개인정보 보호법은 지속적인 개정을 통해 개인정보 보호 수준을 향상시키고 정보 주체의 권리를 더욱 견고히 하는 방향으로 나아가고 있습니다. 개인정보 보호법 3차 개정안은 2025년 3월 13일부터 본격적으로 시행될 예정인데요. 이번 3차 개정안은 관련 업계에 큰 영향을 줄 것으로 예상됩니다.

이러한 규제 변화에 안일하게 대처한다면, 법적 제재와 경제적 손실을 피할 수 없습니다. 바뀐 개정안을 정확히 이해하고 잘 대응할 수 있도록 개인정보 보호법 3차 개정안 및 시행령의 주요 개정 내용을 자세히 살펴보겠습니다.

◼︎ 개인정보 보호법 시행령 개정 배경

‍

1)    디지털 기술의 발전에 따른 개인정보 전송의 안전성 및 보안 강화

출처: Unsplash

디지털 기술이 발전하면서 개인정보의 활용 범위가 점점 넓어지면서 개인정보 유출 및 오남용 방지를 위한 보안 조치가 필수적으로 요구되었습니다. 정보 주체가 자신의 개인정보를 보다 쉽게 관리, 전송할 필요성 또한 부각되었죠. 이번 개인정보 보호법 시행령 3차 개정안은 디지털 기술 발전에 따라 개인정보 전송 요구권을 통해 개인정보 활용의 투명성을 높이고, 데이터 이동성을 보장하는 것을 목표로 합니다.

2)    개인정보 결합 전문 기관의 지정 기준 강화

출처: Unsplash

가명정보 즉, 추가 정보의 사용 없이는 특정 개인을 알아볼 수 없게 조치한 정보 등을 활용한 데이터 결합이 점점 활성화됨에 따라 개인정보를 결합하는 전문 기관의 중요성이 더욱 커지고 있습니다. 개인정보 보호법 시행령을 통해 전문기관의 지정 기준 및 재지정 기준을 정비하는 등 현행 제도의 운영 상 나타난 일부 미비점을 개선ㆍ보완하여 가명정보 활용의 투명성을 높이고, 공정한 데이터 활용 환경을 조성하는 것을 목표로 하고 있습니다.

◼︎ 개인정보 보호법 3차 개정 주요 내용 8가지

1) 가명정보 결합 전문기관 지정 기준 강화

가명정보 결합의 신뢰성과 안전성을 높이기 위해 전문 기관의 지정 요건이 한층 강화됩니다. 최근 1년 이내에 지정 취소 또는 재지정 거부 이력이 없어야 하며, 기관의 업무 수행 계획과 운영 실적을 면밀히 검토하여 재지정 여부를 결정합니다. 이를 통해 가명정보의 안전한 활용을 보장하고 데이터 경제 활성화의 기반을 마련하고자 합니다.

2) 개인정보 전송 요구권 신설

정보주체가 자신의 개인정보를 자유롭게 이동할 수 있도록 ‘개인정보 전송요구권’이 도입됩니다. 정보 주체는 본인 또는 개인정보관리 전문기관 등에 자신의 정보를 전송할 것을 요구할 수 있으며, 이를 수행해야 하는 기관으로 보건의료, 통신, 에너지 관련 기관이 지정됩니다. 또한, 정보 전송자는 기술적·재정적 요건을 충족하는 기관으로 제한하여, 개인정보가 안전하고 원활하게 이동할 수 있도록 하죠.

3) 개인정보 전송 요구를 받을 기관의 시설 및 기술 기준 설정

개인정보를 안전하게 전송받을 수 있도록 시설 및 기술적 요건이 체계적으로 정비됩니다. 표준화된 전송 절차를 마련하고, 강력한 보안 시스템과 접근 권한 관리를 의무화하여 정보 보호 수준을 높이죠. 또한 개인정보 처리 시스템을 필수적으로 마련하도록 해서 개인정보 전송이 안전하고 효율적으로 이루어질 수 있도록 지원합니다.

4) 전송 요구 대상 개인정보 범위 지정

각각의 정보 유형에 따라 개인정보 전송이 가능한 데이터의 범위를 명확히 규정하여, 정보주체가 자신의 정보를 효과적으로 활용할 수 있도록 합니다. 보건의료 정보에는 진료 기록, 처방 및 조제 정보, 의료기기 데이터 등이 포함되며, 통신 정보는 가입 정보, 이용 기록, 요금 청구 및 납부 내역 등을 포함합니다. 또한, 에너지 정보는 전기 및 도시가스 사용량, 요금 청구 및 납부 내역 등을 포함하는데요. 이를 통해 정보주체는 다양한 분야에서 자신의 데이터를 능동적으로 활용할 수 있게 됩니다.

5) 개인정보 전송 요구 방법 및 거절 사유 명확화

개인정보 전송요구권을 위한 절차를 명확히 하여 정보주체의 권리를 보호하고, 정당한 거절 사유를 규정하여 개인정보 남용을 방지할 수 있게 됩니다. 정보주체는 전송 목적과 특정 개인정보를 지정하여 요구해야 하며, 개인정보처리자는 정당한 사유 없이 이를 거부할 수 없습니다. 다만, 본인 확인이 어렵거나 기망·협박 등의 정황이 의심되는 경우에는 전송을 거절할 수 있도록 하여 보안성을 강화했어요.

