[기고/박세민]강화된 개인정보보호법,정확히 알고 대비해야

박세민 고려대 법학전문대학원 교수

개인정보보호법이 9월 30일 시행에 들어갔다. 최근 싸이월드 정보 유출사건뿐 아니라 이전에도 현대캐피탈과 GS칼텍스 등 많은 기업에서 엄청난 양의 개인정보가 유출돼 소비자 피해 및 기업의 이미지 실추가 빈번한 상황에서 정보 보호를 강화하는 법이 시행된 것은 시의적절하다.

이 법의 제정 취지는 개인정보의 유출 또는 오남용 등으로 인한 국민의 피해를 방지하고 권익을 보호하기 위해서다. 기존에는 공공기관 정보통신사업자 신용정보제공·이용자 등 분야별로 개별법이 있는 경우에 한해 개인정보 보호의무가 적용됐다. 개인정보보호법 시행으로 적용 대상이 비영리단체를 포함해 350만 개 이상으로 늘어나고 보호 범위 역시 대폭 확대됐다.

정보 주체의 권익 강화에 초점을 맞춰 개인정보를 다루는 공공기관, 법인, 단체, 사업자 및 개인이 업무상 목적으로 처리하는 모든 개인정보를 대상으로 수집, 이용, 처리, 파기 등 단계별 보호기준과 원칙이 명시돼 실질적으로 개인정보를 보호할 수 있게 됐다. 또 특정 정보만으로 개인을 알아볼 수 없더라도 다른 정보와 결합했을 때 알 수 있다면 이것도 개인정보에 포함해 고유 식별 정보의 처리를 엄격히 제한하고 있다.

개인정보 처리 기관이 정보 유출 사실을 발견한 경우 지체 없이 관련 사실을 당사자에게 통지하도록 의무화하고 피해자의 손해배상 청구 시 정보처리 기관이 자신의 고의 또는 과실이 없음을 스스로 입증하도록 해 그 책임을 더욱 강화했다. 기존에는 보호 대상이던 기업이나 개인도 새 개인정보보호법에서는 개인정보처리자가 될 수 있다. 예를 들어 동호회 운영자나 멤버십카드를 발행하는 음식점 등도 개인정보처리자에 해당한다.

그러나 개인정보보호법의 시행으로 개인정보처리자의 피해 고객에 대한 법률상 손해배상책임 위험이 크게 높아졌지만 정보처리자의 대응은 미흡하다. 지금까지 우리나라는 외국과 달리 정보 유출사고에 대한 배상책임에 관대한 경향이 있었으나 개인정보보호법 시행으로 사법부의 판단에 적지 않은 변화가 있을 것으로 예상된다.

기존에는 정보처리자에 해당하지 않았던 중소기업도 개인정보 유출로 단체소송에 휘말릴 위험이 상당히 커졌다. 개인정보 보호에 대한 투자와 관리를 지속적으로 하고 있는 대기업의 경우에도 정보 유출 사고가 빈번하게 발생하는 상황에서 이런 대비가 부족한 중소기업은 더 큰 위험에 노출될 수밖에 없다.

기업들은 하루빨리 정보 보안 인프라를 구축하고 유출사고에 대비해 정보유출배상책임보험 가입 등으로 이중의 안전망을 구축해야 한다. 인프라 구축이나 보험 가입 비용이 크게 느껴질 수도 있다. 그러나 정보에 대한 개인의 인식과 가치가 높아지는 만큼 정보 보유 리스크도 커지기 때문에 이런 대비 없이 정보 유출사고가 발생하면 기업이 존폐의 기로에 놓일 수도 있다.

기업과 개인뿐만 아니라 공공단체, 비영리단체 역시 개인정보보호법에 대한 정확한 인식과 대비가 필요하다. 예전에는 위험이라고 인식하지 못하던 요소가 이제는 어느 위험 못지않게 관리가 필요하게 된 것이다. 정부 역시 법 제정으로 역할을 다했다고 생각해서는 안 된다. 제대로 법 시행을 홍보하고 준비가 미흡한 기업이나 단체에는 위험성을 알리고 대비하도록 지속적으로 안내활동을 해야 한다. 또 정보 유출에 따른 손해배상 책임을 위한 보험 가입 등을 개인정보보호법에 포함시키는 것도 신중히 고려해야 한다.

개인정보 보호와 관련된 보안업체와 보험사들도 적절한 준비가 필요하다. 정보 보호가 미흡한 부분을 개선하도록 보안프로그램 개발과 홍보를 강화하고 보험사들은 개인정보 침해에 따른 사회적 혼란을 최소화할 수 있도록 다양한 정보유출배상책임보험 상품을 개발하는 등 사회적 책임을 다해야 한다.

정보화는 우리가 생각하는 것보다 빠르게 진행되고 개인정보의 가치는 높아지고 있다. 개인과 기업, 정부 모두 철저히 대비해 개인정보보호법이 부작용 없이 정착되기를 기대한다.

박세민 고려대 법학전문대학원 교수