스타트업 대표님을 위한 개정된 개인정보 보호법, 핵심만 쉽게 "정책 읽어드립니다" 정부가 2년여 간 산업계·학계·법조계·시민단체 등과 협의해 마련한 「개인정보보호법」개정안이 지난 3월 14일 공포돼 유예기간을 거쳐 오는 9월 15일 시행됩니다. 코리아스타트업포럼에서 스타트업 대표님을 위한 개정된 <개인정보보호법> 핵심만 쉽게 설명드립니다. |
|
|
개인정보 전송 요구권 신설, 스타트업이 서비스 개발을 위해 받을 수 있는 개인정보는?
'개인정보 전송 요구권'은 정보주체가 자신의 개인정보를 본인 또는 제3자(개인정보처리자, 개인정보관리 전문기관)에게 전송할 것을 요청할 수 있는 권리를 말합니다(제35조의2). 이를 바탕으로 일부의 플랫폼 기업으로 데이터가 집중되는 현상을 완화하고, 스타트업 등 다양한 기업들이 데이터를 안전하게 보호하고 활용할 수 있는 기반을 마련할 수 있게 됐습니다.
Q1-1. 그렇다면 스타트업이 새로운 서비스를 개발하기 위해 받을 수 있는 개인정보는 어떤 정보가 포함될까요?
A1-1. 개인정보보호법 상으로는 정보주체(이용자)의 개인정보로서 개인정보처리자가 갖고 있는 정보에 대해 전송요구권을 행사할 수 있습니다. 다만, 개인정보처리자가 개인정보를 이용해 추가로 가공한 정보는 전송요구권에서 제외됩니다.
Q1-2. 정보주체의 요청에 따라 제3자에게 개인정보를 전송하는 것과 관련해 수수료를 징수할 수 있나요?
A1-2. 개인정보보호법 제38조 제3항 단서는 정보주체가 제3자에게 개인정보의 전송을 요구하는 경우에는 전송을 위해 추가로 필요한 설비 등을 함께 고려하여 수수료를 산정할 수 있다고 합니다. 다만, 이를 어떻게 정할지에 대해서는 아직 정부의 명확한 입장이 나오지 않고 있습니다. 많은 설비비용을 들여 전송시스템을 만든 후 수수료 때문에 정보주체의 이용이 저조하다면 스타트업 입장에서도 손해이기 때문에 적정한 수준의 수수료 산정은 이 제도의 활성화를 위해 필요합니다. |
|
|
과징금 부과 대상, 정보통신서비스 제공자 ➜ 개인정보처리자로 확대
기존 법률은 경미한 위반 사항에 대해서도 형벌을 규정해서 개인정보 업무 담당자의 과중한 부담과 업무 회피를 초래한다는 문제점이 지적됐습니다. 또한 과징금 규정이 산재돼 있고, 정보통신서비스 제공자 등에 대해서만 과징금을 부과하는 것을 개인정보처리자로 확대해야 한다는 필요성이 제기됐습니다.
이에 정보통신서비스 제공자에게만 적용되던 형벌 규정을 일반 규정에 맞춰 정비하고, 과도한 형벌 규정은 삭제하는 대신 과징금 부과액을 상향하고 대상을 확대하는 등의 개정이 이뤄졌습니다. 이로써 과징금 부과대상은 개인정보처리자로 확대됐고, 과징금 상한액 기준을 전체 매출액의 3% 이하로 변경하되, 비례성과 효과성이 확보되도록 위반행위와 관련 없는 매출액은 제외하도록 했습니다.
Q2. 위반행위와 관련 없는 매출액은 누가 입증하고, 입증하지 못할 경우 어떻게 되나요?
A2. 개인정보보호위원회는 과징금을 산정하기 위해 개인정보처리자에게 매출액 산정 관련 자료의 제출을 명할 수 있습니다. 이때 개인정보처리자는 자신의 매출이 위반행위와 관련 없는 부분과 관련 있는 부분을 잘 설명할 필요가 있습니다. 결국 이를 제대로 입증할 책임은 개인정보처리자인 스타트업에게 있다고 볼 수 있습니다. 이러한 입증에 실패하여 전체 매출액이 위반행위와 관련된 것으로 처리되는 불이익을 얻게 되니까요. 다만, 개인정보보호위원회의 과징금 처분에 대해서는 행정심판 또는 행정소송으로 이를 다투어 시정할 수 있습니다. |
|
|
코스포의 노력, "과징금 전체 매출액 3%는 스타트업에 과도하다", 조정 요청
당초 정부발의안의 과징금 조항은 "전체 매출액의 3% 이하"였습니다(기존법은 위반행위 관련 매출액의 3% 이하, 국제적 기준에 맞추기 위해 과징금 상향 조정 계획). 코스포는 이에 대해 법 위반행위와 무관한 매출까지 포함하는 것은 개인정보 관련 사고와 인과관계가 없고, 과도한 과징금 조항으로 개인정보 활용과 관련된 산업의 위축이 우려돼 "위반 행위와 관련 없는 매출액을 제외해" 과징금을 산정해야 한다는 의견서를 제출했습니다. *의견서 보기
그 결과 최종 개정안의 과징금 조항이 "전체 매출액의 3%까지, 위반행위와 관련 없는 매출액 제외"한 매출액을 기준으로 과징금을 산정하게 됐습니다(제64조의2). |
|
|
개인정보 처리 요건을 필수 동의 ➜ '동의 불필요'로 완화
그동안 개인정보의 수집과 활용은 정보주체의 '동의'를 기반으로 진행됐습니다. 복잡하고 경직적인 동의제도 운용으로 기업 개인정보처리자는 개인정보의 처리와 활용에 많은 제약이 있었습니다. 이에 개인정보 처리 요건을 정비해 필수 동의 관행에서 벗어나도록 했습니다(제15·17·18·22조).