6) 개인정보관리 전문기관의 지정 기준 강화

개인정보 전송을 전문적으로 수행하는 기관의 신뢰성을 높이기 위해 지정 기준이 강화됩니다. 전문기관은 최소 10억 원 이상의 자본금을 보유해야 하며, 개인정보 유출 등의 위험에 대비하여 손해배상 책임을 위한 보험에 가입해야 하죠. 또한, 정보주체에게 전송 요구를 강요하거나 부당하게 유도하는 행위를 금지하여 공정성을 유지합니다.

7) 개인정보 전송 지원 플랫폼 구축 및 운영

개인정보 보호위원회는 개인정보 전송 기록을 체계적으로 관리할 수 있는 전용 플랫폼을 구축하고 운영합니다. 이를 통해 개인정보 전송 이력을 3년간 보관하며, 정보주체의 요구에 따라 타 법령과 연계하여 관련 내역을 제공할 수 있도록 하죠. 안전한 데이터 이동 환경을 조성하여 정보주체가 자신의 데이터를 더욱 효과적으로 활용할 수 있도록 지원합니다.

8) 개인정보 전송 관련 관리·감독 및 지원 강화

개인정보 보호위원회는 정보 전송자의 의무 이행 여부를 면밀히 관리·감독할 권한을 갖습니다. 또한, 개인정보 전송 요구를 원활히 수행할 수 있도록 시설 및 기술 구축 비용을 지원하며, 개인정보처리자의 본인 확인 절차를 법적으로 뒷받침하여 안전성을 높이죠. 이를 통해 개인정보 전송 제도의 실효성을 확보하고, 정보주체의 권리를 보다 적극적으로 보호합니다.

◼︎개인정보 보호법 3차 개정안이 기업 및 개인에 미치는 영향

‍

1) 기업의 대응 방안 및 준비 사항

출처: Unsplash

이번 개인정보 보호법 3차 개정안은 기업들에게 상당한 변화를 요구합니다. 특히, 개인정보전송요구권이 도입되면서 기업은 이에 대한 대응 체계를 구축하고 개인정보 보호 담당자를 배치하여 개인정보 보호 수준을 더욱 강화해야 하죠. 변화하는 시행령에 따른 기업의 대응 방안 및 준비 사항을 함께 살펴봅시다.

✅보안 시스템 정비 및 보안 요건 강화

고객의 전송 요청을 신속하고 안전하게 처리할 수 있도록 보안 시스템의 정비, 개인정보 보호 담당자 배치, 암호화 및 접근통제 등의 기술적 조치를 마련해야 합니다. 또한, 개인정보를 전송받는 기업과 기관은 법에서 요구하는 시설 및 기술 기준을 충족해야 하며, 데이터 보호 체계를 철저히 점검해야하죠.

✅ 개인정보관리 전문기관과 협력

기업이 직접 개인정보 전송을 수행하는 개인정보 보호 담당자를 배치하기 어려운 경우, 개인정보관리 전문기관과 협력하는 방안도 고려할 수 있습니다. 이를 통해 법적 요건을 충족하면서도 효율적인 데이터 처리가 가능합니다.

✅ 보안 컨설팅 및 인증획득

보안 컨설팅을 활용하거나,ISMS 인증을 획득하여 내부 보안 체계를 강화하는 것도 중요한 대응책이 될 수 있죠.

기업 정보보호 및 개인정보보호 관리체계 ISMS 인증이란? - 보러가기

만약 개정된 규정을 준수하지 못할 경우, 기업은 과징금 부과 등 법적 제재의 대상이 될 수 있으므로 어려움을 겪는다면 보안 컨설팅을 통한 철저한 대비가 필요합니다.

2) 개인정보 주체의 권리 강화 측면

출처: Unsplash

✅ 개인정보 이동권 보장 및 프라이버시 보호 강화

개정안은 정보주체가 본인 또는 지정된 기관으로 개인정보를 자유롭게 전송할 권리를 보장하며, 개인정보활용의 투명성을 높이고 있습니다.

✅개인정보 전송 내역 보관 의무

개인정보 전송 내역은 최소 3년간 보관해야 하며, 정보주체가 요청할 경우 이를 확인할 수 있습니다.

✅ AI자동화 결정에 대한 통제권 강화

정보주체는 AI 기반 자동화된 의사결정에 대해 설명을 요구하거나 이의를 제기할 수 있습니다.

◼︎ 개인정보 보호의 든든한 파트너, SK쉴더스가 함께합니다

개인정보 보호법이 개정되고, 개인정보 보호 체계에 대한 중요성이 높아지면서 기업은 적극적인 보안 체계 구축을 통해 고객 신뢰를 확보하고 지속 가능한 성장을 도모해야 합니다. SK쉴더스의 정보보안컨설팅은 최신 법규 및 기술 동향에 대한 심층적인 분석을 바탕으로 기업의 개인정보 처리 시스템을 면밀히 진단하고,잠재적인 보안 취약점을 정확하게 식별할 수 있습니다. 뿐만 아니라 ISMS 인증 준비와 같은 복잡한 과정도 SK쉴더스와 함께라면 어렵지 않습니다.

변화하는 규제 환경 속에서, SK쉴더스의 정보보안 컨설팅과 함께 안전하고 신뢰받는 개인정보보호 체계를 구축하세요!

‍

[콘텐츠 내용 출처]

정책주간지 K-공감, 개인정보 자기결정권’ 강화 2025년부터 마이데이터 제도 본격 시행

보안뉴스, [CPO 워크숍] 개인정보 보호법 개정 키 포인트 10가지