요 약 문 1. 제목 : 개인정보 오남용 유출 2차 피해 최소화 방안 2. 연구의 배경 개인정보란 살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보로 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다.

Transcription

1 개인정보 오남용 유출 2차 피해 최소화 방안 최종보고서 수행기관 : 숭실대학교 산학협력단

2 요 약 문 1. 제목 : 개인정보 오남용 유출 2차 피해 최소화 방안 2. 연구의 배경 개인정보란 살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보로 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다. 이러한 개인정보가 온 오프라인 서비스 상에서 다양한 형태로 수집 및 이용됨에 따라 오남용 유출 사고 또한 빈번하게 일어나고 있다. 최근 공공기관의 개인정보 무단 노출 및 열람, 신용카드 정보 유출, 통신사 가입자 정보 유출 등 피해 사고가 끊이지 않고 있다. 나아가 오남용 유출된 개인정보는 대포폰 개통 및 대포통장 개설, 명의도용 등에 악용되어 2차 피해로 이어지고 있으며, 이로 인해 정보주체는 정신적 피해뿐만 아니라 금전적 피해 등을 받게 된다. 이에 따라 국내에서는 개인정보보호 관련 정책 및 기술 마련, 오남용 유출 사고에 따른 사전 및 사후 대응절차 마련 등 다양한 정책 제도를 추진하고 있다. 그러나 피해 사고는 끊이지 않고 있으며, 2차 피해에 대한 불안감은 점점 커지고 있다. 더불어 이미 발생한 2차 피해뿐만 아니라 다양한 형태의 새로운 2차 피해의 발생 가능성 또한 배제할 수 없다. 또한, 개인정보 2차 피해에 대해 정리된 자료가 부재하여 피해 예방은 물론 정책 제도 개선에 한계가 따르고 있다. 따라서 개인정보 오남용 유출로 인한 2차 피해를 종합 및 분석하여 2차 피해를 예방하고, 정책 제도 개선방안을 마련하여 피해를 최소화해야 할 필요성이 제기되고 있다. 3. 연구의 목적 및 범위 본 연구는 개인정보 오남용 유출로 인한 2차 피해 사례를 종합 분석하고, - i -

3 발생 가능한 2차 피해를 도출하여 유형화한 후 피해를 최소화하기 위한 방안을 제시하는 것을 목적으로 하고 있다. 이를 위해 본 연구에서는 우선 개인정보 정의 및 유형과 개인정보보호 기술 및 산업 동향을 조사하고자 한다. 이후 개인정보보호와 관련한 국내와 미국, 유럽연합(European Union, EU), 일본, 중국 등의 정책 제도 현황과 동향을 살펴보고자 한다. 또한, 개인정보 오남용 유출 사례를 조사하고, 유출된 개인정보 항목 빈도수를 측정하여 2차 피해와의 연관성을 추론하고자 한다. 더불어 얼마나 다양한 개인정보가 처리되고 있는지를 파악하기 위해 개인정보처리자의 개인정보 처리방법을 분류하여 이에 따른 개인정보 항목을 조사하고자 한다. 또한, 개인정보 2차 피해 사례 조사 및 개인정보 항목의 조합을 통해 발생 가능한 2차 피해를 도출하여 유형화하고 피해절차에 따른 대응방안을 기반으로 분석을 수행하고자 한다. 마지막으로 선행 연구 및 분석을 바탕으로 2차 피해를 최소화하기 위한 방안을 제시하고자 한다. 4. 연구의 내용 개인정보는 정보통신기술 발달 및 정보화 촉진에 따라 보호되어야 할 유형이 다양화되고 있다. 그 예로 위치정보 및 신용정보 등이 개인정보의 영역에 포함되어 이와 관련된 새로운 법제정을 비롯하여 정책 제도 등이 추진되고 있다. 또한, 개인정보를 보호하기 위해 개인정보가 저장되는 데이터베이스에 대한 접근제어 및 암호화, 전송구간 암호화 등 다양한 기술을 적용하고 있으며, 이러한 기술이 적용된 제품 및 서비스 등이 출시되고 있다. 또한, 행정자치부는 모든 영역의 개인정보보호를 규율하는 개인정보보호법, 방송통신위원회는 정보통신망법, 금융위원회는 신용정보법 등 각 해당분야에 대한 감독을 수행하고 있다. 개인정보보호위원회는 개인정보보호 관련 정책 및 제도의 조정 등 심의 의결을 통한 컨트롤 타워의 역할을 하고 있으며, 행정자치부에서는 개인정보보호법에 따라 정부, 개인정보처리자, 일반 국민, 산업계의 역량 강화 및 능동적 실천을 통한 보호문화 장착을 위해 정책 수요자별 목표 및 추진과제 선정 등 개인정보보호 관련 정책을 추진하고 있다. 또한, 2014년 카드사 - ii -

4 개인정보 유출 사고 이후 관계부처들은 개인정보보호 정상화 대책 을 확정 발표하여 정보관리, 제도, 기술, 권리 구제를 포괄하는 종합적 접근을 통해 국민이 체감할 수 있고 개인정보 시스템이 정상화되는 근본대책을 마련하여, 정보보호를 위해 노력하고 책임지는 문화 및 시스템 장착을 위해 다양한 정책 제도를 마련하여 추진하였다. 반면, 미국의 경우는 국내처럼 개인정보를 포괄적으로 보호하는 일반적 법률을 제정하지 않고 있으며, 개별적인 영역에서 각각 별도로 개인정보를 보호하고, 규율하는 다양한 법률들이 연방이나 州 에서 제정되고 있다. 개인정보보호에 관한 대표 법률로는 프라이버시법(Privacy Act)이 있으며, 예산관리처(OMB)에서는 프라이버시법에 따라 연방정부의 프라이버시 정책을 정립하는 역할을 하는 등 제한적인 역할만을 맡고 있다. 또한, 연방거래위원회(FTC)는 아동의 온라인 프라이버시, 소비자 신용정보, 공정한 거래관행과 관련하여 개인정보(프라이버시)를 보호하는 법률을 집행하고 준수 여부를 감독할 권한을 부여받아 행사하고 있다. 더불어 최근 Big Data & Privacy 위원회는 빅데이터가 제시한 기회와 도전을 평가하고, 새로운 정책을 개발하기 위한 구체적인 권고를 제시하였으며, 캘리포니아 州 는 개인정보 유출통지법을 채택하여 시행하고 있다. 이렇듯 미국은 나라의 크기와 복잡성, 많은 인구로 인해 개별적인 영역에서 정책 제도를 추진하고 있음을 알 수 있다. EU의 경우는 개인정보보호에 관한 각종 지침과 규칙, 결정 등이 채택되어 있는데 먼저 EU 회원국에 직접 효력이 발생하는 것이 아니라 회원국의 해당 사안의 입법과정에 있어 회원국이 준수해야 할 최소한의 제도적 기준을 제시하고 있는 개인정보보호지침이 1995년 마련되었다. 또한, EU 제도상 최종 발효에 따라 모든 회원국에 직접적으로 적용되는 규범으로 기존 개인정보보호 지침과는 차이가 있는 개인정보보호규칙안을 2012년에 발표하였다. 이와 함께 최근 개인정보 유출통지에 대해 표준화된 유출통지 절차 및 통지 내용 등의 요건을 마련하여 EU 내의 개인정보처리자에게 적용함으로써 개인정보 유출에 대응하고 있으며, 사물인터넷 발전에 따른 개인정보보호 의견서를 발표함에 따라 사물인터넷의 진흥을 활발하게 추진하고 있다. 이와 같이 국내/외에서는 개인정보보호를 위한 법 제정 및 정책 제도를 - iii -

5 추진하고 있지만 개인정보 오남용 유출 및 2차 피해는 증가하고 있으며, 악용되는 개인정보의 유형 또한 다양해지고 있다. 따라서 개인정보를 처리방법 1) 에 따라 제공정보, 자동수집정보, 분석정보로 구분하여 해당하는 개인정보 항목을 분석 및 분류하였다. 또한, 2차 피해 유형 조사 및 도출을 통해 2차 피해를 유형화하고, 개인정보 항목별 위험도 평가 및 유형별 분석을 수행하였다. 이후 위험도 평가 및 분석을 기반으로 2차 피해를 최소화하기 위한 정책 제도적 개선방안 등 피해 최소화 방안을 제시하였다. 이는 2차 피해를 최소화하기 위해 정부 차원의 정책 제도와 정보주체가 자신의 개인정보가 오남용 또는 유출 사실을 알았을 때 취할 수 있는 대책에 초점을 두고 있다. 5. 연구 결과 본 연구를 수행한 결과, 크게 2가지 연구 결과로 정리할 수 있다. 첫째, 개인정보 2차 피해 유형화 및 개인정보 항목별 빈도수를 기반으로 위험의 정도를 평가하였다. 둘째, 개인정보 2차 피해 유형에서의 피해 절차에 따라 대응방안을 분석하였으며, 이를 바탕으로 2차 피해 최소화 방안을 제시하였다. 먼저 개인정보 2차 피해 유형은 크게 보이스피싱, 스미싱, 파밍, 큐싱, 명의도용 등과 관련된 피해를 조사하였으며, 피해 절차에 따라 대응방안을 기반으로 분석을 수행하였다. 더불어 빅데이터, 사물인터넷 등의 환경에서 자동으로 수집되는 개인정보 항목 등 다양한 개인정보 항목을 기반으로 향후 예상될 수 있는 2차 피해를 도출하였다. 또한, 유출된 개인정보 항목 빈도수와 2차 피해에 사용된 개인정보 항목 빈도수를 기반으로 개인정보 항목별 위험도를 평가한 결과, 인적정보에 해당하는 개인정보가 가장 위험한 항목이라 할 수 있었다. 이는 주로 정보주체가 자발적으로 제공한 정보로써 해당 정보만으로도 개인을 식별할 수 있기 때문에 오남용 유출되어 2차 피해에 악용될 경우 위험하다고 할 수 있다. 다만 본 보고서에서 평가한 위험도는 1) 개인정보를 정보주체로부터 직접 수집하여 처리하는 정보는 (정보주체)제공정보, 이 개 인정보를 처리하거나 개인정보처리자가 제공하는 서비스 등을 이용하는 과정에서 자동으 로 수집되는 정보를 자동수집정보, 위 두 가지 정보를 기초로 빅데이터 분석 등 다양한 분석을 통해 재생산된 정보는 분석정보로 분류한다. - iv -

