개인정보 영향 평가를 어떻게 실시하는 게 좋을까?

개인정보 영향 평가를 어떻게 실시하는 게 좋을까?

2012. 12. 감사저널에 게재,

김려성(소프트 꼬레아 저자)

 

“임금님 귀는 당나귀 귀다” 입이 근지러워 참을 수 없었던 두건장이는 대나무 숲을 향하여 마음껏 소리쳤다. 신라 경문왕이 즉위하자 그의 귀가 갑자기 당나귀 귀처럼 길어졌다고 한다. 그 사실을 유일하게 알고 있던 두건장이는 죽기 직전에 대나무 숲에서 ‘임금님 귀는 당나귀 귀’라고 크게 소리 지른다. 바람이 불 때마다 대숲에 임금님 귀는 당나귀 귀라는 소리가 들리자 왕은 대숲을 몽땅 베어버리고 산수유를 심게 했다고 삼국유사는 전하고 있다. 당나귀 귀를 가진 임금님의 이러한 정보는 매우 민감한 개인 정보로 분류되고 있다. 이번 달에는 개인 정보 영향 평가를 어떻게 실시하는 게 좋을는지 알아보자.

 

개인정보란 무엇인가?

개인정보란 생존하고 있는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명, 주민등록번호나 얼굴사진 등에 의하여 당해 개인을 고유하게 식별할 수 있는 정보를 말한다. 일부의 정보만으로는 그 사람을 고유하게 식별하기 어렵더라도 기타의 다른 정보와 용이하게 결합하여 특정인을 식별할 수 있다면 이를 개인정보로 본다. 그러니까 어떤 사람의 핸드폰 번호와 주소 그리고 성별을 조합해서 특정인을 알 수 있다면 이는 개인정보가 된다. 2011년 3월 29일 개인정보보호법이 제정되어 2012년 3월 30일부터 시행되고 있으므로 개인정보를 취급하는 법률에서 정한 공공기관이나 회사는 개인의 정보보호에 대해 적절한 대처가 요구되고 있다.

 

개인정보를 왜 보호해야 하는가?

초기 정보화 사회로 진입하면서 기존의 전자 상거래에서 개인정보는 관행적으로 쉽게 노출되었다. 이렇게 개인정보 이용 중심의 거래 관행에서 이제는 개인정보 보호와 활용이 균형을 이루는 거래로 변화하는 계기가 되고 있다. 과거 미흡한 개인정보 보호체계에서 선진국 수준의 보호체계와 제도를 정립할 필요성이 대두되었다. 우리나라는 IT 강국으로 지속 발전하기 위해 개인정보 보호를 더 이상 미룰 수 없는 사회적 해결과제가 되었다. 더구나 개인정보 유출로 인한 국민의 피해를 방지하기 위해 개인정보 보호를 더 이상 방치할 수 없는 사안이 되었으며 개인의 프라이버시 보장을 크게 강화하여 법제화하기에 이르렀다.

 

개인정보 처리란 무엇인가?

개인의 성명, 주민등록번호 및 사진 등에 의하여 당해 개인을 고유하게 식별할 수 있는 정보를 개인정보라고 한다. 이러한 개인 정보를 수집, 생성, 기록, 저장, 보유, 가공, 편집, 출력, 정정, 복구, 이용, 제공, 공개, 파기 기타 이와 유사한 행위를 개인정보 처리(處理)라고 말한다. 그러니까 동창회, 향우회, 협회 모임이나 이벤트 응모권 등에서 취급하는 회원 명부 취급도 개인정보를 처리하는 대상이 된다고 볼 수 있다. 따라서 개인정보를 다루는 총무, 간사 그리고 회장 등은 개인정보를 취급하는 법률이 정하는 바에 따라 개인의 정보보호에 관한 적절한 처리가 요구되고 있는 상황이다. 다만 문장만을 작성하는 등의 단순 업무 처리를 위한 행위로서 대통령이 정하는 행위를 하는 경우는 제외된다.

 

개인정보를 왜 보호해야 하는가?

