제2의 쿠팡 사고 미리 막는다…개인정보 유출사고, 위험도별 사전 관리(종합)

개인정보위, 예방 중심 개인정보 관리체계 전환계획 발표
개인정보 규모·민감도 등 따라 차등 관리
정보보호 공시 확대…과징금 감경 등 인센티브도

하반기부터 개인정보 유출 위험의 수준에 따라 맞춤형 사전 점검이 본격 진행된다. 기업의 정보보호 투자를 확대하기 위해 정보보호 공시 역시 확대한다.

개인정보보호위원회는 22일 '예방 중심 개인정보 관리체계 전환계획'을 발표했다. 지난 12일 개인정보위가 국무회의에 보고한 계획의 후속조치다.

고낙준 개인정보보호위원회 예방조정심의관이 22일 오전 정부서울청사에서 '예방중심 개인정보 관리체계 전환 세부 추진 계획'을 발표하고 있다. 개인정보보호위원회

먼저 위험도 기반 예방관리체계를 운영한다. 개인정보 처리 규모나 민감도, 산업별 특성을 고려해 개인정보 처리 분야를 고·중·저 위험군으로 나눠 차등 점검과 관리를 실시한다. 고위험군에 대해서는 정기·수시 점검을 통해 내부통제 운영 실태를 살핀다. 올해는 고유 식별정보나 민감정보를 다수 보유하고 있는 플랫폼, 금융기관, 공공기관, 에듀테크, 요양병원 등이 실태 점검 대상이다.

고낙준 개인정보위 예방조정심의관은 "사전 실태점검 과정에서 발견된 문제점은 권고를 통해 개선을 유도할 계획"이라며 "개선이 이뤄지지 않는다면 시정명령이나 조사 절차에 들어가게 될 것"이라고 설명했다.

고위험군이 아닌 분야는 개인정보 영향평가 실시, 개인정보 보호 중심 설계 원칙(PbD) 준수 등을 유도할 계획이다. 자율점검 도구와 컨설팅을 제공해 개인정보 처리자가 기본적인 보호 수준을 확보하도록 지원한다. 필요한 경우 부처와 개인정보위가 합동 점검한다. 주요 관계부처가 참여하는 범정부 정책협의체를 통해 부처별 소관 분야의 개인정보 관리 실태와 위험 해소방안을 공유하고 협력한다.

아울러 개인정보 처리 현황과 위험요인을 분석해 기초 위험지도를 마련하고 점검 대상 선정에 활용할 계획이다. 민관 개인정보 위협 조기경보 연락체계도 운영한다. 오는 9월부터 개인정보보호책임자(CPO) 지정 신고제가 도입되는 만큼 CPO협의회 등 협회·단체와 협력을 강화해 최신 위협 정보를 전파하는 핫라인을 운영하고, 유사 사고에 대해 사전 대응할 수 있도록 한다.

추가 보호조치 시 과징금 감면…설계부터 개인정보 보호

기업의 정보보호 투자를 유도하기 위해 정보보호 공시도 확대한다. 기존 정보보호 공시 항목 중 보호활동 내용에 추가 보호조치 내역, CPO 내부통제 프로세스 등을 공개하도록 유도한다. 공시를 통해 추가적인 보호조치의 운영 사실이 확인되면 과징금 감경 등 인센티브를 부여한다. 중소·영세 사업자의 경미한 법 위반은 기술지원 등을 통해 시정 시 처분을 줄이도록 한다.

고 심의관은 "과징금 감면과 같은 인센티브는 동종업계 대비 보안 투자나 안전관리 체계를 실효적으로 운영하는 등의 지표가 있다"면서 "구체적인 내용은 조만간 입법보고를 할 예정"이라고 부연했다.

사물인터넷(IoT) 기기나 AI 에이전트 등 신기술 분야도 선제 점검한다. 안전성 확보 조치 기준 역시 위험 분석을 기반으로 처리자 스스로 안전조치 적용 여부와 적용 수준을 다르게 할 수 있도록 중장기 개정방안을 마련할 계획이다.

PbD 역시 제도화한다. PbD는 개인정보 보호를 서비스 기획·설계·개발 단계부터 기본값으로 반영하는 것을 뜻한다. 지금까지는 아이피(IP) 카메라와 로봇청소기 등 일부 제품을 대상으로만 PbD 인증제를 운영해왔다. PbD 원칙 확산을 위해 개인정보 보호법 개정과 함께 PbD 안내서와 우수사례도 보급한다. 정보보호 관리체계(ISMS-P) 인증과 같은 기존 평가·인증 기준에도 PbD 원칙을 반영할 계획이다.

아울러 대량의 개인정보가 집중되는 서비스형소프트웨어(SaaS), 클라우드, 전문수탁자 등 공급망 전반에 대한 관리를 강화하고 개인정보 유출과 오남용을 방지하기 위한 예방형 개인정보 보호 강화기술(PET) 연구개발(R&D)과 전문인력 양성도 추진한다. 이 밖에도 국민이 체감할 수 있도록 아동·청소년과 취약계층 대상 교육을 확대하고 다크패턴 등 관행을 점검해 개인정보 보호가 일상으로 자리 잡도록 할 계획이다.

송경희 개인정보위 위원장은 "관계 부처와 협력해 중점 분야별 개인정보 처리 실태와 취약 요인을 지속 점검하고 위험에 비례한 예방 중심 관리체계를 정착시켜 나가겠다"고 밝혔다.

이명환 기자 lifehwan@asiae.co.kr