6 연구에서 조사된 피해만을 기반으로 하였기 때문에 본 연구의 결과는 2차 피해 최소화 방안 제시를 위한 참고 자료로 활용하는 것이 타당하다고 생각된다. 또한, 2차 피해 유형 분석 결과에 따라 2차 피해를 최소화하기 위한 개선방안으로는 첫째, 개인정보 오남용 유출로 인한 2차 피해는 사용자가 서비스를 이용하는 과정 즉, 서비스업체 측면에서의 문제점으로 인해 발생되었기에 이에 대한 대책이 필요한 것으로 나타났다. 둘째, 대포폰 및 대포통장 등 대포물건이 2차 피해에 사용되었으며, 악성 앱 등으로 인한 피해가 증가하고 있는 추세로 이에 대한 대책이 필요한 것으로 나타났다. 셋째, 2차 피해를 최소화하기 위해서는 개인정보 오남용 유출의 사전 예방이 중요하며, 이에 관련된 정책 제도 개선이 필요한 것으로 나타났다. 마지막으로 정보주체 부주의로 인해 2차 피해가 발생될 수 있기에 이를 위한 다양한 교육 및 홍보활동을 통해 2차 피해 최소화가 필요한 것으로 나타났다. 6. 활용에 대한 건의 개인정보는 온 오프라인 상에서 수집, 이용, 처리됨에 따라 다양한 형태로 존재하여 활용되고 있으며, 개인정보 오남용 유출로 인한 2차 피해 또한 증가하고 있다. 이러한 2차 피해를 최소화하기 위해서는 위에서 살펴본 바와 같이 다양한 대책 및 방안에 대한 검토가 필요하다. 따라서 본 보고서에서 제시한 2차 피해 최소화 방안을 기초로 관련 대책을 마련하여 추진되기를 기대한다. 7. 기대효과 미국과 EU에서는 개인정보보호를 위해 다각적인 정책 제도를 추진하고 있으며, 국내에서도 개인정보 오남용 유출 방지를 위해 제도적, 기술적 대응 방안을 제시하고 있다. 그러나 2차 피해에 대해 정리된 자료가 부재하여 피해 예방 및 최소화 대책 마련이 미흡한 실정이다. 이러한 상황에서 다소 부족한 - v -

7 면이 없지는 않지만, 증가하는 2차 피해의 예방 및 최소화를 위한 종합적인 보고서가 나왔다는 것은 커다란 의의를 갖는다고 할 수 있다. 이 보고서를 활용할 경우 향후 다양한 유형의 2차 피해를 예방하고 최소화하기 위한 종합적인 방안을 마련하는 데에 조금이나마 도움이 될 것이다. - vi -

8 < 목 차> 제1장 연구 개요 1 제1절 연구의 배경 1 제2절 연구의 목적 4 제3절 용어 정의 4 제2장 개인정보 개요 6 제1절 개인정보 개요 6 1. 개인정보 정의 6 2. 개인정보 유형 10 제2절 개인정보보호의 중요성 12 제3절 개인정보보호 기술 및 산업 동향 개인정보보호 주요 기술 개인정보보호 산업 동향 18 제3장 개인정보보호 정책 제도 현황과 사례 분석 20 제1절 개인정보보호 국내/외 정책 제도 현황 국내 국외 48 제2절 개인정보 오남용 유출 사례 개인정보 오남용 사례 개인정보 유출 사례 80 제4장 개인정보 항목 분석 및 분류 93 제1절 개인정보 항목 개요 93 제2절 개인정보처리자의 개인정보 처리방법에 따른 항목 정보주체로부터 받은 개인정보 93 - vii -

9 2. 자동으로 생성되는 개인정보 가공 재생산된 개인정보 100 제5장 개인정보 2차 피해 102 제1절 개인정보 2차 피해 개요 102 제2절 개인정보 2차 피해 유형 보이스피싱(Voice Phishing) 스미싱(Smishing) 파밍(Pharming) 큐싱(Qshing) 명의도용 향후 발생 가능한 2차 피해 118 제3절 개인정보 2차 피해 유형 분석 개인정보 2차 피해 절차에 따른 분석 개인정보 항목별 위험도 평가 129 제6장 개인정보 2차 피해 최소화 방안 132 제1절 현행 정책 제도 개선의 시급성 및 필요성 132 제2절 2차 피해 최소화 방안 제시 서비스업체 측면에서의 정책 제도 개선방안 검토 형벌 및 단속 강화 개인정보보호 관련 정책 제도 개선방안 교육 및 홍보 강화 143 제7장 결론 145 < 참고 문헌 > viii -

10 제1장 연구 개요 제1절 연구의 배경 최근 정보화의 발달에 따라 다양한 분야에서 개인정보가 폭넓게 활용되고 있으며, 기기의 스마트화와 서비스의 소셜화는 사용자 및 기기들이 생성하는 개인정보의 종류와 양을 폭발적으로 증가시키고 있다. 특히 모바일 환경 도래에 따른 소셜 네트워크 서비스(Social Network Service, SNS) 및 웹 서비스의 성장과 스마트 기기의 대중화, 사물통신의 확산으로 인해 개인정보의 중요성은 더욱 커지고 있다. 이에 따라 개인정보는 단순히 한 개인을 식별하기 위한 정보에서부터 사물인터넷(IoT) 서비스 및 맞춤형 서비스 제공, 소비자 선호도 분석, 행정 효율성 증대 등 공공 민간의 다양한 영역에서 활용될 수 있다. (그림 1-1)에서 보는 바와 같이 개인정보의 범위 및 영역은 다양한 서비스에 따라 점차 확대되고 있음을 알 수 있다. (그림 1-1) 사회발전에 따라 확대되는 개인정보의 범위 출처 : 방송통신위원회, 한국인터넷진흥원, 정보통신서비스 제공자를 위한 개인정보보호 법령 해설서, 2012 또한, 기업은 개인정보를 다양한 목적으로 활용하기 위해 수많은 정보를 수집하고 제3자와 공유하기 시작하였으며, 이에 따라 정보주체는 자신의 개인정보가 어떻게 활용되고 어디로 흘러가는지 알기 어려운 상황이 되었다

11 이렇게 개인정보의 사용이 증가함에 따라 개인정보 오남용 유출 사고 또한 빈번하게 발생하고 있다. (그림 1-2)에서 보는 바와 같이 개인정보 오남용 유출은 해킹뿐만 아니라 특정인의 개인정보 불법 열람, 내부자 및 외부 위탁업체에 의한 불법 유출, 관리 부주의 등 온 오프라인을 통해 유출되고 있으며, 연락처, 주민등록번호 등의 개인정보뿐만 아니라 신용정보 등 다양한 형태의 개인정보가 유출되고 있다. (그림 1-2) 개인정보 오남용 유출에 따른 2차 피해 출처 : 개인정보보호위원회, 개인정보보호 연차보고서, 2012 그러나 한번 유출된 개인정보는 걷잡을 수 없는 확산력을 가지고 있기 때문에, 정보주체는 2차, 3차 피해에 노출될 수 있으며, 정신적 피해뿐만 아니라 명의도용 및 보이스피싱에 의한 금전적 손해, 유괴 등의 다양한 피해를 입을 수 있다. 또한, 기업의 경우는 이미지 실추, 소비자단체 등의 불매운동, 다수 피해자에 대한 집단적 손해배상 시 기업 경영에 큰 타격을 줄 수 있다. 국가의 경우는 프라이버시 라운드 대두에 따른 IT 산업의 수출 애로, 전자정부의 신뢰성 및 국가브랜드가 하락하게 될 수 있다. 따라서 국내에서는 이와 같은 피해를 줄이기 위해 사전적, 사후적 구제수단의 필요성을 인식하여 - 2 -

12 개인정보보호법 (이하 '보호법')이 제정 시행되고 있으며, 유출에 따른 피해예방 및 피해구제를 위한 제도와 기업의 책임을 강화하는 배액배상제도의 도입 등 다양한 정책이 시행되고 있다. 또한, 사회적 불안감을 최소화 할 수 있는 보호조치로 개인정보 영향평가, 개인정보 유출통지 및 신고, 분쟁조정 및 집단분쟁조정 제도 등의 신규 제도를 도입하였다. 더불어 정보통신망이용촉진 및 정보보호 등에 관한 법률 (이하 '정보통신망법')에는 인터넷상 주민등록번호 수집 및 이용 금지 2), 개인정보 유출 사고에 대한 이용자 통지 및 신고, 개인정보 유효기간 제도, 개인정보 이용내역 통지 제도 등의 신규 제도를 도입하였다. 이를 통해 모든 기관과 사업자들은 개인정보보호 관련 정책을 따르고 관련 기술을 갖출 뿐만 아니라 유출 피해를 위한 사후 대응절차를 마련하고 있다. 3)4) 이와 같은 정책 제도 마련에도 불구하고, 개인정보 오남용 유출 사고의 피해 규모는 증가하고 있으며, 단순히 개인정보 오남용 유출에서 끝나지 않고 이러한 개인정보가 악용되면서 2차 피해 우려가 현실로 나타나고 있다. 개인정보를 악용한 2차 피해에는 보이스피싱, 대포폰 개통, 통장 개설, I-PIN(Internet Personal Identification Number) 발급 등이 있으며, 이를 통해 정보주체 및 제3자는 정신적 피해뿐만 아니라 금전적/신체적 피해 등을 입을 수 있다. 또한, 이미 발생된 2차 피해뿐만 아니라 유사 피해 발생 및 지능화된 새로운 형태의 2차 피해 발생 가능성이 존재할 수 있다. 그러나 현재 2차 피해 유형에 대해 정리된 자료가 부재하여 피해 예방 및 정책 제도 개선에 한계가 있다. 따라서 이미 발생된 2차 피해를 비롯하여 다양한 형태로 수집되는 개인정보를 악용하여 발생 가능한 2차 피해를 도출하여 유형화하고, 이러한 2차 피해를 최소화하기 위한 방안 마련이 필요하다. 2) 별도로 보호법도 개정하여 제24조의2에 주민등록번호의 법정주의를 도입 시행( ) 3) 개인정보보호위원회, 개인정보보호 연차보고서, ) kt 경제경영연구소 선임연구원, 개인정보보호 관련 규제체계와 주요 이슈,

