개인정보위, "개인정보 처리 통합 안내서" 발표 현장 설명회(7.29.) 개최한다

- 기업·기관 등 대상, 개인정보 처리 준수사항을 사례 중심으로 안내 

  2023년 전면 개정된 개인정보 보호법(이하 '법')을 개인정보처리자가 알기 쉽도록 사례 중심으로 설명한 '개인정보 처리 통합 안내서'가 공개되었다. 개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 기업·기관 등 개인정보처리자가 '개인정보 처리' 현장에서 준수해야 하는 사항을 담은 통합 안내서를 확정하여 공개*하고, 7월 29일(화) 서울 송파구 소재 한국광고문화회관에서 현장 설명회를 개최한다고 밝혔다. 

  * 개인정보보호위원회 누리집(www.pipc.go.kr) : 법령 > 법령정보 > "안내서"

    개인정보 포털(www.privacy.go.kr) : 자료 > 자료보기 > "안내서"

  2023년 법 개정 이후 그간 시기별로 수차례 나누어 안내했던 개정사항들을 체계적으로 정리하고, 판례·심결례 등을 추가해 통합본을 마련한 것이다.

  * 종전의 ▲알기 쉬운 개인정보 처리 동의 안내서, ▲개인정보 처리 위·수탁 안내서, ▲개인정보 보호조치 안내서, ▲자동처리되는 개인정보 보호 가이드라인은 폐지 

  처리 통합 안내서의 주요 내용은 다음과 같다. 

  첫째, 서비스 이용 계약을 체결하거나 이행하기 위해 필요한 개인정보는 정보주체가 충분히 예측 가능한 범위 안에 있으므로 별도로 동의를 요구할 필요가 없다. 

  종전 법에 따라 필수동의를 받기 위해 안내하던 개인정보의 처리 목적, 수집 항목, 보유기간 등의 정보는 정보주체가 명확히 알 수 있도록 고지하는 방식으로 전환하도록 하였다. 따라서 서비스 이용 계약의 이행과 관계없는 개인정보 처리에 관한 사항을 종전처럼 필수동의에 포함하여 계속 운영할 경우에는 동의를 강제하게 되어 법 위반이 될 수 있으므로 유의해야 한다. 

  둘째, 종전 법에서는 코로나19와 같이 공중위생 등 공공의 안전을 위해 긴급하게 필요한 경우 개인정보 보호법의 개인정보 처리 의무 규정을 적용 제외하였다. 2023년 법 개정을 통해서는 별도의 동의 없이도 개인정보의 수집·이용과 제공이 가능하도록 하면서도 개인정보가 안전하게 관리되도록 안전조치와 파기 의무 등은 준수하도록 의무화되었다. 

  또한, 생명·신체·재산의 이익을 보호해야 하는 상황이 급박한 경우에는 정보주체로부터 동의를 받을 수 있는 상황인지에 관계없이 선조치할 수 있도록 하여 국민의 권익 보호를 최우선해야 함을 명확히 하였다.

  셋째, 2023년 시행령 개정으로 당초 개인정보를 수집한 목적과 합리적으로 관련되는 범위 안에서 개인정보를 추가적으로 이용하거나 제공하려는 경우, 그 이용 또는 제공이 지속적인 경우에는 개인정보 처리방침에 판단기준을 미리 공개해야 하지만, 일시적인 경우에는 별도의 공개 없이 자체 판단기준에 따라 추가적 이용 및 제공이 가능하게 되었다.

  넷째, 최근 언론을 통해 보도되고 있는 판례 중 수능감독관이 수험생의 개인정보를 사적 목적으로 이용(연락)한 행위에 대한 대법원의 무죄 판결 내용을 소개하였다. 다만, 해당 판례는 종전 법에 따라 판결한 것이므로 2023년 법 개정을 통해 개인정보를 사적으로 이용하는 행위는 형벌 대상에 포함되었다는 점을 명확히 안내하여 현장에서의 오해가 없도록 하였다.

  다섯째, 기업이 경영상의 사유로 폐업, 파산 등의 상황에 처하여 보유하고 있던 개인정보가 불필요하게 되었을 때에는 지체 없이 해당 개인정보를 파기하도록 안내하였다. 개인정보 처리의 기초적인 관계인 계약·서비스 등이 종료된 경우에는 개인정보 처리의 목적이 달성된 것으로 볼 수 있으며, 달성된 목적의 범위에서 파기 의무가 발생한다. 

  여섯째, 클라우드·웹 호스팅·채용 등 다양한 분야에서 개인정보 처리 업무를 위탁받아 전문적으로 처리하는 수탁자가 증가하고 있는 현실을 반영하여, 위탁자와 수탁자가 안전하게 개인정보를 협력하여 처리할 수 있도록 이행 방법을 안내하였다. 

  특히, 수탁자가 위탁받은 개인정보 처리 업무에 대해 전문적인 관리기관과 연계하여 주기적으로 점검*하면서 그 결과를 다수의 위탁자에게 알리는 방식으로 관리·감독 등의 의무사항을 이행할 수 있다는 점을 명확히 하였다.

  * 개인정보 보호 인증(ISMS-P), 클라우드 사업자의 경우 클라우드서비스 보안인증(CSAP), 개인정보보호책임자 협의회 등을 통한 점검 등

  이정렬 개인정보위 사무처장은 "이번 개인정보 처리 통합 안내서 는 현장 수요에 맞추어 실무에서 도움이 될 수 있도록 법 개정사항과 판례·심결례 등의 사례를 충실히 담았고 앞으로도 계속하여 보완해 나갈 것"이라면서, 

  "현장에서 궁금해하는 개인정보 처리에 대한 필수동의 관행 개선, 대규모 수탁자에 대한 위탁자의 관리·감독 실태 개선 등에 대해서는 현장과 계속 소통하면서 개선해 나가겠다"라고 밝혔다.

* 기타 자세한 내용은 첨부파일을 확인해주시기 바랍니다.

- 담당자 : 개인정보보호정책과 임종철(02-2100-3055), 김지영(02-2100-3057), 권선정(02-2100-3047)

“이 자료는 개인정보보호위원회의 보도자료를 전재하여 제공함을 알려드립니다.”