근본적으로, 개인정보보호는 이용자의 “개인정보 자기결정권”을 철저히 보장하는데 있다. 정보주체가 자신의 개인정보가 언제, 어디서 , 어떻게, 어느 범위까지 수집, 이용, 제공되는지에 대해 스스로 판단, 결정할 수 있는 권리를 말한다. 개인정보 자기결정권은 헌법재판소에서 국민의 기본권으로 인정하고 있으며 ‘개인정보보호법’ 및 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 등 관련 법률에서 수집, 이용 등에 대한 동의권과 열람, 정정, 삭제 요구권 등으로 구체적으로 반영되어 있다.

 

개인정보 침해 사고의 급증

개인정보 침해사고가 갈수록 대형화, 지능화, 다양화 되고 있다. 최근 3년간 1억 건이 넘는 개인정보 침해사고가 발생하고 있으며 해킹이나 내부직원 유출, 담당자 부주의 등이 주요 원인으로 지목되고 있다. 개인 정보 유출 사례는 아주 다양하고 빈번하게 발생되고 있으나 언론에 알려지기 전에는 그러한 사실이 있는지 조차 모르고 진행되고 있었다. 우리나라는 각계에서 정보화가 진행되면서 개인정보 수집과 이용에 관해서 별 다른 제한이 없이 민감한 개인정보가 본인의 동의 없이 관행적으로 정보처리에 이용되고 있었다.

 

전자상거래 개인정보 유출

우리나라는 몇 년 전에 A사에서 개인정보가 다수 유출된 것으로 드러났다. A사는 중국 쪽에서 유입된 것으로 추정되는 해킹으로 인해 주민등록번호와 성명 등 다수의 개인정보와 일부 환불정보가 유출됐다고 알려지고 있다. 이에 따라 1,900만 명에 달하는 회원 중 상당수 회원의 정보가 유출된 것으로 추정되었다. 그러나 재무정보의 유출은 제한적이며 이와 관련 구체적인 고객 피해 사례는 보고된 바 없다고 고객을 안심시키고 있으나 실로 그 피해는 막중하다고 하겠다.

 

개인정보 유출의 다양한 사례

이외에도 개인정보 유출사례는 아주 다양하다. 2007년부터 2010년 사이에 발생한 개인 정보유출로 인한 소송액이 B오픈마켓의 경우 1,595억 원이다. 이로 인한 피해대상은 14만 1,500명에 이르고 있다. C정유사는 4만 1,800명으로 소송액이 417억원이다. 그리고 D텔레콤은 1만 1,800명에 소송액이 127억 원이다. 2011년 개인정보 유출사례로는 E포털 역대 최대 3,500만명의 개인정보가 유출되었으며, F게임사는 1,320만명이며, F카드사는 내부직원소행으로 47만명의 개인정보가 유출되었다. 개인정보보호법이 발효되기 전에는 개인정보 유출은 다반사로 일어나고 있었으나 그 관리기준이 모호하거나 각 개별법 간에 보호 원칙 및 처리기준이 상이하여 국민에게 혼란 가중은 물론 일관된 정책추진에 한계가 있었다.

 

따라서 개인정보보호법이 필요

즉, 개인정보보호법은 개인정보보호에 관한 일반법으로서, 급증하는 개인정보침해사고에 공공기관이나 기업들이 일관된 대응을 할 수 있도록 마련된 법체계라고 할 수 있다. 이러한 혼란의 해소를 위해 2012년 3월 30일 시행된 개인정보보호법은 제1조에서 그 의미를 공고히 하고 있다. 개인정보보호법 제1조(목적)는 “이 법은 개인정보의 수집ㆍ유출ㆍ오용ㆍ남용으로부터 사생활의 비밀 등을 보호함으로써 국민의 권리와 이익을 증진하고, 나아가 개인의 존엄과 가치를 구현하기 위하여 개인정보 처리에 관한 사항을 규정함을 목적으로 한다.”라고 규정하고 있다.

