개인정보보호위원회, 정보공개 의결…정보유출 소비자 심판에
개인정보 관련법을 위반해 행정처분을 받은 기업은 앞으로 처분 사실이 대중에게 공개된다. 의료정보를 부실하게 관리한 '미래의료재단'이 첫 사례로 공개되는 불명예를 안았다.
10일 개인정보보호위원회는 전체회의를 열고 정보보호 관련법을 어겨 보안사고가 발생한 기업에 대해 '개인정보보호법 위반 행정처분 결과 공표제도'에 따라 처분 사실을 공개하기로 의결했다. 이는 행정자치부가 지난해 7월31일 발표한 개인정보보호 정상화 종합대책의 일환으로 행정처분 결과 공표제도를 대폭 강화함에 따라 처음으로 위반 사실을 공개하는 것이다.
미래의료재단은 환자 개인정보에 대한 접근 권한 및 관리가 부실해 행정자치부로부터 개인정보보호법 관련 규정 위반으로 1600만원의 과태료 처분을 받았다. 처분 사실을 대중에 공개해, 보다 엄중한 소비자의 심판을 받도록 하는 것이다.
행정처분 결과 공표제도는 이전에도 있었다. 하지만 처분 내용을 공개하는 기준 자체가 엄격해 그간 공표한 사례 자체가 없었다. 행정처분을 받고 외부 공개까지 하는 것이 '이중처벌'에 해당한다는 해석이 있어 당국이 처분받은 기업 공개를 꺼리기도 했다. 이 때문에 기업들은 보안사고가 발생하면 사고 수습보다 외부로 알려지는 것에 더 신경을 쓰는 것이 관례였다.
보안사고로 고객 정보가 유출되거나 시스템이 공격을 받는 일보다 사고가 발생했다는 사실 자체가 기업 이미지에 큰 타격을 주기 때문이다. 더구나 정보유출이나 보안사고에 대한 행정처분이 기업에 별반 타격을 주지 못하는 솜방망이 수준에 그친 반면, 해당 기업은 행정처분만으로 보안 투자를 늘리거나 정보보호 강화 노력은 여전히 미약해 행정 처분이 규제효력을 발휘하지 못한다는 지적이 잇따랐다.
이에 따라 정부는 행정처분 결과 공표제도를 기존 제도에 비해 대폭 강화했다. 예전에는 처분 사실 3개 항목 중 2개 항목 이상 동시에 해당할 경우 공표했었지만, 기준 자체를 7개 항목으로 세분화하고 이 중 한 가지라도 해당할 경우 처분 사실을 외부에 알리도록 했다.
행정처분을 공표하게 되는 7개 항목 기준은 △(보안 사고 자체에 대한)은폐 및 조작행위가 드러났을 경우 △처분 내용이 과태료 부과금액 1000만원 이상일 경우 △위반기간(정보유출 기간)이 6개월 이상 지속됐을 경우 △최근 3년 내 2회 이상 위반했을 경우 △피해자 수가 10만명 이상일 경우 △해당 보안사고로 인해 2차 피해가 발생했을 경우 △당국의 조사를 거부, 방해하거나 시정조치를 이행하지 않았을 경우 등이다.
강은성기자 esther@dt.co.kr
10일 개인정보보호위원회는 전체회의를 열고 정보보호 관련법을 어겨 보안사고가 발생한 기업에 대해 '개인정보보호법 위반 행정처분 결과 공표제도'에 따라 처분 사실을 공개하기로 의결했다. 이는 행정자치부가 지난해 7월31일 발표한 개인정보보호 정상화 종합대책의 일환으로 행정처분 결과 공표제도를 대폭 강화함에 따라 처음으로 위반 사실을 공개하는 것이다.
미래의료재단은 환자 개인정보에 대한 접근 권한 및 관리가 부실해 행정자치부로부터 개인정보보호법 관련 규정 위반으로 1600만원의 과태료 처분을 받았다. 처분 사실을 대중에 공개해, 보다 엄중한 소비자의 심판을 받도록 하는 것이다.
행정처분 결과 공표제도는 이전에도 있었다. 하지만 처분 내용을 공개하는 기준 자체가 엄격해 그간 공표한 사례 자체가 없었다. 행정처분을 받고 외부 공개까지 하는 것이 '이중처벌'에 해당한다는 해석이 있어 당국이 처분받은 기업 공개를 꺼리기도 했다. 이 때문에 기업들은 보안사고가 발생하면 사고 수습보다 외부로 알려지는 것에 더 신경을 쓰는 것이 관례였다.
보안사고로 고객 정보가 유출되거나 시스템이 공격을 받는 일보다 사고가 발생했다는 사실 자체가 기업 이미지에 큰 타격을 주기 때문이다. 더구나 정보유출이나 보안사고에 대한 행정처분이 기업에 별반 타격을 주지 못하는 솜방망이 수준에 그친 반면, 해당 기업은 행정처분만으로 보안 투자를 늘리거나 정보보호 강화 노력은 여전히 미약해 행정 처분이 규제효력을 발휘하지 못한다는 지적이 잇따랐다.
이에 따라 정부는 행정처분 결과 공표제도를 기존 제도에 비해 대폭 강화했다. 예전에는 처분 사실 3개 항목 중 2개 항목 이상 동시에 해당할 경우 공표했었지만, 기준 자체를 7개 항목으로 세분화하고 이 중 한 가지라도 해당할 경우 처분 사실을 외부에 알리도록 했다.
행정처분을 공표하게 되는 7개 항목 기준은 △(보안 사고 자체에 대한)은폐 및 조작행위가 드러났을 경우 △처분 내용이 과태료 부과금액 1000만원 이상일 경우 △위반기간(정보유출 기간)이 6개월 이상 지속됐을 경우 △최근 3년 내 2회 이상 위반했을 경우 △피해자 수가 10만명 이상일 경우 △해당 보안사고로 인해 2차 피해가 발생했을 경우 △당국의 조사를 거부, 방해하거나 시정조치를 이행하지 않았을 경우 등이다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