13 제2절 연구의 목적 본 연구는 온 오프라인 상에서 다양한 형태로 생성 및 수집되는 개인정보의 오남용 유출에 따른 2차 피해를 최소화하기 위한 방안을 제시하는 것을 목적 으로 하고 있다. 이를 위해 첫째, 개인정보보호 관련 정책 제도 현황 및 개인 정보 오남용 유출 사례를 살펴보고자 한다. 둘째, 개인정보처리자(이하 처리 자 )의 개인정보 처리방법에 따라 다양한 형태로 존재할 수 있는 개인정보 항목 을 조사 및 분석하고자 한다. 셋째, 2차 피해 사례 조사 및 발생 가능한 2차 피 해 도출을 통해 2차 피해를 유형화하고, 개인정보 항목별 위험도를 평가한다. 마지막으로 선행 연구 및 조사를 바탕으로 2차 피해 최소화를 위한 방안을 제 시하고자 한다. 제3절 용어 정의 1. 정보주체 란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다. (보호법 제2조) 2. 개인정보 처리 란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위를 말한다. (보호법 제2조) 3. 개인정보파일 이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 말한다. (보호법 제 2조) 4. 개인정보처리자 란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다. (보호법 제2조) - 4 -

14 5. 개인정보취급자 란 개인정보처리자의 지휘 감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖에 업무상 필요 때문에 개인정보에 접근하여 처리하는 모든 자를 말한다. (보호법 제28조) 6. 개인정보보호책임자 란 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보보호책임자를 말하며 개인정보처리자가 지정한다. (보호법 제31조) 7. 개인정보처리시스템 이라 함은 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템을 말한다. (개인정보의 안전성 확보조치 기준 제2조) 8. 공공기관 이란 다음 각 목의 기관을 말한다.(보호법 제2조) 1) 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관 및 그 소속 기관, 지방자치단체(이하 '지자체') 2) 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관 9. 개인정보 유출 이란 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것을 말한다.(표준 개인정보보호지침 제26조) 또한, 온 오프라인 상에서 정상적으로 수집된 개인정보가 비정상 및 불법적인 방식으로 탈취되는 경우도 포함한다. 10. 개인정보 2차 피해 란 개인정보 오남용 유출에 의한 개인정보를 불법적으로 악용하여 정보주체 및 제3자에게 정신적 피해, 금전적 피해, 신체적 피해 등을 가한 경우를 말하며, 이뿐만 아니라 이후 발생한 모든 피해를 포함하여 2차 피해로 정의한다

15 제2장 개인정보 개요 제1절 개인정보 개요 1. 개인정보 정의 개인정보란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호, 영상 등을 통해 개인을 알아볼 수 있는 정보를 말한다. 또한, 그 자체로는 직접 알아보기 힘들더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보까지 개인정보의 범위에 포함된다. 5) 이러한 개인정보는 [표 2-1]에서 보는 바와 같이 정보통신망법, 위치정보의 보호 및 이용 등에 관한 법률 (이하 '위치정보법'), 신용정보의 이용 및 보호에 관한 법률 (이하 신용정보법 ) 등 개인정보보호 관련 법률에서도 정의하고 있다. 특히, 정보통신기술이 발달하고 정보화가 촉진되면서 보호되어야 할 개인정보 유형도 다양화되는 추세이며, 위치정보 및 신용정보가 개인정보의 영역에 포함되어 이와 관련된 법이 새롭게 제정되었다. [표 2-1] 개인정보 정의 구분 보호법 정보통신망법 내용 (제2조 제1호) 개인정보 란 살아 있는 개인에 관한 정보로서 성 명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다. (제2조 제6호) 개인정보 란 생존하는 개인에 관한 정보로서 성 명 주민등록번호 등에 의하여 특정한 개인을 알아볼 수 있는 부호 문자 음성 음향 영상 등의 정보(해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아 볼 수 있는 경우에는 그 정보를 포함한다)를 말한다. 5) 개인정보보호법 제2조 - 6 -

16 구분 위치정보법 신용정보법 내용 (제2조 제2호) 개인위치정보 라 함은 특정 개인의 위치정보(위 치정보만으로는 특정 개인의 위치를 알 수 없는 경우에도 다른 정보와 용이하게 결합하여 특정 개인의 위치를 알 수 있는 것을 포함한다)를 말한다. (제2조 제1호) 신용정보 란 금융거래 등 상거래에 있어서 거래 상대방의 신용을 판단할 때 필요한 다음 각 목의 정보로서 대통 령령으로 정하는 정보를 말한다. 가. 특정 신용정보주체를 식별할 수 있는 정보 나. 신용정보주체의 거래내용을 판단할 수 있는 정보 다. 신용정보주체의 신용도를 판단할 수 있는 정보 라. 신용정보주체의 신용거래능력을 판단할 수 있는 정보 마. 그 밖에 가목부터 라목까지와 유사한 정보 <시행령> 1. 법 제2조 제1호 가목의 특정 신용정보주체를 식별할 수 있는 정보: 생존하는 개인의 성명, 주소, 주민등록번호, 외국인등록 번호, 국내거소신고번호, 여권번호, 성별, 국적 및 직업 등(후 략) (제2호부터 제5호까지의 어느 하나에 해당하는 정보와 결 합되는 경우만 해당한다) 2. 법 제2조 제1호 나목의 신용정보주체의 거래내용을 판단할 수 있는 정보: 대출, 보증, 담보제공, 당좌거래(가계당좌거래를 포함한다), 신용카드, 할부금융, 시설대여와 금융거래 등 상거 래와 관련하여 그 거래의 종류, 기간, 금액 및 한도 등에 관 한 사항 3. 법 제2조 제1호 다목의 신용정보주체의 신용도를 판단할 수 있는 정보: 금융거래 등 상거래와 관련하여 발생한 연체, 부 도, 대위변제, 대지급과 거짓, 속임수, 그 밖의 부정한 방법에 의한 신용질서 문란행위와 관련된 금액 및 발생ㆍ해소의 시 기 등에 관한 사항. 이 경우 신용정보주체가 기업인 경우에는 다음 각 목의 어느 하나에 해당하는 자를 포함한다. 4. 법 제2조 제1호 라목의 신용정보주체의 신용거래능력을 판단 할 수 있는 정보: 금융거래 등 상거래에서 신용거래능력을 판 단할 수 있는 다음 각 목의 어느 하나에 해당하는 정보<각 목 생략> 5. 법 제2조 제1호 마목에 따른 정보로서 다음 각 목의 어느 하 나에 해당하는 정보 <각 목 생략> 출처 : 국가법령정보센터, 이와 같이 개인정보는 개인정보보호 관련 법률에서의 개인정보의 정의에 따라 - 7 -

17 살아 있는 개인, 특정 개인과의 관련성, 정보의 임의성, 식별 가능성 관점에서 볼 수 있다. 6) (1) 살아 있는 개인 개인정보는 현재 생존( 生 存 )하고 있는 개인 에 관한 정보에 한한다. 사망한 자에 관한 정보도 개인정보의 개념에 포함하고 있는 국가도 일부 있으나, 대부분 국가에서는 생존하고 있는 개인 에 관한 정보만을 개인정보보호의 대상으로 하고 있다. 따라서 이미 사망하였거나 실종선고 등으로 간주하는 자에 관한 정보는 개인정보로 볼 수 없다. 다만 사망자의 정보가 사망자와 유족과의 관계를 나타내는 정보이거나 유족 등의 사생활을 침해하는 경우에는 사망자 정보인 동시에 관계되는 유족의 정보이기도 하므로 이는 개인정보보호의 대상이 될 수 있다. (2) 특정 개인과의 관련성 개인정보는 살아 있는 개인에 관한 정보 즉, 특정한 개인에 대한 사실, 판단, 평가 등 그 개인과 관련성을 지닌 정보여야 한다. 특정 개인과 관련성을 지니는 정보란, 일반적으로 특정 개인의 정체성(identity)을 구별하거나 밝혀낼 수 있는 정보(성명, 주민등록번호, 생년월일, 주소, 바이오 정보 등) 및 특정 개인의 과거 및 현재 상황이나 상태를 나타낼 수 있는 정보(교육상황, 재정 상황, 진료 및 건강 상태 등)라 할 수 있다. 반면, 특정 개인을 알아볼 수 없도록 가공되었거나 통계적으로 변환된 경우에는 특정 개인과의 관련성이 없고, 식별이 어려우므로 개인정보라 할 수 없다. 예를 들어 특정 단체 임원들의 평균연봉, 특정 대학의 해당연도 졸업생의 취업률 등의 정보는 단지 통계적 정보일 뿐 특정 개인과의 관련성이 없는 정보이므로 개인정보에 해당하지 않는다. 6) 행정안전부, 개인정보보호법령 및 지침 고시 해설,