 

개인정보 보호에 만전을 기해야

공공기관이나 기업들은 이러한 개인정보를 통해 고객관리 및 정보화 사회의 다양한 개인정보 처리업무들을 수행하고 있으며, 고객들은 개인화된 서비스를 받을 수 있다. 하지만, 개인정보가 악의적 목적으로 유출되거나, 이용된다면 기업과 개인에게 큰 피해를 줄 수 있다. 최근 이러한 개인정보유출사례가 급증하고 있으며, 개인정보에 대한 조치가 더욱 시급해졌다. 따라서 정부에서는 2011년 9월 30일자로 개인정보보호법 법률을 제정하고 2012년 3월 30일에 시행함으로써 개인정보보호에 만전을 기하도록 노력하고 있다. 그럼 개인에 대한 민감정보란 무엇일까?

 

민감정보란 ?

민감 정보란 사상, 신념, 정당가입·탈퇴, 정치적 견해, 유전정보 등 일반적인 개인정보보다 민감하게 작용되는 정보를 말한다. 나라나 인종에 따라서는 민감정보를 다르게 분류하기도 한다. 민감정보나 고유 식별 정보의 처리를 원칙적으로 금지하고 있다. 민감정보나 고유식별 정보를 최급하는 경우에는 정보주체에게 별도 동의을 얻거나 법령에서 구체적으로 허용된 경우에 한하여 예외적으로 처리를 허용하고 있다. 민감정보는 나라나 지역에 따라 차이가 있으나 인종, 민족, 국적, 정치적 성향, 종교, 노조∙사회단체활동, 보건∙의료, 성생활, 장애기록, 행정처분사실, 전과∙수형기록, 병역사항, 기타 개인의 기본적 인권을 현저하게 침해할 우려가 있는 개인정보를 민감정보로 분류하고 있다.

 

민감정보 처리 제한

개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우

2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

 

고유 식별정보 처리 제한

개인의 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 등을 고유 식별이라 한다. 이를 취급하는 개인정보처리자는 특별한 경우를 제외하고는 이를 원칙적으로 처리할 수 없다. 이를 위반 시 형사 처분이나 벌금이 부과되며, 동의를 받은 경우에도 I-PIN, 공인인증서, 전자서명, OTP 등의 주민등록번호 대체 가입수단을 제공하거나 암호화 시스템 등 안전성 확보에 필요한 조치를 하여야 한다. 그리고 공공기관 및 일평균 홈페이지 이용자 1만 명 이상의 개인정보처리자는 주민등록번호 이외의 회원가입 방법을 의무화하고 있다.

 

개인정보 영향 평가란 ?

개인정보 영향평가는 새로운 시스템을 구축하는 경우에 발생할 수 있는 개인정보 침해 요인을 사전에 분석하는 것이므로, 일반적으로 시스템 구축 전단계인 사업 방향 설정 및 업무 정의 단계, 시스템 제안 단계, 시스템의 예비 설계 및 모형 설정 단계 등에서 수행된다. 그러나 기존 서비스 운영 중에라도 개인정보의 수집∙이용 및 관리상에 중대한 침해 위험이 발생할 가능성이 있다면 개인정보 영향평가를 수행하여야 한다.

 

개인정보 영향 평가 시행

기업이 개인정보 영향평가를 자율적으로 채택∙시행함으로써 개인정보 침해 위험성을 사전에 발견하여 정보시스템의 구축 및 운영에 있어 시행착오를 예방하고 효과적인 대응책의 수립이 가능하도록 한다. 개인정보보호에 관하여 고객의 불만 등 외부 개입 이전에 내부적으로 문제를 파악∙처리하여 기업에 대한 신뢰를 증진시킬 수 있다. 개인정보 영향평가의 대상이 되는 기관은 개인정보를 취급하는 모든 민간 기업이 될 수 있으며, 특히 대량의 개인정보를 수집∙이용하는 기업에 적합하다.

 

개인정보 영향평가의 대상

개인정보 영향평가의 대상이 되는 사업 범위는 다음과 같다. 개인정보를 다량 보유∙관리하는 정보시스템의 신규 구축 사업, 신기술 또는 기존 기술의 통합으로 프라이버시 침해 가능성이 우려되는 기술을 사용하는 사업, 개인정보를 보유∙관리하는 기존 정보시스템을 변경하는 사업, 개인정보의 수집∙이용∙보관∙파기 등 일련의 단계에서 중대한 개인정보 침해 위험이 발생할 가능성이 있는 사업이다.

