망법 시행령 개정안… '의무대상'에 다른 개인식별정보 추가
'최소한' 원칙 보안투자 유도
'최소한' 원칙 보안투자 유도
기업들은 앞으로 개인정보보호를 더욱 강화하기 위해 주민등록번호뿐만 아니라 여권번호, 운전면허번호 등 또 다른 개인식별정보도 모두 암호화해야 한다. 공인인증서 강제 이용 대신 다양한 수단으로 개인정보처리 시스템에 접속하는 것도 허용됐다.
방송통신위원회는 9일 전체회의를 열고 개인정보보호 강화를 위한 정책 개정사항을 보고했다. 지난 2014년 7월31일 발표한 범정부 개인정보보호 종합대책 후속 조치와 정보통신망이용촉진및정보보호등에관한법률(이하 망법) 시행령 개정안, 그밖에 개인정보보호를 위한 안전성 조치 등의 내용이 이번 보고사항에 포함됐다. 먼저 그간 기업에게 의무적으로 부과됐던 '암호화 대상'에 여권번호, 운전면허번호, 외국인등록번호가 추가됐다. 망법은 현재까지 비밀번호, 주민등록번호, 바이오(신체)정보, 신용카드번호, 계좌번호를 암호화 의무대상으로 규정했다. 하지만 여권번호나 운전면허번호, 외국인등록번호 등은 그 자체로 주민등록번호와 같은 고유번호이면서 개인을 식별할 수 있는 정보이기 때문에 유출될 경우 주민등록번호 유출과 동일한 피해를 일으킬 수 있는 위험이 크다. 이에 따라 방통위는 망법 시행령 개정안 제6조 제2항을 통해 해당 항목을 추가한 것이다.
기업의 자율적인 개인정보보호를 촉진하기 위해 법령에서 시시콜콜한 조항을 규정하기 보다 '최소한'의 원칙을 제시하고 기업이 해당 시점에 맞는 최선의 방법으로 보안 투자를 하도록 유도하는 방안도 마련됐다.
개정안 제1조에서는 보호조치 기준의 목적을 현행 '구체적인 기준'에서 '최소한의 기준'을 정하도록 수정했다. 기업이 사업규모나 개인정보 보유 수 등을 고려해 자율적으로 사업자 환경에 맞는 보호조치 기준을 수립, 시행토록 한 것이다.
사실 법령으로 보호조치를 규정하게 되면 대규모 기업은 보호 수준에 미달하고 중소기업은 너무 높은 규제수준으로 받아들여져 경영에 어려움을 겪게 된다. 또 법령을 시시때때로 바꿀 수 있는 것도 아니어서 수시로 변화하는 변종 사이버 위협에 적절히 대처하기에도 부족하다. 이에 정부는 법령에 개인정보보호를 위한 구체적인 의무사항을 표기하기보다 최소한의 '원칙'을 고지하고 기업이 상황에 맞는 보안 투자를 하는지 관리 감독을 강화하기로 했다.
개인정보처리시스템에 접속할 때 공인인증서 뿐만 아니라 다양한 인증수단을 사용할 수 있도록 규정도 완화했다. 다양한 인증수단을 사용하는 것이 정보보호에 더 유리하고 공인인증서 종속성도 해소할 수 있기 때문이다.
이밖에 시행령 개정안에는 △위탁자 관리책임을 강화한 사업자 내부관리계획 보완 △비밀번호 규정 간소화 △접근통제 장치 확대 및 시스템 접속시간 제한 △개인정보 저장장치 확대 △물리적 접근 방지 근거 마련 등의 내용이 포함됐다.
강은성기자 esther@
방송통신위원회는 9일 전체회의를 열고 개인정보보호 강화를 위한 정책 개정사항을 보고했다. 지난 2014년 7월31일 발표한 범정부 개인정보보호 종합대책 후속 조치와 정보통신망이용촉진및정보보호등에관한법률(이하 망법) 시행령 개정안, 그밖에 개인정보보호를 위한 안전성 조치 등의 내용이 이번 보고사항에 포함됐다. 먼저 그간 기업에게 의무적으로 부과됐던 '암호화 대상'에 여권번호, 운전면허번호, 외국인등록번호가 추가됐다. 망법은 현재까지 비밀번호, 주민등록번호, 바이오(신체)정보, 신용카드번호, 계좌번호를 암호화 의무대상으로 규정했다. 하지만 여권번호나 운전면허번호, 외국인등록번호 등은 그 자체로 주민등록번호와 같은 고유번호이면서 개인을 식별할 수 있는 정보이기 때문에 유출될 경우 주민등록번호 유출과 동일한 피해를 일으킬 수 있는 위험이 크다. 이에 따라 방통위는 망법 시행령 개정안 제6조 제2항을 통해 해당 항목을 추가한 것이다.
기업의 자율적인 개인정보보호를 촉진하기 위해 법령에서 시시콜콜한 조항을 규정하기 보다 '최소한'의 원칙을 제시하고 기업이 해당 시점에 맞는 최선의 방법으로 보안 투자를 하도록 유도하는 방안도 마련됐다.
개정안 제1조에서는 보호조치 기준의 목적을 현행 '구체적인 기준'에서 '최소한의 기준'을 정하도록 수정했다. 기업이 사업규모나 개인정보 보유 수 등을 고려해 자율적으로 사업자 환경에 맞는 보호조치 기준을 수립, 시행토록 한 것이다.
사실 법령으로 보호조치를 규정하게 되면 대규모 기업은 보호 수준에 미달하고 중소기업은 너무 높은 규제수준으로 받아들여져 경영에 어려움을 겪게 된다. 또 법령을 시시때때로 바꿀 수 있는 것도 아니어서 수시로 변화하는 변종 사이버 위협에 적절히 대처하기에도 부족하다. 이에 정부는 법령에 개인정보보호를 위한 구체적인 의무사항을 표기하기보다 최소한의 '원칙'을 고지하고 기업이 상황에 맞는 보안 투자를 하는지 관리 감독을 강화하기로 했다.
개인정보처리시스템에 접속할 때 공인인증서 뿐만 아니라 다양한 인증수단을 사용할 수 있도록 규정도 완화했다. 다양한 인증수단을 사용하는 것이 정보보호에 더 유리하고 공인인증서 종속성도 해소할 수 있기 때문이다.
이밖에 시행령 개정안에는 △위탁자 관리책임을 강화한 사업자 내부관리계획 보완 △비밀번호 규정 간소화 △접근통제 장치 확대 및 시스템 접속시간 제한 △개인정보 저장장치 확대 △물리적 접근 방지 근거 마련 등의 내용이 포함됐다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