18 (3) 정보의 임의성 보호법에서는 개인정보를 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 라고만 규정하고 있을 뿐 정보의 종류, 형태, 성격, 형식 등에 대해서는 특별한 제한을 두고 있지 않다. 따라서 개인을 알아볼 수 있는 정보에 해당하는 한 모든 형태의 정보가 개인정보가 될 수 있다. 예를 들어 특정 개인의 신장, 체중, 나이 등 객관적 사실에 관한 정보부터 직장에서 직원에 대한 근무평가나 금융기관에서 개인의 신용도 평가 등 그 사람에 대한 제3자의 의견 평가와 같은 주관적인 정보도 개인정보에 해당한다. 개인정보가 반드시 사실이거나 증명될 필요는 없으며, 부정확한 정보 또는 허위 정보라도 특정 개인과 관련성을 가진다면 개인정보가 될 수 있다. 또한, 정보의 처리 형식 및 처리 매체에도 제한이 없다. PC에 저장된 문서 파일 등 전자기적 형태의 정보, 종이문서에 기록된 수기 형태의 정보, 녹음된 음성정보, CCTV의 영상정보, 기타 문자 부호 그림 숫자 사진 그래픽 이미지 음성 음향 영상 화상 등의 형태로 처리된 정보도 모두 개인정보가 될 수 있다. (4) 식별 가능성 보호법에 따른 개인정보는 개인을 알아볼 수 있는 정보여야 하며, 특정한 개인을 식별할 수 있는 정보여야 한다. 식별 이란 특정 개인을 다른 사람과 구분하거나 구별할 수 있다는 의미이다. 예를 들어 대한민국의 국민 중에서 특정 개인을 구분할 수 있는 신원정보(성명, 주민등록번호, 본적, 주소 등), 학교 직장 단체 등 소속된 곳에서 특정 개인을 구분할 수 있는 정보(성명, 아이디 등의 고객관리정보, 결재정보, 재화 용역 공급을 위한 주소지 및 연락처 등)가 이에 해당한다. 이 외에도 개인의 사적 생활과 연관되어 개인을 타인과 구분하거나 구별할 수 있는 정보라면 모두 개인정보에 해당될 수 있다. 또한, 개인을 알아볼 수 있는 정보라는 것은 사전에 친분 관계가 있는 사람이 특정 개인을 알아보는 것뿐만 아니라 그 특정 개인을 전혀 모르던 사람이더라도 그 특정 개인을 다른 사람과 구분 구별할 수 있다면 개인정보에 포함될 수 - 9 -

19 있다는 의미이다. 또한, 한 가지 정보만으로는 특정 개인을 알아볼 수 없는 경우가 존재한다. 예를 들어 성명만 있는 경우에는 만약 동명이인이 존재한다면 특정인을 구별할 수 없다. 따라서 개인정보의 식별성이란 곧 정보의 결합 또는 조합을 통하여 특정 개인을 구분 구별하는 것을 의미한다고 할 수 있다. 이에 따라서 보호법 제2조 제1호에서는 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함시키고 있다. 쉽게 결합하여 라는 표현에서 쉽게 라는 표현은 합리적으로 라는 의미로 해석하여야 한다. 즉, 쉽게 결합 이라는 표현은 각각의 정보가 물리적 과학적으로 결합할 수 있다는 가능성보다는 각각의 정보 결합의 수단 방법이 합리적으로 이루어질 수 있다는 의미로 볼 수 있다. 물리적 과학적으로는 해당 정보의 결합에 따라 정보주체의 식별이 가능하다고 하더라도 식별을 위해 불합리할 정도의 시간, 노력, 비용이 투입되어야 한다면 식별성이 있다고 할 수 없다. 2. 개인정보 유형 개인정보보호 포털 및 법령 해설서에서는 개인정보를 크게 인적사항, 신체적 정보, 사회적 정보, 재산적 정보, 통신 및 위치 등의 기타정보로 구분하여 제시하고 있다. 이에 따른 개인정보의 예시는 [표 2-2]에서 보는 바와 같다. 7)8) 본 연구에서는 개인정보 정의 및 유형을 바탕으로 정보주체로부터 직접 제공받은 정보, 자동으로 생성 또는 수집된 정보, 분석 가공 재생산된 정보로 구분하여 개인정보 항목을 조사하고자 한다. 첫째, 정보주체로부터 직접 제공받은 정보란 정보주체가 서비스 이용을 위해 자발적으로 제공한 정보를 말한다. 이는 개인정보의 이용, 제3자 제공에도 공개된 개인정보라 할 수 있다. 둘째, 자동으로 생성 또는 수집된 정보란 행정서비스 등과 관련하여 당해 서비스를 제공받는 과정 또는 그의 결과 자동으로 만들어지거나 추가된 정보, 또는 정보통신서비스와 관련하여 사용자가 7) 개인정보보호 포털( 개인정보보호소개 8) 방송통신위원회, 한국인터넷진흥원, 정보통신서비스 제공자를 위한 개인정보보호 법령 해설서,

20 해당 서비스를 이용하는 과정에서 자동으로 생성 및 수집된 정보를 말한다. 마지막으로 분석 가공 재생산된 정보란 다양한 영역에서 정보주체로부터 직접 제공받은 정보, 자동으로 생성 또는 수집된 정보를 기초로 빅데이터 분석 등 다양한 방법으로 분석 가공 등을 통해 재생산된 정보를 말한다. 인적사항 신체적 정보 정신적 정보 사회적 정보 재산적 정보 기타 정보 구분 내용 일반정보 성명, 주민등록번호, 주소, 연락처, 생년월일, 출생지, 성별 등 가족정보 신체정보 의료 건강 정보 기호 성향 정보 내면의 비밀 정보 교육정보 병역정보 근로정보 법적정보 소득정보 신용정보 부동산 정보 기타 수익 정보 통신정보 위치정보 습관 및 취미정보 [표 2-2] 개인정보 유형 가족관계 및 가족구성원 정보 등 얼굴, 홍채, 음성, 유전자 정보, 지문, 키, 몸무게 등 건강상태, 진료기록, 신체장애, 장애등급, 병력, 혈액형, IQ, 약물테스트 등의 신체검사 정보 등 도서 비디오 등 대여기록, 잡지구독정보, 물품구매내역, 웹사이트 검색내역 등 사상, 신조, 종교, 가치관, 정당 노조 가입여부 및 활동내역 등 학력, 성적, 출석상황, 기술 자격증 및 전문 면허증 보유 내역, 상벌기록, 생활기록부, 건강기록부 등 병역여부, 군번 및 계급, 제대유형, 근무부대, 주특기 등 직장, 고용주, 근무처, 근로경력, 상벌기록, 직무평가기록 등 전과 범죄 기록, 재판 기록, 과태료 납부내역 등 봉급액, 보너스 및 수수료, 이자소득, 사업소득 등 대출 및 담보설정 내역, 신용카드번호, 통장계좌번호, 신용평가 정보 등 소유주택, 토지, 자동차, 기타소유차량, 상점 및 건물 등 보험(건강, 생명 등) 가입현황, 휴가, 병가 등 주소, 전화통화내역, 로그파일, 쿠키 등 GPS 및 휴대폰에 의한 개인의 위치정보 흡연여부, 음주량, 선호하는 스포츠 및 오락, 여가활동, 도박성향 등 출처 : 방송통신위원회, 한국인터넷진흥원, 정보통신서비스 제공자를 위한 개인정보보호 법령 해설서,

21 제2절 개인정보보호의 중요성 (그림 2-1)에서 보는 바와 같이 정보통신기술의 발전은 일상생활뿐만 아니라 산업, 행정 등 사회 전 영역에서 변화를 선도하는 핵심적인 요소로 기능하여 일상생활을 보다 편리하게 만들었다. 하지만 기술 발전 이면에는 다양한 사이버 범죄와 정보 격차로 인한 소외 계층의 발생 등 역기능 문제 또한 심화되고 있다. (그림 2-1) 정보통신기술발전의 순기능과 역기능 출처 : 한국인터넷진흥원 개인정보보호포털, 최근 들어 SNS가 소통의 주 매개체가 되어 개인정보로 구성된 프로필의 공개 및 관심사 공유에 의한 인적네트워크가 형성됨에 따라 개인정보 침해, 타인 사칭 등 사회적 문제가 발생하고 있다. 또한, 사물인터넷 및 빅데이터 기반 서비스는 다양하고 상세한 개인정보를 대량으로 수집 이용하는 것을 전제로 하고 있어 개인정보 유출 시 큰 피해가 예상된다. 9) 이렇게 유출된 개인정보는 (그림 2-2)에서 보는 바와 같이 스팸메일, 불법 텔레마케팅(TM) 등에 악용되어 개인에게 원치 않는 광고성 정보가 끊임없이 전송되는 동시에 대량의 스팸메일 발송을 위한 계정 도용, 보이스피싱 등 범죄행위에 악용될 우려가 있다. 이러한 피해가 개인정보의 주체에게 미치는 정신적 물질적 신체적 피해 규모는 측정이 어려울 뿐만 아니라 한번 유출된 9) 한국정보화진흥원, 개인정보보호 트렌드전망,