 

개인정보 영향평가 수행대상

시행 또는 변경하고자 하는 사업에 대한 개인정보 영향평가의 필요성 여부를 기업 스스로 결정하는 단계로서 제공하는 서비스의 특성을 고려하여 당해 사업이 정보주체의 개인정보를 침해할 가능성이 있는지를 기준으로 영향평가 수행의 필요성 여부를 검토한다. 개인정보 영향평가의 대상이 되는 정보는 기업이 인터넷 홈페이지 또는 서면 등을 통해 수집하는 정보주체(고객)의 개인정보이며, 기업 내 인사정보의 수집∙이용 등에 대해서는 영향평가의 대상에서 제외된다.

 

공공기관 개인정보 영향평가의 필요성 여부

개인정보 영향평가의 필요성 여부를 검토할 경우에는 영향평가 수행 시 활용할 수 있는 자원인 예산, 인력, 기간, 사업 수행부서∙개발자 등 주요 이해관계자, 평가자료 확보의 용이성 등을 고려하여야 한다. 사업 내용에 대한 전반적이고 대략적인 예비조사를 수행한 후 아래 열거하는 질문사항 중 하나 이상에 해당하는 경우에는 개인정보 영향평가를 수행한다. 공공기관에서 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 영향평가를 실시하고 그 결과를 행정안전부 장관에게 제출하여야 한다.

 

대략적인 예비조사를 수행한 후

사업 내용에 대한 전반적이고 대략적인 예비조사를 수행한 후 아래의 질문사항 중 하나 이상에 해당하는 경우에는 개인정보 영향평가를 수행한다. 인종∙민족, 국적, 정치적 성향, 종교, 노조∙사회단체활동, 보건∙의료, 성생활, 장애기록, 행정처분사실, 전과∙수형기록, 병역사항, 기타 개인의 기본적 인권을 현저하게 침해할 우려가 있는 개인정보이다. 개인과 관련된 속성 정보는 다음과 같다.

 

개인 속성정보

이름, 성별, 나이, 생년월일, 주민등록번호, 주소, 전화번호, 이메일주소, 혈액형, 신장, 체중, 사진, 지문, 기타 개인을 타인으로부터 식별하고 특성을 규정하는 정보, 활동 정보, 가족, 출신 및 생활환경 결혼∙이혼경력, 가족관계, 습관, 주거, 여행, 레저 활동, 자선 단체 가입 등 학력 및 교육 학력, 출신학교, 성적, 학교생활, 기능, 자격 등 고용 및 경력 취업, 사업경력, 구직∙채용, 인사, 근태, 근무평정기록, 재산∙신용 ∙납세 수입, 임금, 투자, 지출, 채무, 보험, 재산, 연금, 보조금, 납세사실 등이다.

 

개인정보 영향평가 시 고려사항

영향평가를 하는 경우에는 다음의 사항을 고려하여야 한다. 처리하는 개인정보의 수, 개인정보의 제3자 제공 여부, 정보주체의 권리를 해할 가능성 및 그 위험 정도, 그 밖에 대통령령으로 정한 사항이다. 행정안전부장관은 제출받은 영향평가 결과에 대하여 보호위원회의 심의ㆍ의결을 거쳐 의견을 제시할 수 있다. 공공기관의 장은 영향평가를 실시한 개인정보파일을 등록할 때에는 영향평가 결과를 함께 첨부하여야 한다. 행정안전부장관은 영향평가의 활성화를 위하여 관계 전문가의 육성, 영향평가 기준의 개발ㆍ보급 등 필요한 조치를 마련하고 있다. 공공기관 외의 개인정보처리자는 개인정보파일 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 영향평가를 실시하기 위하여 적극 노력하여야 한다.

 

개인정보보호법 시행령의 개인정보 영향평가의 대상

시행령 제35조에서 개인정보 영향평가의 대상은 개인정보를 전자적으로 처리할 수 있는 개인정보파일로서 다음 각 호의 어느 하나에 해당하는 개인정보파일을 말한다.

