개인정보 ‘수집-이용-제공-파기’ 관리 수립해야

프린트

오피니언 ㅣ 키워드이슈 개인정보 ‘수집-이용-제공-파기’ 관리 수립해야 고객의 개인정보 관리는 기업의 신뢰와 직결돼 있다

기사입력2025-01-17 00:00

채민선 기자 (iscra79@junggi.co.kr) ㅣ다른기사보기

개인정보 관리는 필수다. 고객의 개인정보 관리는 기업의 신뢰와 직결되는 문제이며, 한 번 신뢰를 잃으면 기업의 브랜드 이미지와 가치에 악영향을 줄 수 밖에 없다.

하지만 개인정보보호위원회 설문조사에 따르면, 기업들이 개인정보보호에 어려움을 겪고 있다. 어려움을 겪는 이유로 78%가 인력부족, 67.9%가 관련 법률 내용 이해하기 어려움, 61.9%는 예산부족 등을 꼽았다. 또, 기업이 우려하는 개인정보 유출 요인으로는 76%가 관리 실수로 인한 유출, 64.1%가 외부로부터 해킹, 42.8%는 내부자에 의한 고의 유출이라고 답했다. 개인정보 수집에서 파기까지 경영전략 차원에서의 접근이 필요해 보인다.

조아영 캐치시큐 대표는 이벤터스와 캐치시큐가 최근 개최한 ‘실제 개인정보 유출사례로 알아보는 개인정보보호 필수 대응전략’ 세미나에서, “개인정보보호법 위반으로 과징금이나 과태료 대상이 되는 사례는 ▲해킹 사고가 발생하거나 임직원이 실수를 해서 유출 사고가 발생했을 때, ▲서비스를 운영하는 과정에서 안전하게 서비스를 운영하지 못했을 때, ▲정보주체인 소비자 일반 고객들의 정보주체 권리가 침해되는 경우에 민원이나 언론 보도 등을 통해서 사실이 확인되는 경우 등이 있다”고 설명했다.

<그래픽=채민선 기자> ©중기이코노미

띠라서 개인정보보호 관리를 위해서는 ‘수집-이용-제공-파기’ 등 개인정보 라이프사이클 각 단계별로 주요 포인트를 이해하는 것이 중요하다. 개인정보 수집과정에서는 개인정보, 민감정보, 고유식별정보, 광고성 동의 등 개인정보 항목과 목적을 구별해 별도 동의과정을 거쳐야 한다. 이용 단계에서는 암호화, 접근통제, 접속기록 모니터링, 강화된 인증 등 안전성 확보 조치를 점검해야 한다. 개인정보 제공 과정에서는 제3자 제공 동의를 받아야 하며, 위수탁자를 구분하고 주기적 점검이 필요하다. 파기 단계에서는 이용 목적이 달성한 개인정보를 완전히 파기하는 것이다.

◇동의없이 ‘민감정보’ 수집해 넘겨=조 대표에 따르면, 글로벌 플랫폼 A사는 민감정보를 처리하는 영역에서 별도의 동의를 받지 않고 광고에 활용한 케이스로 과징금을 200억원 넘게 부과받은 사례다. A사는 과거 프로필을 통해 국내 이용자 약 98만명의 종교관·정치관, 동성과 결혼여부 등 민감정보를 수집하면서, 데이터 정책에 불분명하게 기재만 하고 별도로 동의를 받지 않았다. 이후 이러한 정보들을 광고주에게 제공해 약 4000개의 광고주가 이를 이용했다. 또 이용자가 ‘좋아요’를 누른 페이지, 클릭한 광고 등 행태정보를 분석해 민감정보 관련 광고주제를 만들어 운영하기도 했다. 개인정보위원회는 동의없이 민감정보를 수집·활용하는 행위를 인지하고 관련조사를 착수해 A사에 과징금 216억1300만원, 과태료 1020만원을 부과하고, 민감정보 처리시 합법적인 근거 마련 및 시정명령을 내렸다.

개인정보보호법 상 민감정보는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보를 의미한다.

조 대표는 민감정보를 수집하고 처리하는 서버를 운영하는 기업이라면, 민감정보 수집의 목적·항목·보유이용기간·동의거부시 불이익 등을 명확히 해 별도의 동의를 받아야 한다고 강조했다. 또한 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다고 말했다.