22 개인정보의 회수는 불가능하기 때문에 더욱 심각하다고 할 수 있다. (그림 2-2) 유출된 개인정보의 위험성 출처 : 한국인터넷진흥원 개인정보보호포털, 기업 측면에서는 개인정보 유출 사고 발생 시 고객의 신뢰 상실은 물론 기업의 이미지 하락과 소송비용 및 손해배상금 등 실질적 비용이 소요되는 등 유 무형으로 기업 자산의 손실을 가져오게 된다. 따라서 개인이나 기업 모두 개인정보 유출에 따른 피해 비용이 기하급수적으로 증가할 수 있기 때문에 기술, 제도 마련 등 개인정보보호가 지속적으로 이루어져야 한다. 제3절 개인정보보호 기술 및 산업 동향 1. 개인정보보호 주요 기술 (1) 데이터베이스(DB) 접근 제어 DB 접근제어 기술은 보호법 제29조와 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준 (이하 '안전성 확보조치 기준') 제4조(접근권한의 관리)의 이행을 위한 수단으로 사용할 수 있는 기술이다. DB는 조직에 필요한 정보로서 DBMS(DataBase Management System)라는 관리 시스템에 의해 관리되며 인증과정을 거쳐 로그인한 후에 SQL이라는 질의어를 통해서만 해당 정보에 정상적으로 접근할 수 있다. 일반적으로 DB는 DMZ 영역을 거쳐 조직의

23 내부에 위치하고 있고, DBMS 자체가 강력한 보안기능을 제공하기 때문에 해킹보다는 DB에 접근 권한을 가진 사용자가 권한을 남용하여 정보를 유출하거나 변조하는 것이 가장 치명적인 위협이다. 이런 위협에 따라 정부는 각종 규제를 만들어 개인정보 등의 중요한 정보를 관리하는 개인정보처리시스템을 안전하게 관리하도록 요구하고 있다. DBMS에도 강력한 접근제어 기능이 있지만, 별도의 DB 접근제어가 필요한 이유는 세분화된 사용자 식별, DBMS의 부하 증가, DBMS에서 제공하는 기능의 한계 때문에 DB에 대한 별도의 접근제어가 필요하다. DB 접근제어는 DB에 저장된 개인정보파일에 접속을 시도하는 여러 사용자를 인가자와 비인가자로 구분하여 접속을 통제하는 기술이다. 인가자와 비인가자로 구분하는 방법은 두 가지가 있는데 DB 전체에 대한 접근권한 여부, DB 접근권한과 별개로 담당 업무의 내용에 따른 관련 영역의 접근권한 여부를 고려하여 구분하는 것이다. 이 기술을 체계화하여 DB 접근제어시스템 이라는 이름으로 다양한 제품들이 판매되고 있으며, 이 시스템은 DB에 대한 질문(Query)으로 데이터 생성 수정 삭제 조회 등에 대하여 감시기록을 생성하여 저장함으로써 보호대상 DB에 대한 비인가자의 불법작업 방지는 물론 인가자의 불법행위를 추적할 수 있게 하는 기술이다. 10) (2) DB 암호화 DB 암호화 기술은 보호법이 주민등록번호를 의무적으로 암호화하도록 개정(2014.3)됨에 따라 개인정보처리시스템에서 필수적으로 도입 활용되어야 하는 기술이다. DB 암호화는 DB 내의 개인정보를 암호화하여 개인정보가 유출되어도 해독이 불가능하게 함으로써 개인정보의 기밀성을 유지하는 기술이다. 만약 비인가자가 DB 접근제어시스템을 불법적으로 통과하여 DB 내의 개인정보를 유출하였다고 하더라도 이미 암호화되어 있으므로 개인정보의 추가 유출을 방지할 수 있다. 이러한 기술을 이행하기 위해서 필요한 기능은 권한 분리, 사용자 인증 및 식별, 암호 알고리즘, 키 관리, 암호통신, 인덱스 암호화, 10) 데이터 전문가 지식포털, DB 보안 가이드라인 &boardstep=1-14 -

24 보안감사, 보안관리 등이 있으며, 이들을 종합하여 체계화 한 것을 DB 암호화 시스템 또는 개인정보 암호화 시스템 이라 한다. (3) 전송구간 암호화 전송구간 암호화 기술은 안전성 확보조치 기준 제7조 제2항의 이행에 필요한 주요 기술 수단이다. 전송구간 암호화는 사용자의 웹 브라우저와 웹 응용 서버(Web Application Server) 사이에서 송수신되는 데이터의 암 복호화를 통해 개인정보 등 중요 정보에 대한 기밀성과 무결성을 제공한다. 이는 대부분 공개키 암호화(Public Key Infrastructure) 인증서를 기반으로 이루어진다. 또한, 암호화 통신, 전자서명 및 검증, 식별번호 검증, 전자봉투 및 원문화 등의 기능이 있으며, 보호법 제29조의 안전성 확보조치와 안전성 확보조치 기준에 의해서 고유식별정보 등의 송 수신 시 필수적으로 적용해야 하는 기술이다. 또한, 전송구간 암호화는 크게 웹서버와 클라이언트 간 암호화, 개인정보처리시스템 간 암호화, 개인정보취급자(이하 취급자 ) 간 암호화 등으로 구분할 수 있다. 첫째, 웹서버와 클라이언트 간 암호화는 개인정보 전송 시 암호화를 위하여 공인인증기관이 발급한 서버 인증서가 설치된 보안서버를 사용하는 방식으로 웹 브라우저에 기본적으로 내장된 SSL(Secure Sockets Layer)/TLS(Transport Layer Security) 프로토콜로 접속하는 SSL 방식과 웹브라우저에 보안 프로그램을 설치하여 접속하는 응용프로그램 방식으로 구분할 수 있다. SSL 방식은 웹페이지 전체를 암호화(웹페이지 내 이미지 포함)하는 것이고, 응용프로그램 방식은 특정 데이터만을 선택적으로 암호화 하는 것이 가능하지만 보안 서버와 웹 브라우저에 부가적인 프로그램을 설치해야 한다는 단점이 있다. 둘째, 개인정보처리시스템 간 암호화는 공중망을 이용한 VPN(Virtual Private Network)을 구축하여 개인정보 전송 시 암호화를 지원할 수 있다. VPN은 보안 프로토콜의 종류에 따라 IPsec(IP Security) VPN, SSL VPN, SSH(Secure Shell) VPN 방식 등이 있다. 이러한 VPN은 공중망을 통해 데이터를 송신하기 전에 데이터를 암호화하고, 수신 측에서 이를 복호화하는 방식으로 송 수신

25 정보에 대한 기밀성과 무결성을 보장하며, 그 외에도 데이터 출처 인증, 재전송 방지, 접근제어 등 다양한 보안기능을 제공한다. 마지막으로 취급자 간 암호화는 정보취급자가 개인정보 전송 시 주로 을 이용하게 되는데, 은 네트워크를 통해 전송되는 과정에서 공격자에 의해 유출되거나 위조될 가능성이 크다. 이러한 위협으로부터 전송되는 메시지를 보호하기 위해서 PGP(Pretty Good Privacy) 또는 S/MIME(Secure Multi-Purpose Internet Mail Extension)을 적용한 암호화 방식과 암호화된 파일을 첨부하여 전송하는 첨부문서 암호화 방식이 있다. (4) 개인정보 검색 및 차단 개인정보 검색 및 차단은 개인정보보호책임자(이하 책임자 )가 수립한 개인정보 검색 정책에 따라 업무용 PC 내의 개인정보를 검출하여 암호화 또는 완전히 삭제하는 기술을 의미한다. 이를 중심으로 식별 및 인증, 보안감사, 보안관리 기능 등이 필요하며, 이러한 기능을 가진 시스템을 개인정보 검색 및 차단시스템 이라고 한다. 이 시스템은 조직 내 직원들의 PC에 저장된 개인정보가 해킹 등으로 인해 외부에 유출되는 것을 방지하기 위해 필요하다. (5) 개인정보 통합관리 개인정보 통합관리는 개인정보의 수명주기(수집, 저장 관리, 이용 제공, 파기) 및 처리단계에 따라 개인정보를 통합적으로 관리할 수 있는 기술이다. 이 기술을 적용한 정보시스템을 개인정보통합관리시스템 이라고 하며, 이 시스템은 개인정보 보유현황자료 수집, 개인정보 조회 및 처리현황 분석, 개인정보 관련 통계 및 보고, 실시간 모니터링 등의 기능을 가지고 있다. 이 시스템은 개인정보파일을 보유하는 조직에서 여러 명이 업무용 PC 등 단말기를 통해 업무를 수행하는 경우 책임자가 보유 중인 개인정보파일을 종합적이고 체계적으로 관리하여 운영할 수 있게 하는 기술이다

26 (6) 데이터 유출 방지(Data Loss Prevention) 데이터 유출 방지 기술은 안전성 확보조치 기준 제4조(접근권한의 관리)의 이행을 위해 필요한 기술로써 기업 내 네트워크와 시스템에 있는 민감한 정보를 규정하고 찾아내어 이를 정의한 후, 민감한 정보의 사용과 배포를 통제하는 일련의 과정이다. 이를 위해서는 매체 제어, 패킷 통제, 프로그램 실행 통제, PC 통제 등의 기능이 필요하다. 이러한 기능들을 통해 데이터 유출을 방지해주는 시스템을 데이터 유출방지 시스템 이라 하며, 데이터 유출 방지 기술은 특정 데이터가 유출되는 일련의 과정을 모니터링하고 이를 선별적으로 차단하는 기능이 필요하다. 11) (7) 디지털 권한 관리(Digital Rights Management) 디지털 권한 관리는 출판자 또는 저작권자가 그들이 배포한 디지털 자료나 하드웨어의 사용을 제어하고 이를 의도한 용도로만 사용하도록 제한하는 모든 기술을 말하며, 이러한 기능을 가진 통합시스템을 디지털 권한 관리 시스템이라 한다. 12) (8) 통합 로그관리 통합 로그관리 기술은 안전성 확보조치 기준 제8조(접근기록의 보관 및 위 변조 방지)의 효율적 이행 및 로그정보의 내부관리를 지원하는 기술로써 다양한 시스템에서 대용량으로 발생하는 여러 형태의 로그들을 수집, 통합 관리하고 분석하여 개인정보보호 감사 및 관리에 활용할 수 있는 기술이다. 이 기술은 개인정보 유출 사고 시 조기 대응에 용이하며, 향후 수사 등에도 활용 효과가 높은 기술로 알려져 있다. 11) 한국침해사고대응팀협의회, CONCERT Security Consumer Report, )

