유사 사고가 발생하기 전에 기업이 자체 점검과 조치를 할 수 있도록 유도한다는 취지다.
개인정보 보호 중심 설계 원칙(PbD)도 제도화한다. PbD는 서비스 기획·설계·개발 단계부터 개인정보 보호를 기본값으로 반영하는 원칙이다. 개인정보위는 개인정보 보호법 개정과 함께 안내서와 우수사례를 마련하고 정보보호와 개인정보보호 관리체계 인증(ISMS-P), 개인정보 영향평가 기준에도 PbD 원칙을 반영할 계획이다.
기업의 자발적 보호투자를 유도하기 위한 인센티브도 손본다. 개인정보위는 정보보호 공시 항목에 추가 보호조치 내역, CPO 내부통제 절차 등을 공개하도록 유도한다. 실제 보호조치의 운영 사실이 확인되면 과징금 감경 등 인센티브를 부여할 방침이다. 중소·영세 사업자의 경미한 법 위반은 기술지원 등을 통해 시정하면 처분을 경감하는 방안도 추진한다.
공급망 관리도 강화한다. 개인정보위는 대량의 개인정보가 집중되는 서비스형 소프트웨어(SaaS), 클라우드, 전문수탁자 등을 대상으로 보호조치 공백이 생기지 않도록 점검과 관리를 강화한다. SaaS는 소프트웨어를 직접 설치하지 않고 인터넷을 통해 클라우드 형태로 제공하는 방식이다.
개인정보 보호 강화기술(PET) 연구개발도 추진한다. PET는 가명·익명처리, 동형암호, 합성데이터 등 개인정보를 보호하면서 데이터 활용을 가능하게 하는 기술을 뜻한다. 개인정보위는 AI 학습 과정에서 발생할 수 있는 개인정보 유출, 불법 유통, 오남용을 막기 위한 예방형 기술 개발을 추진할 계획이다.
송경희 개인정보위 위원장은 “관계부처와 협력하여 중점 분야별 개인정보 처리 실태와 취약요인을 지속적으로 점검하고, 위험에 비례한 예방 중심 관리체계를 정착시켜 나가겠다”고 밝혔다.
글. 바이라인네트워크
<곽중희 기자>god8889@byline.network
