-
경영정보 ㅣ 정책법률
개인정보는 최소로 수집하고 책임자 선임하라
유출사고로 개인에게 막대한 피해 입히고 기업에도 큰 손실 발생
- 기사입력2022-12-26 00:00
채민선 기자 (iscra79@junggi.co.kr) 다른기사보기
-
#. A사는 운영 중인 온라인쇼핑몰에서 ‘선물하기’ 기능으로 상품을 선물받은 수신자에게 카카오톡 알림을 보내면서, 선물함 링크를 잘못 발송해 개인정보 2583건이 유출됐다. 또한 유출한 사실을 안 때부터 24시간을 경과해 유출 통지신고를 했다. 개인정보위원회는 A사가 안전조치 의무와 유출 통지신고 의무를 위반했다고 판단해, 시정명령과 함께 과징금 3억6084만원, 과태료 660만원을 부과했다.
데이터를 이용한 산업이 성장하면서 이처럼 개인정보 유출사고가 빈번해지자, ‘개인정보보호’ 목소리가 높아지고 있고 기업의 개인정보보호 책임도 강화되고 있다.
드림플러스와 법무법인 디라이트가 지난 21일 개최한 ‘플랫폼 사업자가 알아야 할 개인정보보호법’ 세미나에서 지현진 변호사는 “개인정보 처리자 입장에서는 정보 주체들의 개인정보를 안전하게 보호하고 그 안전에 필요한 조치들을 취할 법적 의무들이 있는데, 이 부분을 간과하고 놓치는 경우가 많다”며, “개인정보보호법이 요구하는 사항들에 대해 숙지하고 적절한 조치를 취해야 한다”고 강조했다.
◇개인정보 유출…개인과 기업 모두의 피해=개인정보란 살아있는 개인에 관한 정보로서 성명, 주민등록번호 등을 통해 개인을 알아볼 수 있는 정보, 다른 정보와 쉽게 결합해 알아볼 수 있는 정보 또는 가명정보를 말한다. 개인정보의 주체는 자연인이어야 하며, 법인 또는 단체의 정보는 해당하지 않는다.
가명정보는 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 원래의 상태로 복원하기 위한 추가 정보의 사용, 결합 없이는 특정 개인을 알아볼 수 없는 정보 등을 의미한다.
개인정보는 전자상거래, 고객관리, 금융거래 등에서 필수다. 특히 데이터 경제시대 개인정보와 같은 데이터는 기업이나 기관의 입장에서도 부가가치를 창출할 수 있는 자산적 가치로 평가되고 있다. 그러나 개인정보가 악의적인 목적으로 이용되거나 유출될 경우, 개인의 사생활에 큰 피해를 줄 뿐만 아니라 개인의 안전과 재산에도 피해를 줄 수 있다.
특히 유출된 개인정보가 스팸메일, 보이스피싱 등 범죄에 악용될 우려가 있어 개인정보는 엄격하게 보호돼야 한다.
기업에서 개인정보 유출 사고가 발생하면 고객으로부터 신뢰를 잃는 것은 물론, 기업의 이미지에도 타격을 받는다. 또한 소송비용이나 손해배상금 등이 발생할 수 있어 기업에도 큰 손실이다. 따라서 개인정보보호법을 정확히 숙지하고 기업의 개인정보보호 의무를 준수해야한다.
<그래픽=채민선 기자> ©중기이코노미◇이용자 동의 필요하며, 최소수집원칙 지켜야=개인정보보보호법은 개인정보를 수집하고 이용할 때 개인정보의 수집·이용 목적과 수집하고자 하는 개인정보의 항목, 개인정보 보유 및 이용기간, 동의 거부권 및 거부에 따른 불이익 등을 미리 알리고 적극적인 동의 의사표시를 받도록 하고 있다.
개인정보보호위원회는 이용자의 동의 없이 개인정보를 수집해 온라인 맞춤형 광고에 활용하는 등 개인정보 보호법을 위반한 구글과 메타에 대해 시정명령과 함께 약 1000억의 과징금을 부과한 바 있다.
개인정보를 수집할 때는 개인정보보호법의 최소수집원칙에 따라 목적에 필요한 최소한의 개인정보를 수집해야 한다. 최소한의 개인정보 이외의 개인정보 수집에 동의하지 않는다는 이유로 재화 등의 제공을 거부할 경우 3000만원 이하의 과태료가 부과된다.
제3자에게 개인정보를 제공하는 경우에도 개인정보 수집 때와 같은 사항을 미리 알리고 적극적인 동의의사 표시를 받아야 한다. 정보 주체의 동의를 받지 않고 개인정보를 제공받아 이용하는 것은 개인정보보호법 위반이다.
◇안전조치 의무 준수, 보호책임자(DPO) 둬야=개인정보보호법 제29조에서는 안전조치 의무를 규정하고 개인정보의 안전한 관리와 보호를 하도록 하고 있다. 같은 법 시행령에서는 개인정보의 안전성 확보조치에 대해 규정하고 있다.
예를 들어 B사의 경우, 구글에서 제공하는 설문 형식 구글폼을 통해 회원을 모집하는 과정에서, 작성된 신청서에 대한 접근 권한을 전체 공개로 설정함에 따라 열람 권한이 없는 자도 볼 수 있도록 안전성 확보조치를 소홀히 했다. 개인정보위원회는 B사가 개인정보의 안전성 확보 보호조치를 위반했다고 판단하고, 시정명령과 함께 과태료 1400만원을 부과했다.
개인정보의 안전한 관리를 위해서는 개인정보 보호책임자(DPO)를 둬야 한다. DPO는 개인정보의 처리에 관한 업무를 총괄해서 책임지는데, 민간 플랫폼 기업의 DPO는 사업주 또는 대표자, 등기임원만 가능하다.
개인정보가 분실·도난·유출이 됐을 경우, 유출 등의 사실을 인지한 후 24시간 이내에 이를 통지하고 관련기관에 신고해야 한다. 이를 어길 경우 3000만원 이하의 과태료가 부과된다.
또, 개인정보가 불필요하게 됐을 때는 지체없이(5일이내) 해당 개인정보를 파기해야한다. 이용자가 서비스를 1년의 기간동안 이용하지 않는 경우에는 이용자의 개인정보를 파기하거나, 다른 이용자의 개인정보와 분리해 별도로 저장·관리해야 한다. 이 때 별도 저장·관리하는 DB에는 일반직원이 접근할 수 없도록 조치해야 한다. 중기이코노미 채민선 기자
<저작권자 ⓒ 중기이코노미. 무단전재 및 재배포 금지>