27 (9) 데이터 삭제 데이터 삭제는 보호법 제21조(개인정보의 파기)를 이행하는데 필요한 기술로써 전자적으로 기록된 데이터를 복구 또는 복원할 수 없도록 삭제하는 기술이다. 삭제 방식은 논리적 방법, 자기장을 이용하는 방법, 물리적 파기 및 폐기 방법 등이 있다. 논리적 방법으로는 3회 이상 겹쳐 쓰기 방식이 있으며, 자기장 이용 방법은 전용 장비인 디가우저 13) 를 이용하는 것이며, 물리적 파기 방법은 종이문서일 경우 파쇄기가 있을 수 있다. 2. 개인정보보호 산업 동향 개인정보보호 산업은 개인정보보호 기술을 구현한 제품을 개발 생산 또는 유통하거나 관련 컨설팅, 보안관제 등의 서비스를 수행하는 산업으로 정의할 수 있다. 개인정보보호 기술은 일반적으로 정보보호 기술을 포함하고 있기 때문에 정보보안 산업과 개인정보보호 산업은 유사하다고 할 수 있다. 14) 개인정보보호 기술은 [표 2-3]에서 보는 바와 같이 개인정보보호 관련 정보보안 산업에 포함되는 제품과 서비스로 분류하여 살펴볼 수 있다. 13) 디가우저 : 하드디스크 또는 자기테이프에 강력한 자기장을 노출함으로써 자기매체 즉 하드디스 크나 자기 테이프에 기록된 데이터를 원칙적으로 파괴함으로써 복구가 불가능하도록 하여 정보 유출을 방지하는 장치이다. 14) 개인정보보호위원회, 개인정보보호 연차보고서,

28 [표 2-3] 개인정보보호 제품 및 서비스 대분류 소분류 세부 항목 정보보안제품 네트워크 보안 시스템 보안 콘텐츠 정보유출 방지보안 암호 인증 보안관리 기타 제품 웹 방화벽 네트워크(시스템) 방화벽 침입방지 시스템(IPS) DDoS 차단 시스템 통합보안시스템(UTM) 가상사설망(VPN) 네트워크접근제어(NAC) 무선 네트워크 보안 모바일 보안 가상화(망분리) PC 방화벽 Virus 백신 Anti 스파이웨어 스팸차단 SW Anti 피싱 보안운영체제 DB보안(접근통제) DB암호 PC보안 보안 USB 디지털권한방지(DRM) 데이터유출방지(DLP) 보안 스마트카드 H/W 토큰(HSM) 일회용 비밀번호(OTP) 공개키 D기반구조(PKI) 통합접근관리(EAM) 싱글사인온(SSO) 통합계정관리(IM/IAM) 기업보안관리(ESM) 위협관리시스템(TMS) 패치관리시스템(PMS) 자산관리시스템(RMS) 로그 관리 분석 툴 취약점 분석 툴 디지털 포렌식 툴 기타 보안컨설팅 정보보안서비스 유지보수 보안관제 교육 훈련 인증서비스 출처 : 개인정보보호위원회, 개인정보보호 연차보고서, 2014 인증(ISO, G-ISMS) 안전진단 기반보호 진단 및 모의해킹 개인정보 컨설팅(개인정보 영향평가 등) 종합보안 컨설팅 정보감사(내부정보 유출방지 컨설팅 등) 판매 후 유료서비스 원격관제 서비스 파견관제 서비스 교육훈련 서비스 공인 사설 인증서비스

29 제3장 개인정보보호 정책 제도 현황과 사례 분석 제1절 개인정보보호 국내 외 정책 제도 현황 1. 국내 국내 개인정보보호는 (그림 3-1)에서 보는 바와 같이 개인정보보호위원회(이하 보호위 )가 관련 정책 및 제도에 대한 심의 의결을 등 컨트롤 타워 15) 의 역할을 하고 있으며, 행정자치부(이하 행자부 )는 모든 영역의 개인정보보호를 규율하는 일반법인 보호법, 방송통신위원회(이하 '방통위')는 정보통신망법, 금융위원회(이하 '금융위')는 신용정보법 등 각 해당분야에 대한 감독을 수행하고 있다. (그림 3-1) 개인정보보호 조직 구성 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 개인정보보호를 위해 공공기관을 대상으로 공공기관의 개인정보보호에 관한 법률, 금융기관을 대상으로는 신용정보법을 별도로 제정하고, 정보통신 분야는 정보통신망법을 제정하여 정보통신사업자와 민간부분까지 규율하는 체계였다. 15) 보호법이 개정(시행 )되어 개인정보보호 컨트롤 타워로의 역할이 강화되었음

30 그러나 법 소관 부처가 각각 개별법에 따라 관리 및 규제됨에 따라 개인정보보호 제도의 일관성 결여, 특정 분야의 산업군이나 소규모 사업체에 대한 사각지대 발생 등의 한계가 나타남에 따라 2011년 3월 29일에 보호법이 제정 및 공포되면서 현재에 이르게 되었다. 본 절에서는 이 보호법에 따라 수립 시행하고 있는 2015년 ~ 2017년 개인정보보호 기본 계획과 2014년 카드사 개인정보 유출 사고 이후 추진 중인 개인정보보호 정상화 대책 현황에 대해 살펴본다. (1) 개인정보보호 계획 현황 행자부에서는 [표 3-1]에서 보는 바와 같이 정부, 처리자, 일반 국민, 산업계의 역량 강화와 능동적 실천을 통한 보호문화 정착을 위해 정책 수요자별 목표 및 추진과제를 선정하였다. 16) [표 3-1] 개인정보보호 목표 및 추진과제 목표 추진과제 일반법 중심의 법체계 정비 거버넌스 구조 선진화 환경변화에 부응하는 보호기준 개선 (정부) 글로벌 상호운용성(Interoperability) 제고 개인영상정보 보호 관리체계 구축 선제적 및 자율적 보호활동 활성화 보호 관리체계 강화 조직전반의 개인정보 관리 통제체계 강화 (처리자) 전담체계 마련 및 전문역량 강화 대상별 맞춤형 지원체계 강화 정보주체 권리보장 실질화 보호 실천문화 조성 국민참여 및 생활밀착형 홍보 강화 (일반국민) 침해예방 및 권리구제 실효성 제고 선제적 보호기술 개발 지원 선순환 생태계 조성 전문인력 양성 및 수급연계체계 구축 (산업계) 개인정보보호 서비스 산업 발전 출처 : 행정자치부(개인정보보호과), 제2차 개인정보보호 기본계획(안), 거버넌스 구조 선진화 16) 행정자치부, 제2차 개인정보 보호 기본계획(15년~17년),

31 1.1 일반법 중심의 법체계 정비 o 정보통신망법, 신용정보법 등 분야별 개별법 일괄 정비 일반법인 보호법의 지위 확립과 각 법령 간의 정합성 제고를 위해 분야별 개별 법령에 대한 정비를 계획하여 추진하고 있다. 이는 중복규제의 위험 제거 및 법령 간 적용 범위의 명확화를 위해 일반법과 동일 유사한 규정의 삭제 및 일반법의 보호기준에 부합하지 않거나 상충하는 규정의 개정과 금융, 의료 등 분야별 특성에 따라 관련 서비스 사용자 보호를 위해 필수불가결한 보호기준만 선별하여 존치하는 등의 내용이다. 또한, 개별법 정비 지원을 위해 학계, 법조계, 산업계 등 민간전문가가 참여하는 범정부 법령정비 TF'를 구성하여 운영하고 있다. 1.2 환경변화에 부응하는 보호기준 개선 o 빅데이터 클라우드 시대, 개인정보보호 체계 합리화 빅데이터 클라우드 등 정보처리 산업의 발전 및 공공정보 공유 개방 확대를 위해 개인정보보호 원칙에 기초한 합리적이고 유연한 보호에 대한 기준 마련을 계획하여 추진하고 있다. 이는 빅데이터 환경에서 개인정보 생성, 식별, 분석 및 활용기준의 합리화와 클라우드 서버에 저장되는 개인정보의 안전성 확보 및 관리 책임의 명확화를 위화여 관련 서비스 이용에 대한 표준 지침의 내용을 담고 있다. 또한, 포럼과 같은 연구반의 구성 및 운영, 침해방지 기법 등의 연구를 통해 영상 위치 음성이 결합된 융 복합형 정보, 감시 식별 정보 등에 의한 다양한 침해 위협도 진단 및 보호방안의 마련을 계획하여 추진하고 있다. o 사회적 피로도 경감을 위한 보호기준 합리화 처리자 규제의 적합성 강화를 위한 보호기준을 개선하기 위하여 처리자의 특성 및 처리정보의 규모 등을 고려한 합리적인 기술적 관리적 보호조치에 대한 기준 마련을 계획하여 추진하고 있다. 또한, 법 위반에 다른 과태료 등 처벌규정 합리화를 위해 처리자의 사업 규모, 침해에 따른 경제적 피해, 산업계와 국민 생활 전반에 미치는 영향 등을 고려한 합리적 규제에 대한 기준