◇개인정보 관리 취약…해킹 당하기도=국내 최대 SNS기업 B사는 해커가 오픈채팅방의 취약점을 이용해 개인정보를 유출한 사건으로 역대급 과징금을 부과받았다. 해커는 오픈채팅방 참여자의 임시 ID를 알아냈다. 이 임시 ID에는 개인에게 부여된 회원 일련번호가 포함돼 있었는데, 해커는 친구추가 기능과 불법 해킹 프로그램을 이용해 이용자의 이름, 휴대전화번호 등 다섯 종류의 개인정보를 파악하고, 개인정보 파일을 만들어 불법으로 판매했다. 오픈채팅방의 취약점은 개발자 커뮤니티 등에서 꾸준히 지적이 돼 왔음에도 B사는 개인정보 유출 피해 가능성에 대한 검토, 개선 조치가 미흡했으며, 개인정보가 유출됐음을 인지하고도 신고와 이용자 대상 유출 통지를 하지 않았다. 이에 개인정보보호위원회는 B사가 안전조치 의무와 유출 신고·통지 의무를 위반한 것으로 판단하고, 151억원의 과징금과 780만원의 과태료를 부과했다.

<그래픽=채민선 기자> ©중기이코노미

개인정보보호법이 정의하는 개인정보란 살아있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통해 개인을 알아볼 수 있는 정보다. 또, 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보를 의미한다.

조 대표는 개인정보 유출은 개인정보가 포함된 USB 분실, 개인정보가 포함된 스프레드시트의 공유 범위가 모든 웹 사용자인 경우, 단체메일 발송시 개별 발송을 하지 않는 경우, 개인정보가 포함된 이메일 발송 실수, 홈페이지에 이벤트 참가자 명단이 공개, 호기심에 조회해본 개인정보를 친구에게 이야기 하는 경우 등이 해당한다고 설명했다.

1건이라도 개인정보가 유출된 경우에는 72시간 이내 해당 정보주체에게 지체없이 유출 사실을 통지해야 한다. 통지내용에는 유출 등이 된 개인정보의 항목, 유출 등이 된 시점과 그 경위, 유출 등으로 인해 발생할 수 있는 피해를 최소화하기 위해 정보주체가 할 수 있는 방법 등에 관한 정보, 개인정보처리자의 대응조치 및 피해구제 절차, 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처 등이 포함돼야 한다.

1000명 이상의 정보주체 개인정보 유출, 민감정보 또는 고유식별정보 유출, 외부로부터 PC 등 시스템의 불법적인 접근으로 인한 개인정보 유출 등에 해당한다면, 72시간 이내 개인정보보호위원회 또는 인터넷진흥원에 신고해야 한다.

◇신속한 대응 위해 매뉴얼 준비해야=조 대표는 개인정보가 유출된 경우 72시간 이내 해당 정보주체에게 통지하거나, 개인정보보호위원회 등에 신고해야 하므로 신속한 대응을 위한 매뉴얼을 사전에 준비하는 것이 필요하다고 강조했다. 개인정보보호위원횐느 공공기관 및 1000명 이상의 정보주체를 처리하는 개인정보처리자는 신속하고 효과적인 대응을 위한 매뉴얼을 마련할 것을 권고하고 있다. 매뉴얼에는 원인규명, 정보주체에게 신속한 통지, 피해 구제절차, 사후조치, 피해대응 콜센터 운영 등 유출 대응 전 과정에서 조직의 역할과 책임 등을 포함해야 한다.

아울러 개인정보보호를 위해서는 개인정보가 인터넷 망에서 송수신되는 경우 암호화가 반드시 필요하다. PC나 모바일 단말, USB 등에 개인정보를 저장할 때도 반드시 암호화해야 한다. 시스템 보안 취약점을 사전에 점검하는 것도 중요하다.

개인정보는 이용목적이 달성되면 파기해야 한다. 조 대표는 개인정보 파기를 잘하려면 동의서를 생성하는 단계에서부터 보유 이용기간을 명시적인 숫자로 넣으면 개인정보 관리를 좀 수월하게 할 수 있다고 조언했다. 대행사를 통해 업무를 처리할 경우 계약 전부터 종료까지 전체 과정에서 개인정보 관리를 철저히 할 필요가 있다.

조 대표는 개인정보 보호 관련 대응전략을 수립할 때는 유출 사고나 해킹에 대한 부분도 신경을 써야하지만, 내부 임직원들이 개인정보 처리를 어떻게 해야 하는지 등 데이터 정책을 수립·관리하는 것도 중요하다고 덧붙였다. 중기이코노미 채민선 기자