정보유출사고 바로 신고
숨기면 과태료 3000만원
업무-외부망도 분리해야

지난해 농협, 현대캐피탈, 넥슨 등 대형 개인정보유출사고가 줄줄이 터져나오면서 정보통신망법과 개인정보보호법 등 소비자들의 개인정보를 강화하는 법률 및 시행령, 고시 등이 크게 강화됐습니다. `내 일이 아니겠지'라며 강 건너 불 구경 하듯 하다 자칫 잘못하면 거액의 과태료를 무는 주인공이 될 수도 있습니다. 오늘은 지난 8월18일 개정된 정보통신망법 개정 세부 사항을 꼼꼼하게 들여다보고 6개월간의 유예기간이 주어진 내년 2월18일까지 각 기업이나 기관이 대비해야 할 부분이 무엇인지 구체적으로 살펴보겠습니다.

정통망법 개정의 핵심은 `기업의 개인정보보관 및 관리 강화'과 `망분리 시행의 구체화'로 집약될 수 있습니다.

정부는 △기업의 개인정보 보호조치 기준 상향 △개인정보 유효기간제 도입을 통한 과도한 개인정보 보관의 제한(법 29조 2항, 시행령 16조) △이용자 자기정보결정권 강화(법 30조 2항, 27조 3항, 시행령 17조) △개인정보보호관리체계(PIMS) 인증 관련 규정 신설(법 47조 3항, 시행령 54조의 2)에 역점을 두고 정통망법 시행령을 개정했다고 밝혔습니다.

특히 이번 개정안에서는 `망분리'에 대한 정의가 신설됐는데요. 정통망법 2조 5호 `망분리의 정의'에서는 `망분리는 외부인터넷망을 통한 불법적인 접근과 내부정보유출을 차단하기 위해 업무망과 외부인터넷망을 분리하는 망차단조치를 말한다'고 정의했습니다.

또 4조 6호에 `개인정보를 다운로드 또는 삭제, 파기할 수 있거나 개인정보처리시스템에 대한 접근권한 설정 등을 할 수 있는 개인정보취급자의 컴퓨터 등은 물리적 또는 논리적인 망분리방식을 적용하여야 한다'는 내용을 신설했습니다.

정부는 최근 개인정보관리자 등의 계정 해킹에 의한 대량의 개인정보 유출사고가 발생함에 따라 사고를 예방하기 위한 고강도의 보안대책이 필요하다고 판단하고 있습니다.

시행령 및 고시 신설에 따라 전년도 말 기준 직전 3개월간 개인정보가 저장-관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스 부문 전년도 매출액이 100억원 이상인 정보통신서비스 제공자가 망분리 적용 대상이 되며 물리적 망분리뿐 아니라 논리적 망분리도 허용합니다. 대상 기업에 대한 망분리 의무화는 올해 8월 18일부터 6개월간의 유예기간을 거쳐 내년 2월18일부터 본격 시행에 들어가게 됩니다.

또 개인정보 누출 등에 따른 통지 신고제와 개인정보 유효기간제도가 크게 강화됩니다. 이 역시 올해 8월18일부터 시행된 것으로 정부는 유예기간이 마감되는 내년 2월19일부터 본격적인 점검에 나설 전망입니다.

정통망법 29조, 동 시행령 16조에 따른 `개인정보 유효기간제'는 장기간 서비스를 사용하지 않는 이용자의 개인정보 파기 등을 유도해 사업자가 불필요하게 보관하고 있는 개인정보를 최소화하도록 하기 위함으로 신용정보보호법, 국세기본법 등 다른 법령에서 별도의 개인정보 보관 기간을 정한 예외를 제외하고는 개인정보 보유기간을 `3년'으로 규정했습니다.

유효기간이 경과한 후에는 개인정보의 즉시 파기 또는 다른 개인정보와 분리해 저장-관리해 하며 저장-관리시에는 이용자의 별도의 요구가 있거나 다른 법률에 특별한 규정이 있는 경우로 제한됩니다. 또 개인정보 파기시 최초 회원가입, 회원정보 수정 단계에서 수집-관리되는 개인정보뿐 아니라 접속 로그나 쿠키, 결제 기록 등 서비스 이용 과정에서 생성되는 정보도 파기 조치 대상에 해당합니다.

지난 8월18일부터 `개인정보 누출 등의 통지 신고제'도 시행되고 있는데요. 정보통신서비스 제공자들은 자사가 운영하는 서비스의 개인정보 유출 사고를 인지하면 전자우편, 서면, 전화 또는 이와 유사한 방법으로 방송통신위원회에 신고해야 합니다.

이를 어기면 최대 3000만원의 과태료 처분에 처해질 수 있어 개인정보유출사고 발생시 이를 숨기려 하기보다 어떤 조치를 취해야 할지 관련 기관에 문의하고 대처하는 것이 현명한 방법입니다

한국인터넷진흥원 관계자는 "정통망법에 망분리에 대한 구체적인 가이드라인이 제시된 이후 내년 2월까지 관련 시스템을 도입하기 위한 업체들의 움직임이 활발하다"라며 "자신이 속한 조직에 적합한 망분리 시스템이 어떤 것인지 꼼꼼히 따져보고 법률에 저촉을 받지 않도록 기간 내에 시스템을 완비해야 한다"고 말했습니다.

신동규기자 dkshin@

자료= 방송통신위원회, 한국인터넷진흥원