망법 시행령 개정안 29일부터 시행… 유출 감지 24시간내 신고 의무화
이달 말부터 기업이 개인정보를 보관할 수 있는 유효기간이 3년에서 1년으로 단축된다. 기업이 이용자 탈퇴 등으로 더 이상 서비스를 제공하지 않을 경우, 기존에는 3년까지 이용자 개인정보를 보유할 수 있었지만, 앞으로는 1년이 지나면 모두 폐기해야 한다. 개인정보 유출사고와 오남용을 줄이기 위한 조치다.
또 개인정보가 외부로 누출됐을 경우, 이용자는 누출 통지를 받은 날로부터 3년, 또는 개인정보가 누출된 날로부터 10년 안에 법정 손해배상을 청구할 수 있게 됐다.
방송통신위원회는 12일 전체회의를 열고 이같은 내용을 담은 '정보통신망 이용촉진 및 정보보호 등에 관한 법률'(이하 정보통신망법) 시행령 일부 개정안을 의결했다. 해당 개정안은 오는 29일부터 시행된다. 구체적으로는 정보통신 서비스의 특성을 고려해 개인정보 유효기간을 3년에서 1년으로 조정하고, 개인정보 누출 등의 신고기관에 방통위 외 한국인터넷진흥원(KISA)을 추가했다. 기업 등은 개인정보 유출을 감지한 시점부터 24시간 내 방통위나 KISA에 신고해야 한다. 이용자가 법정 손해배상을 청구할 수 있는 기간은 누출 통지를 받은 날부터 3년 또는 개인정보가 누출된 날부터 10년으로 정했다.
또 바이오정보를 암호화 대상으로 변경하고, 현실 변화에 따라 암호화 대상의 추가나 변경이 쉽도록 암호화 대상을 시행령이 아니라 고시로 정할 수 있도록 했다.
과징금과 과태료 부과 기준도 상향 조정됐다. 지난 정보통신망법 개정으로 개인정보 누출 기업의 과징금 부과 상한이 위반행위 관련 매출액의 1%에서 3%로 상향됨에 따라 과징금 부과기준율도 함께 올라간 것이다. 이에 따라 매우 중대한 위반행위의 경우, 현행 0.9%에서 2.7%로, 중대한 위반행위는 0.7%에서 2.1%, 일반 위반행위는 0.5%에서 1.5%로 과징금이 올라가게 됐다. 정당한 사유 없이 24시간이 넘어서 개인정보 누출 등을 통지하거나 신고할 경우에도 과태료를 부과키로 했다.
방통위는 또 이날 개인정보 최소 수집, 보관을 위한 '온라인 개인정보 취급 가이드라인'을 발표했다. 웹사이트 이용시 서비스와 무관한 개인정보 수집, 이용 동의를 강제하거나, 무분별하게 제3자에 제공되도록 포괄적 동의를 받는 관행에 제동을 걸기 위한 것이다. 가이드라인에는 △최소한의 개인정보 수집 기준 △단계별 개인정보 파기 기준 △이해하기 쉬운 동의서 작성 기준 등의 내용을 담았다.
정윤희기자 yuni@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
