개인정보 보호법 전면 시행

“개인정보보호법이 뭡니까. 우리랑 무슨상관이죠?”

지난달 29일 서울 후암동에 위치한 한부동산 공인중개업소를 찾았다.

전세 계약서 작성이 한창이었다.

양식에 들어가는내용은 모두 컴퓨터로 깨끗하게 정리한 상태였다.

주민등록번호와 개인 주소,계약을 맺은 건물의 주소와 면적,보증금 금액등 민감한 정보들이 계약서를 가득 메우고있었다.

얼핏 모니터를 보니 문서 폴더에연도별,지역별로 이 같은 계약서가 수천건저장돼 있었다.

30여분을 기다린 끝에 중개사에게 개인정보보호법 시행에 대비해어떤 준비를 하고 있느냐고 물었다.

그는“무슨 말이냐”며 황당한 반응을 보였다.

재차 법의 내용과 위반시 처벌 조항을 설명하자 “처음 듣는 얘기”라며 “그렇다면 당장 내일부터 무얼 어떻게 해야 하느냐”고되물었다.

# 350만곳 개인정보보호 책임

지난달 30일부터 개인정보보호법이 전면시행됐다.

개인정보보호법은 그간 공공기관과 정보통신사업자,신용정보 제공업자등 일부 사업자에 적용되던 개인정보보호 의무가 공공기관은 물론 제조업,서비스업,1인 사업자,의료기관,협회·동창회 등 모든 개인정보처리자로 확대되는 점이 가장큰 특징이다.

이 법의 시행으로 정보 보호 책임을 지는곳은 종전 50만곳에서 350만곳으로 7배가량 늘어난다.

개인 자영업자를 포함해 협회·단체·기관 내 개인정보를 관리하는 최소 300만명 이상의 사람들이 새 법의 적용을 받는다.

보호해야 할 개인정보는 주소,전화번호,주민등록번호,이메일 주소,가족관계 등이다.

문제는 앞선 공인중개업소의사례처럼 대부분 자신들이 법 적용 대상인지조차 모르는 경우가 태반이라는 점이다.

정부 차원의 체계적인 홍보가 이뤄지지 않은 데다 정보 보안에 대한 일반인들의 무관심이 겹치면서다.

법안 내용을 알더라도 “도대체 무엇을 어떻게 해야 할지 모르겠다”는 반응이 대부분이다.

# 법시행 뒤 세부기준 제시?

하지만 정작 법을 지켜야 할 사람들은 개인정보보호법에 대한 정확한 정보를 갖고 있지 못한 것이 현실이다.

업무 또는 다른 이유로 갖고 있는 타인의 정보가 어떤의미를 갖는지,법을 준수하려면 구체적으로 어떤 준비를 해야 하는지 제대로 알지못하고 있다.

새로 법 적용을 받는 대상이300만명(곳)에 이르는데도 정부가 법안 내용과 시행 절차를 알리는 노력을 게을리했기 때문이다.

법안의 주무 부처인 행정안전부는 법 시행 하루 전인 지난달 29일에야 ‘표준개인정보 보호지침’과 ‘안전성 확보조치 고시시안’을 인터넷 홈페이지(www.privacy.go.kr)에 공개했지만 내용이 모호해 국민에겐 별 도움이 안 된다는 지적이다.

게다가 “시안이라서 아직 확정된 것은 아니다”라는 문구를 달아 그대로 따라야 할지도의문이라는 불만이 나오고 있다.

보안 컨설팅 업체의 한 관계자는 “정부가 법 시행을 코앞에 두고도 확정 가이드라인을 제시하지 못하는 것은 큰 문제”라고 꼬집었다.

이 때문에 29일 하루 동안 기업의 문의 전화가 100여통 가까이 걸려왔지만 구체적인 대응 방식을 알려주는 데 어려움을 겪고 있다고 토로했다.

# 단속 인력은 고작 6명?

법안 내용 자체도 포괄적이란 지적이다.

예를 들어 개인정보보호법 시행령 제30조는“개인정보를 다루는 사람들이 안전성 확보 조치를 해야 한다”고 규정하고 있다.

내부 관리계획을 세워 시행하고,개인정보 접근을 통제하고,접근 권한을 제한해야 하고,안전하게 정보를 저장·전송할 수 있는암호화 기술을 적용해야 한다.