1. 구축·운용 또는 변경하려는 개인정보파일로서 5만명 이상의 정보주체에 관한 법 제23조에 따른 민감정보 또는 고유 식별의 처리가 수반되는 개인정보파일

2. 구축·운용하고 있는 개인정보파일을 해당 공공기관 내부 또는 외부에서 구축·운용하고 있는 다른 개인정보파일과 연계하려는 경우로서 연계 결과 50만명 이상의 정보주체에 관한 개인정보가 포함되는 개인정보파일

3. 구축·운용 또는 변경하려는 개인정보파일로서 100만명 이상의 정보주체에 관한 개인정보파일

4.법 제33조제1항에 따른 개인정보 영향평가를 받은 후에 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하려는 경우 그 개인정보파일. 이 경우 영향평가 대상은 변경된 부분으로 한정한다.

 

개인정보 영향평가 의무화

개인정보보호법에서는 국가기관, 지방자치단체, 정부투자기관 등 공공기관에서 일정규모 이상의 개인정보파일을 처리하는 정보시스템을 구축·운영·연계·변경할 경우, 지정된 평가기관을 통해 개인정보보호영향평가가 의무화됐다. 공공기관은 개인정보파일의 운용으로 인해 정보주체의 개인정보침해가 우려되는 경우, 그 위험요인의 분석과 개선사항 도출을 위한 개인정보 영향평가를 의무적으로 실시해야 한다. 영향평가 기관은 연매출 1억원 이상의 개인정보 관련 컨설팅을 최근 5년 간 2회 이상 수행한 실적 보유, 관련 자격증 보유자와 관련 분야 경력자 10인 이상의 상근 인력 보유, 신원확인, 출입통제, 업무수행 및 지원 등에 필요한 최소한의 설비보유 등이다. 행정안전부가 지정한 개인정보영향평가 수행기관은 금융결제원, 롯데정보통신, 소만사, 시큐베이스, 시큐아이닷컴, 씨에이에스, 안랩, 에이쓰리시큐리티, 이글루시큐리티, 인포섹, 한국정보기술단, 한국IBM, LG CNS 등 보안업체, 감리업체 18곳 등이다.

 

헌법에 보장된 행복추구권

대한민국 국민은 누구나 헌법이 보장하는 행복추구권을 누릴 권리가 있다. 이는 헌법이 보장하는 기본권 중 하나로 안락하고 만족스러운 삶을 추구할 수 있는 권리이며, 고통이 없는 상태나 만족감을 느낄 수 있는 상태를 실현하는 권리로 정의된다. 헌법은 제10조 인간의 존엄과 가치에 관한 규정에서 행복추구권을 같이 보장하고 있다. 헌법재판소에 따르면 급부를 구하는 적극적 권리의 성격은 없고, 행복추구활동을 국가의 간섭 없이 자유롭게 할 수 있는 권리로 본다. 개인정보 유출 또는 노출로 인해 발생하는 정신적, 경제적 피해로 부터 안전을 보장받을 수 있는 행복추구권을 기대한다.

 

미래사회로 진입 보장

현대사회에서 개인정보보호는 Privacy 보호라는 사적인 영역의 보호라는 측면이 있다. 즉, 개인의 습관, 환경을 통해 생성되는 인간의 존엄성과 가치가 보호되어야 한다. 그리고 정보사회의 핵심 IT 인프라를 활용하기 위한 열쇠로써 개인의 정보가 서비스에 이용되거나 처리수단으로 활용될 때는 반드시 본인의 동의하에 시행되어야 한다. 아울러 경제적 측면에서 개인정보의 가치가 증대되어 개인정보 그 자체가 재화적 의미를 갖게 된다. 이러한 개인정보를 활용한 다양한 비즈니스 모델이 창출되므로 개인정보 자체가 암시장에서 거래대상으로 매매되는 등 불공정거래 방지에 노력을 집중하여야 한다. 개인정보를 국가와 기업이 보호함으로써 국민 모두가 안락하고 만족스러운 삶을 추구할 수 있기를 기대한다.<끝>