개정되는 개인정보보호법, 효과적으로 대응하려면
지난 2013년 12월 3일, 서울 잠실 롯데호텔에서 2014년 IT 보안 시장을 전망하는 Security Next Conference 2014가 열렸다. 점차 다각적이고 지능화되는 사이버 공격 위협 환경에서 정보 보안 현안과 해결방안에 대해 모색해보고자 하는 자리였다. 그 첫번째 순서로 ‘개인정보보호 추진성과 진단 및 향후 과제’라는 제목으로 안전행정부 한순기 개인정보보호과 과장의 키노트가 있었다.
2011년 9월에 전격 시행된 개인정보보호법은 시간이 지남에 따라 점차 개정되어 왔다. 최근에는 이 법이 시행된지 2년만에 2013년 8월 새로운 개정안이 발표되어 그에 따라 기업에서 새롭게 대응해야할 것들이 추가로 생기게 되었다. 그래서 이번 키노트 세션에서는 그동안 개인정보보호를 위해 정부에서 어떻게 해왔고, 앞으로 어떻게 해나갈지에 대한 소개가 이뤄졌다.
그간 개인정보 보호를 위한 많은 사업들이 추진되었다. 그 결과 개인정보보호에 대한 인식이 강화되었고, 개인정보보호위원회 설립 등 정책 추진을 위한 기본틀이 마련되었다. 또한 개인정보 보호법이 잘 시행되도록 정책적으로 여러가지가 이뤄졌고, 침해대응을 위한 공조체계가 구축, 운영될 수 있도록 하였다. 하지만 개인정보 보호를 위한 법의 경우 일반법과 특별법으로 이원화되어 있어 규제 피로도가 가중되었다. 한 가지 예로 미국의 경우 적절한 보호제도를 마련하여 사용자에게 고지를 하는 것이 중심으로 되어 있고, 유럽의 경우 개인정보의 중요성에 대한 인식이 높아 사전에 동의를 마련하는 것을 중심으로 법 체계가 되어 있는데, 우리나라는 이 두 가지를 모두 요구한다는 점에서 까다로운 점이 있었다. 이 밖에도 분야별로 개인정보보호를 위한 수준이 달라서 그 편차가 누적되어 갈수록 커지고 있다는 점, 그리고 개인정보보호에 대한 인식은 높아졌지만, 자율적 실천이나 자율적 문화는 저조한 수준으로 사회 전반적으로 법적 규제가 없는 경우 보호를 위한 노력이 부족하다는 한계가 있었다.
점점 변하고 있는 주변의 환경
그동안 우리 주변의 환경은 어떻게 변화하였을까. 크게 3가지 측면으로 볼 수 있다.
먼저 사회, 문화적 측면에서 보면 국민의 권익의식이 심화되고 고도화되었다는 점과 CCTV 급증, 영상정보 보호요구 증가라는 점이 있다. 개인정보 침해신고나 분쟁조정신청이 이전에 비해 증가하였고, 사생활 침해에 대한 의식이 이전에 비해 높아졌다. 또한 지능형 CCTV, 차량용 블랙박스 등 영상기기가 다양화되고 많아졌다. 현재 우리나라는 CCTV가 가장 많은 국가인데, CCTV가 많아짐에 따라 관제센터도 증가하면서 오남용 우려가 생겼다.
두번째로는 산업, 기술적 측면이다. 빅 데이터, 클라우드 컴퓨팅이 확산되었고, 침해기법은 점점 지능화, 고도화되어 가고 있으며, 개인정보 보호산업의 수요가 증가하고 있다. 빅 데이터는 익명화된 다량의 정보를 사용한다는 특성이 있지만, 오히려 익명화된 정보가 결합되면서 개인정보가 침해될 수 있다. 또한 모바일 기기 이용 증가에 따라 스미싱, 파밍 등 침해 기법도 다양해지고 있다.
세번째로는 국제적 동향을 볼 수 있다. 국가간 교역이나 클라우드 컴퓨팅의 활성화로 인해 개인정보의 국외이전이 확산되었다. 그런데 국가별로 규제가 모두 달라서 그에 따른 피해구제, 분쟁조정 관련 문제가 증가하고 있다. 또한 이러한 환경 변화에 대응하기 위해 국제 표준이 만들어지고 있고, 상호운용성의 개선이 이뤄지고 있다.