하지만 실제로 보안 솔루션을 도입해 적용하는 현장에선 이 같은 안전성 확보 조치 기준의 구체성이 떨어진다는 불만이 나오고 있다.

행안부 관계자는 “내달 중순께 법안과 관련된 자세한 내용을 담은 해설서를 내놓을계획”이라고 밝혔지만 법안 시행 이후에상세 기준을 제시하는 것이 과연 맞느냐는비판이다.단속도 문제다.

개인정보 보호대상이 50만곳에서 350만곳으로 대폭 늘어나지만 단속 인력은 고작 한 명에서 6~7명으로 늘어난다.

이들이 350만곳에 이르는 업체를 입체적으로 조사할 수는 없는 노릇이다.

업계에선 사실상 소수의 대형 업체로 단속이 쏠리거나 일회성의 ‘몰아치기’ 단속이 이뤄질 것으로 내다보고 있다.

이 같은 상황에서 소규모 업체나 자영업자들은 보안장비 도입이나 관련 준비에소극적으로 나설 가능성이 높다는 관측도제기되고 있다.

적발될 가능성이 극히 낮다면 굳이 돈을 쓸 이유가 없다는 것이다.

실제 서울 잠실동의 한 부동산 공인중개사는 “정부가 우리처럼 작은 중개업소의 정보 유출을 제대로 조사할 수 있겠느냐”고반문했다.

김남석 행정안전부 제1차관은 지난달 27일 서울에서 열린 한 세미나에 참석해 “개인정보보호법 시행으로 개인정보보호의 사각지대가 사라지게 될 것”이라고 공언했다.

지금까지는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 등 개별법의 적용을 받는 기업이나 기관만이 정보보호 의무를 갖고 있었지만 앞으로는 개인정보를 다루는 모든 조직·단체들에 의무를 부과하기 때문이라고 설명했다.

하지만한 보안업체 관계자는 “행정안전부는 법시행으로 ‘개인정보의 사각지대가 없어질것’이라고 자신하지만 정작 사각지대에 놓여 있는 이들은 법 시행 자체를 모르는 사람들”이라며 “법이 제대로 정착하기까지는 많은 시간이 걸릴 것”이라고 우려했다.

이승우 한국경제신문 기자 leeswoo@hankyung.com


---------------------------------------------------------

동창회 명부 무심코 건넸다간 수천만원 벌금

개인정보보호법의 시행에 따라 개인정보를 고의로 유출할 때의 처벌이 강화됐다.

해킹에 의해 개인정보를 빼앗겼다고해도 적절한 대비를 하지 않았다면 처벌을 피할 수 없다.

주민등록번호 등 고유식별번호 처리기준을 위반하면 5년 이하의 징역 또는 5천만원 이하의 벌금이 부과된다.

지금까지는 각종 사이트에 가입할 때 내 개인정보를 회사가 활용할 수 있도록 하는 내용에동의를 하지 않으면 가입할 수 없는 곳이많았지만 개인정보보호법 시행으로 이같은 관행도 사라지게 됐다.

최소한의 개인정보 외 정보 제공에 동의하지 않은 것을 이유로 재화나 서비스 제공을 거부하면 3000만원 이하의 과태료를 물린다.

정보 주체의 동의 없이 개인정보를 제3자에게 제공해도 5년 이하의 징역 또는5000만원 이하의 벌금을 내야 한다.

예를 들어 중개업소나 동창회 운영진이 본인 동의 없이 고객(회원) 개인정보를 제3자에게 제공할 경우 5년 이하 징역이나 5000만원 이하 벌금형에 처해진다.

그런 과정으로 정보를 취득한 사람도 동일한 처벌을 받는다.

본인 동의 없이 회원 주소록이나 수첩을 만들어 배포할 경우에도 마찬가지 제재를 받는다.

안전성 확보에 필요한 보호조치를 취하지 않아 개인정보를 도난·유출·변조·훼손당했다면 2년 이하 징역 또는 1000만원 이하 벌금형에 처해진다.

개인정보가 유출되거나 오남용될 때 국민들이 할 수 있는 권리 구제 역시 크게 확대했다.

정보 주체는 자신의 개인정보에 대한 열람·정정·삭제·처리정지를 요구할 수 있으며 개인정보 처리자는 개인정보가 유출되면 즉시 당사자에게 유출 사실을 통보해 추가 피해를예방하도록 해야 한다.

동일한 피해가 50인 이상에게 발생한 경우 집단분쟁조정을 신청할 수 있다.