개인정보 보호법의 주요 의무

왜 조문 단위로 알아야 하나

개인정보 보호는 추상적인 원칙이 아니라 조문으로 존재합니다. 점검을 받든 사고가 나든, 결국 확인되는 것은 "이 조항의 요건을 지켰는가" 입니다. 그래서 실무에서는 원칙을 이해하는 것 못지않게, 어떤 조항이 무엇을 요구하는지를 아는 것이 중요합니다.

아래는 개인정보를 처리하는 조직이 점검에서 가장 자주 마주치는 조항들입니다.

수집 제한 (제16조)

개인정보는 그 목적에 필요한 최소한 만 수집해야 합니다. 점검에서 확인하는 것은 단순합니다. 수집 항목 하나하나에 대해 "이것이 이 목적에 왜 필요한가" 를 설명할 수 있는가입니다.

회원 가입에 생년월일과 성별이 왜 필요한지, 배송에 주민등록번호가 왜 필요한지 설명하지 못한다면 그 항목은 수집하지 말아야 할 항목입니다. 나중에 쓸지도 모른다는 이유는 근거가 되지 못합니다.

파기 (제21조)

목적을 달성했거나 보유 기간이 지난 개인정보는 지체 없이 파기해야 합니다. 다른 법령에 따라 보존해야 한다면 그 개인정보는 별도로 분리해 보관해야 합니다.

점검에서 걸리는 대표적인 지점은 운영 데이터베이스가 아니라 그 주변입니다. 백업본, 개발과 테스트용으로 복사해 둔 데이터베이스, 담당자 PC 의 엑셀 파일에 옛 고객 정보가 그대로 남아 있는 경우가 많습니다. 지웠다고 보고했지만 실제로는 사본이 살아 있는 상태입니다.

업무 위탁에 따른 처리 제한 (제26조)

위탁을 하려면 문서로 계약해야 하고, 계약에는 처리 목적과 범위, 안전성 확보 조치, 재위탁 제한, 관리 감독, 손해배상 등이 담겨야 합니다. 위탁자는 수탁자가 개인정보를 안전하게 처리하는지 감독할 의무를 집니다. 자세한 내용은 개인정보 위탁과 수탁사 관리 문서에서 다룹니다.

개인정보취급자에 대한 감독 (제28조)

개인정보를 실제로 다루는 직원을 개인정보취급자라고 합니다. 조직은 이들을 적절히 관리하고 감독해야 하며, 정기적으로 교육해야 합니다.

점검에서는 취급자 명단이 최신인지, 부서 이동이나 퇴직으로 더 이상 취급하지 않는 사람이 명단과 권한에 남아 있지는 않은지, 교육이 형식적으로만 이뤄지지는 않았는지를 봅니다.

안전성 확보 조치 (제29조)

가장 범위가 넓고 점검 항목이 많은 조항입니다. 조치는 세 갈래로 나뉩니다.

• 관리적 조치: 내부 관리계획을 수립하고 시행합니다. 책임자를 지정하고, 그 책임자의 역할과 취급자의 범위를 정합니다.
• 기술적 조치: 접근 권한 관리(직급과 업무에 따른 권한 차등 부여, 권한 변경 기록의 보관), 접근 통제(권한 없는 자에게 공개되지 않도록 차단, 방화벽 등 보호 조치), 개인정보의 암호화(전송 구간과 저장 시), 접속기록의 보관과 위변조 방지, 악성프로그램 방지를 포함합니다.
• 물리적 조치: 서류와 저장 매체의 보관, 개인정보의 파기 조치 이행을 포함합니다.

접속기록이라는 핵심

제29조의 항목 중 조사 실무에서 가장 결정적인 것이 접속기록입니다. 누가 언제 어떤 개인정보에 접근했는지가 남아 있어야, 사고가 났을 때 무엇이 얼마나 새어 나갔는지 확인할 수 있습니다.

그래서 점검에서는 기록의 존재 여부만이 아니라 세 가지를 함께 봅니다. 충분한 기간 보관되고 있는가, 그 기록을 담당자가 임의로 지우거나 고칠 수 없는가, 그리고 주기적으로 누군가 확인하고 있는가입니다. 아무도 보지 않고 아무나 지울 수 있는 기록은 있으나 마나입니다.

양벌규정

개인정보 보호법과 정보통신망법에는 양벌규정이 있습니다. 위반 행위를 한 개인뿐 아니라 그가 속한 법인에게도 벌금을 부과할 수 있다는 뜻입니다. 다만 법인이 상당한 주의와 감독을 다한 경우에는 면책될 수 있습니다.

이 단서가 실무에서 갖는 의미가 큽니다. 관리 감독을 실제로 수행했고 그 사실을 기록으로 증명할 수 있는지가 책임의 크기를 가릅니다. 수탁사 점검을 정기적으로 수행하고 그 결과를 문서로 남기는 이유 중 하나가 여기에 있습니다.