32 마련을 계획하여 추진하고 있다. 1.3 글로벌 상호운용성 제고 o 기업의 안전한 개인정보 국외 이전 지원 APEC, 유럽연합(European Union, EU) 등 국제기구의 국외 이전 인증제와 국내 개인정보보호 인증제(PIPL, PIMS)의 연계 운용 추진을 위하여 국외 이전 인증제 도입의 근거 규정 및 표준계약 모델 마련을 계획하여 추진하고 있다. 또한, 개인정보 국외 이전 지원센터 구축과 사업자 지원을 위한 중소기업의 개인정보 국외 이전 컨설팅 지원 및 국외 이전 가이드라인 마련 등을 계획하여 추진하고 있다. 가이드라인에는 주요국 및 다국적 기업의 개인정보보호 동향, 보호수준 등 국외 이전 정보 및 조치사항 제공을 위해 자국민 개인정보보호 조치, 침해의 구제절차 및 방법 등의 내용을 포함하고 있다. o 국제협정 대응 및 침해 공조체계 강화 FTA 등 개인정보 국외 이전이 수반되는 국제협정 추진 시 선제적 능동적 대응을 위한 보호수준, 주요 교역 분야 및 규모 등을 종합적으로 고려하여 적절한 수준의 보호조치 반영을 계획하여 추진하고 있다. 또한, 중국, 미국, 일본 등 주요 국가들과 양자 및 다자 협력을 통해 유출 사고 공동대응 분쟁조정 등 침해대응 공조체계 강화를 계획하여 추진하고 있다. 1.4 개인영상정보 보호 관리체계 구축 o 개인영상정보 보호기준 개선을 위한 법령 마련 영상기기 등록제 도입 및 기능융합형 등 신종기기에 대한 규제기준을 마련하고 통합관제센터 운영에 관한 법적 근거 마련 및 처리자의 책임성을 강화함으로써 개인영상정보의 규제 범위 확대 및 강화를 계획하여 추진하고 있다. 또한, 개인영상정보 이력제 및 기기별 특성에 따른 안전한 관리 기준 도입과 개인영상정보 분석 가공을 통해 생성할 수 있는 개인행태정보, 바이오 정보 등에 대한 보호기준을 마련하는 등 개인영상정보 보호조치 기준에 대한 개선방안을 제시하고 있다

33 o 개인영상정보 보호 종합관리 체계 확립 보호위(심의) - 행자부(정책) - 지자체(집행)의 역할분담 체계 마련과 영상기기 유형별 운영 및 보호조치 현황 파악을 통해 개선방안을 마련하여 효율적인 정책 추진체계의 구축을 통한 영상정보 보호수준을 제고하고 있다. 또한, 개인영상정보와 다른 정보의 결합 등 다양한 침해 가능성에 대응하기 위한 보호기술 및 기법을 개발하고 있으며, 이를 통해 개인영상정보 처리 기법 기기 발달에 대응하기 위한 기술을 개발하고 있다. 2 보호 관리체계 강화 2.1 선제적 자율적 보호활동 활성화 o 개인정보보호 인증제 활성화 사업자 협회 단체 주도의 인증 추진 지원, 중소사업자의 인증 취득 컨설팅 및 우수 사업자의 통합 공시 추진 등 사회 전 분야에 인증제를 확산하기 위한 방안 마련을 계획하여 추진하고 있다. 또한, 인증제간 동일 유사 항목에 대한 상호인증 및 부분인증과 통합인증모델 체계 마련 및 인증현황 통합관리 시스템 구축을 통해 인증제 간 상호운용성을 강화하고 있으며, 통합 인증모델 체계 구축을 계획하여 추진하고 있다. o 자율규제 지원체계 마련 분야별 자율규제 기구의 지정을 통해 자체 실태개선을 위한 컨설팅, 보호수준 진단 서비스 등을 지원하여 분야별 특성을 고려한 자율규제 지원체계 구축 및 자율개선 촉진을 계획하고 있다. 또한, 일반국민의 생활 밀착형 업종을 대상으로 시민참여 모니터링을 실시하고, 개선방안 제안 등을 통해 기업의 보호활동을 지원하기 위해 소비자 단체 등과 협력한 자율규제 지원 캠페인 추진을 계획하고 있다. 2.2 조직전반의 개인정보 관리 통제체계 강화 o 전사(기관)적인 개인정보보호 프레임워크 마련 및 확산 개인정보보호 대책 수립, 관리체계 구축 및 운영, 내부 통제기준 마련 등의

34 개인정보보호 프레임워크 제시와 자율점검 및 감사체계 구축 운영기준의 보급 및 단계적인 의무화를 계획하여 추진하고 있다. 또한, 의료, 금융, 유통 물류 등 분야별 개인정보보호 수준 평가체계의 도입 및 운영을 계획하고 있으며, 이를 통해 분야별 특성에 맞는 보호수준 평가 기준의 마련 및 개인정보보호 우수 사업자(기관) 선정을 계획하여 추진하고 있다. o 분야별 침해예방 체계 내실화 및 관리 강화 학교 등 교육기관에서의 개인정보 노출에 대한 사전예방 체계를 강화하기 위하여 관련 시스템 및 인력 확충을 통해 노출점검을 확대하고 있으며, 시 도 교육청별 점검단 구성 및 운영을 통해 노출예방 및 컨설팅 지원을 계획하여 추진하고 있다. 또한, 매년 1회 이상 시스템 취약점 분석 및 평가 의무화와 전산센터 영업점까지 단계별로 인터넷망과 업무망을 분리하여 금융, 복지, 의료 등 분야별로 안전성 확보를 위한 시스템 개선을 계획하여 추진하고 있다. 2.3 전담체계 마련 및 전문역량 강화 o 적정수준의 조직 및 예산 확충 지원 법령 준수 및 보호수준의 제고를 위해 요구되는 개인정보보호 부서의 업무내용 및 그에 따른 표준인력 규모를 제시하여 처리규모 및 특성에 따른 적정 인력의 기준 제시 및 범정부적 지원을 계획하여 추진하고 있다. 또한, 처리정보의 규모 및 중요도 등을 고려하여 분야별 필수보호조치 이행에 요구되는 예산 확보의 기준제시 등 적정수준의 보호조치를 위한 예산 가이드라인 마련을 계획하여 추진하고 있다. o 책임자 및 담당자 역량 강화 책임자 필수교육 과정의 개발 운영 및 교육에 대한 실적을 정부업무평가, 인증제 등의 평가지표에 반영하고, 책임자에게 요구되는 지식수준 역할체계(Role & Responsibility)의 제시 및 이행 유도를 통해 처리자의 보호역량 제고를 위한 책임자 교육 의무화 및 역할 강화를 계획하여 추진하고 있다. 또한, 금융, 의료, 유통 물류 등 분야별로 담당자의 직무수행요건 및 필수역량을 제시하고, 직무수행요건 및

35 필수역량에 따른 교육과정의 편성 및 운영을 통해 담당자의 전문성 확보기준 제시와 교육과정 운영을 계획하여 추진하고 있다. 2.4 대상별 맞춤형 지원체계 강화 o 지역 기반 교육체계 확대 및 상시학습 지원 강화 지자체, 시 도별 상공인 지원센터, 공무원 교육원, 공공기관 및 공기업 연수원 등과 협력하여 지역 사업자 및 주민을 대상으로 교육 확대 등 지역별 교육센터 운영을 계획하여 추진하고 있다. 또한, 맞춤형 온라인 커리큘럼의 개발 및 자기 주도적 학습 지원체계의 구축을 통해 상시 자율학습을 활성화할 수 있도록 e러닝 체계 구축을 계획하여 추진하고 있다. o 개인정보 처리 유형별 수준별 지원 프로그램 보급 사업자 단체 중심의 컨설팅 지원 및 침해상담 신고 현황 분석을 통한 분야별 자가진단 체크리스트의 개발 보급을 통해 대기업 대상 자율진단 프로그램의 보급 및 실태개선을 계획하여 추진하고 있다. 또한, 의료, 약국, 복지, 정보통신 등 분야별 보호기준의 준수를 위한 법적 기술적 보호조치 컨설팅 지원과 창업, 이전 양도, 확대, 폐업 청산 등에 따른 지원 프로그램 마련 등 소상공인 중소사업자를 대상으로 맞춤형 준법지원 프로그램 운영을 계획하여 추진하고 있다. 3 보호 실천문화 조성 3.1 정보주체 권리보장 실질화 o 개인정보 자기결정권 내실화 정보주체의 인식조사, 동의제도의 운영실태 분석 등을 통해 실질적 선택권 보장에 대한 방안을 마련하기 위해 처리 목적, 처리대상 정보의 특성 등을 종합적으로 고려하거나 사전 고지 동의 방식의 합리화 등 제도 개선에 대한 사항을 검토하고 있다. 또한, 침해신고 센터 를 권익구제 지원센터 로 개편하여 권익구제를 위한 전문상담 창구의 개설 및 침해유형 업종별 권리구제의 현황, 주요 상담 분쟁조정의 사례 및 판례 등의 참고자료의 마련을 계획하고 있다

36 o 소양 교육 강화 및 소양인증제 도입 일반국민의 개인정보 자기결정권에 대한 인식 강화 및 준법의식 함양을 위해 소양교육 과정의 운영 및 소양인증제의 도입과 정규 교과과정 운영 또는 학습활동 등 초 중 고교 교육과정에서 개인정보보호에 대한 교육을 계획하여 추진하고 있다. 3.2 국민참여 및 생활밀착형 홍보 강화 o 생활 속 실천을 위한 홍보 강화 병원, 학원, 은행, 보험, 쇼핑몰 이용 시 개인정보보호 요령 등 생활밀착형 개인정보보호 수칙의 확산과 생활 속에서 접하는 개인정보 처리기기(CCTV, 블랙박스, 모바일 등)를 통한 침해 예방을 위한 이용자 보호 가이드의 마련 등 홍보 강화를 계획하고 있다. o 대상별 맞춤형 캠페인 및 취약계층 인식 제고 TV, 신문, 인터넷, 모바일, SNS 등 다양한 매체를 활용한 세대별, 대상별 눈높이 광고의 실시 및 대국민 참여 이벤트의 추진 등 세대별, 계층별 특성을 고려한 자율실천 캠페인 추진을 계획하고 있다. 또한, 노년층, 주부 등 취약계층의 인식제고를 위한 맞춤형 교육과정을 운영을 계획하고 있다. 3.3 침해예방 및 권리구제 실효성 제고 o 개인정보보호 침해 예보제 운영 명절, 입학, 취업 등 개인정보 처리가 집중되거나 분야별 업종별 동향에 따라 침해가 우려되는 시기에 침해예보 발령을 위한 침해 예보제 운영을 계획하고 있다. o 빅데이터 기반 권리구제 절차 개선 언론동향, 부처별 민원접수 침해신고 현황, 행정처분 및 권리구제의 현황 등에 대한 종합분석체계를 마련하고, 침해신고 및 조사요건 방법 등의 개선, 분쟁조정과 행정처분 간 상호 연계성을 제고하고 있다

