[뉴스토마토 신상민 기자] 개인정보보호위원회가
SK텔레콤(017670) 고객정보 유출 사고와 같은 국민 생활에 영향을 미치는 대규모 개인정보 유출 사고 예방을 위해 '개인정보 안전관리 체계 강화 방안'을 마련했습니다. 이를 통해 기업 최고경영자(CEO)가 개인정보 보호에 관심을 갖도록 유도하겠다는 방침입니다.
최장혁 개인정보위 부위원장은 11일 정부서울청사에서 진행된 브리핑에서 "CEO 책임 명문화는 결국 CEO가 개인정보 보호에 관심을 갖도록 유도하는 것"이라면서 개인정보 안전관리 체계 강화 방안의 구체적 내용에 대해 전했습니다.
방안은 크게 △상시적 내부통제 강화 △선제적 제도 개선 △엄정한 처분과 실질적 권리 구제 등으로 나뉩니다.
우선 내부통제 측면에서는 개인정보 보호 투자의 구체적 기준을 제시해 기업의 노력을 유도하고 이행 수준에 따라 다양한 인센티브를 부여합니다. 더불어 CEO의 최종 책임을 법적으로 명확히 하고 개인정보보호책임자(CPO)에게는 이사회 보고 의무, 직무 여건 보장 등을 통해 권한과 역할을 강화하는 내용도 담겼습니다.
최장혁 개인정보위 부위원장은 "중간 레벨을 형사 처벌해봐야 CEO가 개인정보에 관심을 갖지 않는다"며 "책임을 법적으로 명확히 하고 매출액의 최대 3%까지 과징금을 부과하면 CEO들이 단순히 IT 부서 문제가 아니라 전사 문제이자 경영 책임 문제로 받아들이게 될 것"이라고 설명했습니다.
제도 개선 차원에서는 외부 노출 취약점 제거, 이상징후 탐지하는 등 공격 표면 관리 강화와 주요 정보의 암호화 적용 확대 등 선제적 보호 조치 정례화가 추진됩니다. 이를 실천한 기업에는 과징금 감경 등 인센티브를 제공하고 이미 유출된 개인정보에 대해서는 불법 유통 여부를 탐지해 2차 피해를 예방합니다.
또한 개인정보보호 관리체계(ISMS-P) 인증 제도는 신종 해킹 기법을 반영한 현장심사 중심으로 고도화하고 사고 기업에 대한 사후 관리도 강화됩니다. 최 부위원장은 "일부 통신 인프라와 공공 시스템에 대해 ISMS-P 인증 의무화를 추진하고 있다"고 설명했습니다.
피해 구제 강화 차원에서는 과징금을 실제 피해자 지원에 활용하는 방안을 추진합니다. 다만 기금화 과정에서 기획재정부와 협의가 필요하며 기금 관리법 개정 등 다른 부처 규정도 손을 봐야 하는 상황입니다. 이 문제를 두고 개인정보위는 중장기적으로 접근하겠다는 방침입니다.
더불어 시장감시 및 권리구제 지원을 전담할 '개인정보 옴부즈만' 설치, 전문인력 양성, 신기술·신제품의 개인정보 침해 위협에 대한 선제 대응 등을 통해 권리구제 기반을 확대합니다.
개인정보위는 이번 방안이 산업 현장에서 실질적으로 작동할 수 있도록 사업자 설명회와 의견수렴을 거쳐 합리적 이행 기준을 마련하고 이를 법령·고시에 반영하거나 관련 예산을 확보하는 등 후속 조치를 추진한다는 계획입니다.
최 부위원장은 "이번 사고를 계기로 대규모 개인정보를 처리하는 사업자들이 개인정보 보호를 위한 투자를 '불필요한 비용'이 아니라 고객의 신뢰 확보를 위한 기본적 책무이자 전략적 투자로 인식하길 바라며 이를 통해 개인정보 보호에 대한 국민적 신뢰가 확산되기 바란다"고 당부했습니다.
최장혁 개인정보보호위원회 부위원장이 9월 11일 오전 서울 종로구 정부서울청사에서 '개인정보 안전관리체계 강화 방안'에 대해 브리핑하고 있다.(사진=개인정보보호위원회)
신상민 기자 lmez0810@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김나볏 테크지식산업부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지