개인정보보호를 위한 한국의 정책 방향
그럼 우리나라의 정책방향은 어떻게 되고 있을까?
SWOT 분석을 통해 전략을 보면 한국의 경우 강력한 정책 추진 의지와 선진 IT기술을 보유했다는 강점이 있다. 그러나 개인정보 보호에 대한 인식이 부족한 문화와 그에 따라 관련 인력이나 예산이 부족하다는 점은 약점이 되고 있다. 그리고 새로운 기술이 도입됨에 따라 침해가능성이 새롭게 생기고 있고, 침해 기술이 고도화되어 간다는 점은 위협이 되지만, 개인정보에 대한 인식이 향상되고, 기술 수요가 증가되고 있다는 점에서 새로운 기회가 되고 있다.
그래서 현재 정부에서는 '개인의 존엄과 가치가 존중 받는 선진 정보사회'라는 비전 하에 C.A.R.E라는 키워드를 만들었다. 일반국민, 산업계, 정부, 개인정보처리자 등 각 대상별 니즈를 고려하여 각 대상에게 알맞은 목표를 가지고 정책을 추진할 계획이라고 한다.
먼저 정부의 경우, 거버넌스 구조 선진화라는 목표를 가지고 있다. 세부적으로 보면, 현재 일반법과 특별법으로 중복 규제가 되고 있는 부분을 일반법을 중심으로 법체계를 정비할 계획이다. 또한 환경변화에 대응할 수 있도록 기준을 개선하고, 국제 상호 운용성을 제고하며, CCTV가 많이 생기는 환경을 고려하여 개인영상정보 보호, 관리체계를 구축할 계획이라고 한다.
두번째로 산업계에는 개인정보를 선제적으로 보호할 수 있는 기술을 ETRI 등을 통해 개발할 수 있도록 지원하고, 대한변호사협회와 협력하여 전문인력 양성/수급 체계를 구축할 계획이다. 또한 개인정보 보호 서비스 산업을 육성하여 산업계 전반적으로 선순환 생태계를 조성하고자 한다.
세번째로 개인정보처리자에게는 선제적, 자율적 보호활동을 활성화시키고, 전사적으로 개인정보 관리통제체계를 강화하도록 하며 전담체계를 마련하고, 전문역량을 강화하도록 할 계획이다.
그리고 마지막으로 개인정보보호법을 적용 받는 국민들의 의식을 강화하기 위한 방안들이 추진된다. 국민들에게 개인정보보호에 대한 홍보를 강화하고, 침해 예방 및 권리구제의 실효성을 높이기 위한 방안들이 추진된다. 대표적으로 현재도 118로 전화하면 권익침해 구제 지원센터의 도움을 받을 수 있도록 되어 있다. 이러한 것들이 좀 더 잘 홍보될 수 있도록 추진할 계획이라고 한다.
정부와 산업계에만 기대하기보다 일반 국민들도 관심 가져야
개인정보보호법의 시행, 그리고 개정에 따라 산업계에서는 기존에 하지 않았던, 규제에 맞게 대응하는 작업이 많이 필요해졌다. 그리고 정부 또한 새로 만들어지는 규제가 적절하게 적용될 수 있도록 개선을 하고 있다. 이러한 상황에서 일반 국민들 역시 그저 방관하고 바라볼 것만이 아니라 어떻게 새로 만들어지는 법이나, 산업계에서 어떻게 대응하는지 잘 확인하는 것이 좋을 것이다.
최근 개인정보 유출사고가 또 다시 발생하였다. 매번 잊을 만 하면 새로운 사고가 생기고 있다. 큰 규모의 기업이라서 막연히 잘 할 것이라고 믿었지만, 허술한 시스템 때문에 그런 사고가 발생한 것이다. 이러한 사고에 대응하기 위해 정부에서는 새로운 방안을 마련할 것이고, 산업계에서도 물론 일부 개선을 할 것이다. 하지만 우리도 우리의 개인정보를 스스로 지키기 위해 많은 관심을 가져야 하고, 평소에도 개인정보 보호 의식이 요구된다. 그래야 최근 발생한 개인정보 사고의 재발을 막을 수 있고, 우리의 정보도 지킬 수 있을 것이기 때문이다.
정부의 개선된 법과 산업계의 적절한 대응, 그리고 일반 국민들의 의식 향상으로 우리의 개인정보가 더 잘 지켜질 수 있는 미래를 기대해본다.