Q3-1. 어떤 정보를 동의 없이 처리할 수 있나요?
A3-1. 이번 개정으로 개인정보처리자는 1) 정보주체와 체결한 계약을 이행하거나 2) 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우에는 정보주체의 동의 없이도 개인정보를 수집, 이용할 수 있습니다. '계약'이란 스타트업의 경우에는 서비스 이용약관을 말하므로, 이용자에게 받은 동의항목에 필요한 동의항목이 빠져 있더라도 서비스 이행에 필요한 경우에는 별도로 동의를 받지 않아도 됩니다. 동의가 면제되는지 여부의 판단기준은 이용약관에 제시된, ‘이용계약’의 목적과 내용입니다. 대부분 이용약관에는 해당 스타트업이 제공하는 서비스 일체를 이용계약의 내용으로 정하고 있고, 이를 제공하는 것을 이용목적으로 정하고 있으므로 대부분의 경우 이용약관의 변경은 필요하지 않습니다. 관련해서 궁금한 부분은 코스포 법률지원단의 도움을 받을 수 있습니다. (법률지원단 문의하기)
Q3-2. 동의 없이 처리할 수 있는 개인정보에 대해서 처리방침을 공개해야 하나요?
A.3-2. 동의 없이 처리할 수 있는 개인정보는 위에서 설명한 바와 같이 이용계약의 이행 또는 정보주체의 요구에 따른 이용계약의 체결을 위해 ‘필요 최소한의 정보’입니다. 이는 이용약관에 명시돼 있는 서비스의 내용으로 범위가 정해지며 대부분 수집이용 항목으로 명시하고 있습니다. 위 정보들은 동의 없이 처리할 수 있는 정보들입니다. 이용자가 가입시 작성하는 수집이용 동의서에 위 정보들은 대부분 동의 항목으로 표시돼 있기 때문에, 여기서 실수로 명시되지 않은 정보에 대해서 동의가 면제되는 효력이 명확하게 된 것입니다. |
|
|
개인정보 분쟁조정 의무 참여 대상자를 모든 개인정보처리자로 확대
'개인정보 분쟁조정 제도'는 개인정보 처리와 관련해 당사자 사이에 분쟁이 있을 경우 누구든 신청 가능하며, 법령 위반행위의 중지와 피해에 대한 손해배성 청구, 개인정보 열람·정정·삭제요구권 등 적극적 권리 행사를 포함합니다. 그동안 개인정보 분쟁조정에 의무적으로 응해야 하는 기관은 공공기관에 한정돼 있고, 분쟁조정위원회에 사실 조사 권한이 없어 적극적인 분쟁 조정에 한계가 있다는 지적이 있었습니다. 이에 이번 개정안에는 분쟁조정 의무 참여 대상자를 모든 개인정보 처리자로 확대하고, 위원회 소속 공무원이 분쟁 사건 장소에 출입해 관련 자료를 조사·열람할 수 있도록 했습니다. 또한 필요시 관계기관에 자료와 의견 제출 등 협조를 요청할 수 있습니다(제45조).
Q4. 수사기관의 영장이 없어도 위원회 소속 공무원이 회사에 출입해 자료를 조사하고 열람할 수 있도록 무조건 협조해야 하나요?
A4. 원칙적으로 조사에 협조해야 하나, 해당 조사ㆍ열람을 거부할 정당한 사유가 있을 때에는 그 사유를 소명하고 조사ㆍ열람에 따르지 아니할 수 있게 하고 있습니다(제45조 제2항). 예를 들어, 해당 사업장이 개인정보분쟁과 관련 없는 사업장일 경우 분쟁조정위원 등의 출입이 필요 없다는 점을 소명하는 방법 등이 있습니다. |
|
|
|