37 4 선순환 생태계 조성 4.1 선제적 보호기술 개발 지원 o ICT 발전에 따른 새로운 보호기술 개발 사물인터넷, 지능형 CCTV, 빅데이터 등 신기술 발전에 따른 침해 가능성의 분석 및 보호기술의 개발을 추진하고 있으며, 개인정보보호를 기반으로 한 시스템의 설계 및 프로그램 개발(Privacy by Design) 기법의 보급을 계획하고 있다. o 전문 R&D 체계 및 사업화 지원기반 구축 산 학 연 협의체의 구성 및 연구기금 등 지원을 통해 신기술 개발을 위한 개인정보보호 전문 R&D 센터의 지정 및 운영을 계획하고 있다. 또한, 유관 부처와 협력하여 중소기업의 보호기술에 대한 특허 취득 컨설팅 및 기술거래에 대한 지원 등을 계획하고 있다. 4.2 전문인력 양성 및 수급 연계체계 구축 o C.A.R.E. Power (3천 명) 양성 및 Career Path 프로그램 마련 영향평가, 인증심사, 권리구제 상담 등 개인정보보호 전 분야에서 활용할 수 있는 전문자격제의 도입 및 전문가 양성을 계획하고 있으며, 관련 분야의 교육과정 수료자와 산업계의 인력 수요를 유기적으로 연계할 수 있는 전문가 경력관리 지원 프로그램을 개발하고 있다. o 보호 인력 풀 및 인력 중개체계 구축 분야별 교육 수료자, 전문자격 취득자, 소양인증교육 수료자 등을 대상으로 인력 풀(Pool)을 구축하여 운영하고 있다. 또한, 전문인력과 수요기업의 적재적소 매칭을 위해 인력 중개 및 고용 연계형 인턴십 프로그램 등의 운영을 계획하고 있다

38 4.3 개인정보보호 서비스 산업 발전 o 개인정보보호 전문위탁업 활성화 정보통신, 금융 등 개인정보 처리가 많고 전문위탁업 도입이 필요한 분야 업종의 분석 및 위탁업의 운영에 대한 기준 마련 등을 계획하여 추진하고 있다. 또한, 전문위탁업체 육성 및 활성화 지원을 위해 전문위탁업체 또는 전문 협단체(가칭 개인정보보호 산업협회)를 통한 중소기업 또는 소상공인에 대한 개인정보보호 서비스 제공 및 위탁관리 업무의 수행 등을 계획하여 추진하고 있다. o 개인정보보호 컨설팅 전문기관 지정 보유 인력의 전문성 및 경력, 기관의 역량 및 실적 등을 종합 고려한 전문기관 지정의 기준 마련 및 평가체계의 운영과 영향평가 및 인증제와의 연계를 통해 컨설팅 산업 육성 지원 등 각종 의무제도와 연계한 컨설팅업 육성 지원을 계획하여 추진하고 있다. (2) 개인정보보호 정상화 대책 현황 2014년 7월 관계부처합동(행자부, 방통위, 금융위, 미래창조과학부(이하 미래부 ) 개인정보보호 정상화 대책 이 확정 발표되었다. 개인정보보호 정상화 대책은 (그림 3-2)에서 보는 바와 같이 정보관리, 제도, 기술, 권리구제를 포괄하는 종합적인 접근과 함께 국민이 체감할 수 있고, 개인정보 시스템이 정상화되는 근본대책을 마련하여 정보보호를 위해 노력하고 책임지는 문화와 시스템의 장착을 기본방향으로 하고 있다

39 (그림 3-2) 개인정보보호 정상화 대책 개요 출처 : 관계부처합동, 개인정보보호 정상화 대책, 핵심제도 선진화 대책 1.1 권리구제 및 책임성 강화 국민이 쉽게 피해구제를 받을 수 있고, 불편을 최소화 하도록 개선되었으며, 개인정보보호를 소홀히 하는 기관은 책임을 분명히 지도록 제도화 되었다

40 o 권리구제 강화 첫째, 징벌적 손해배상제도의 신규 도입 및 법정손해배상제도가 확대 도입 되었으며, 피해자는 2가지 손해배상제도 중 적용 요건이나 피해배상의 가능성 등을 감안하여 선택이 가능하다. 또한, 기업 등이 제도변화에 대비할 수 있도록 유예기간도 부여하였다. [표 3-2]에서 보는 바와 같이 징벌적 손해배상제도는 고의 중과실로 개인정보를 유출한 기관에 대해 가중된 책임을 물어 피해액의 최대 3배까지 배상액이 중과되었으며, 법정손해배상 제도는 개인정보 유출 피해 시 구체적 피해액 입증 없이도 법원 판결을 통해 일정금액(300만 원 이내)을 간편하게 보상받는 제도이다. 양 제도는 2014년에 보호법, 정보통신망법, 신용정보법에 도입되었다. 구분 징벌적 손해배상제도 법정 손해배상제도 적용요건 입증책임 기업의 고의 중과실로 개인정보 유출 또는 동의 없이 활용하여 피해 발생 기업이 고의 중과실 없음을 입증 피해액은 피해자가 입증 기업의 고의 과실로 개인정보가 분실 도난 유출된 경우 기업이 고의 과실 없음을 입증 피해자에 대한 피해액 입증책임 면제 구제범위 재산 및 정신적 피해 모두 포함 사실상 피해입증이 어려운 정신적 피해 배상규모 적용시기 적용법률 실제 피해액의 3배 이내 배상 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 [표 3-2] 양 제도 비교 및 도입방안 300만 원 이하의 범위에서 상당한 금액 개정법 시행이후 유출 사고 보호법, 정보통신망법, 신용정보법 둘째, 금융기관의 경우, 손해배상이 금융기관 자체의 부담으로 끝나는 것이 아니라 공적자금 등 국민 부담으로 전가될 우려가 있으므로 일정부분 이에 대한 대비가 필요하기에 거액의 손해배상 발생에 대비하여 보험 가입 또는 준비금 적립이 의무화 되었다

41 o 관리 책임성 확보 첫째, 2014년 개인정보 유출 등 범죄자에 대한 처벌이 [표 3-3]에서 보는 바와 같이 강화되었다. [표 3-3] 개인정보 유출자 처벌 강화 구분 현행 개선(안) 비고 범죄로 취득한 수익 몰수 추징 (신설) 부정한 방법으로 개인정보를 영리 징역 5년, 등의 목적으로 타인에게 제공 벌금 5천만 원 징역 5년, 벌금 5천만 원 악성프로그램 유포 등 침해행위 징역 3년, 벌금 3천만 원 정당한 권한 없이 징역 3년, 정보통신망 침입 벌금 3천만 원 안전성 조치 미비로 (신설) 개인정보 유출 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 사안을 고려하여 형사벌에 병과 징역 10년, 벌금 1억 원 징역 7년, 벌금 7천만 원 징역 7년, 벌금 7천만 원 징역 5년, 벌금 5천만 원 징역 2년, 벌금 2천만 원, 보호법 보호법 정보통신망법 신용정보법 정보통신망법 신용정보법 신용정보법 둘째, 개인정보 유출기관에 대해서는 [표 3-4]에서 보는 바와 같이 과징금 기준이 상향 조정되었다. [표 3-4] 개인정보 유출기관 과징금 강화 구분 현행 개선(안) 비고 안전성 조치 미비로 (신설) 매출액의 3% 신용정보법 개인정보 유출 과징금 1억 원 매출액의 3% 정보통신망법 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 이와 더불어 책임자를 임원급으로 지정하고, 최고경영자(CEO)에게 보고하도록 하여 기업의 책임성이 강화되었으며, 책임자의 보고의무 위반 시 제재조치(과태료 2천만 원)에 대한 규정이 신설되었다. 또한, 개인정보관련 법 위반 시 CEO 등에 대한 해임 등 징계권고 대상이 확대되었다

42 셋째, 개인정보 유출 시 유출기관에서 피해자의 불편과 경제적 부담을 최소화하기 위한 규정이 신설되었으며, 유출기관이 카드 재발급, 정보 수정서비스 제공 등을 책임지고 이행하도록 하였다. o 이용자 편의 제고 첫째, 개인정보 처리에 대한 동의를 받을 경우 동의서의 주요 내용을 보다 명확히 알기 쉽게 작성하도록 개선되었다. 이는 보호법 시행령 제17조에 개인정보 제공 동의서, 전화, 등 동의방법만 명시되어 있는 항목을 필수 선택 정보로 구분하였으며, 소비자 입장에서 동의서를 알기 쉽게 작성할 의무를 부과(글자크기, 색깔 등)하는 내용으로 개정되었다. 둘째, 2014년에 방통위에서는 알기 쉬운 동의방법의 세부방안을 명시한 온라인 개인정보 수집 이용 제공 등 가이드라인 이 마련되었다. 가이드라인에는 '필수사항'과 '선택사항'을 별도 페이지로 구분하고, 필수사항에 동의하면 서비스를 제공(선택사항에 미동의 시 서비스 제공이 거부되지 않도록 함)하는 내용을 담고 있다. 또한, 제3자 정보제공의 경우 포괄적 동의를 금지하고, 정보제공의 대상 목적별로 그룹화하여 각각 동의를 받도록 개선하였으며, 글자 크기 및 줄 간격 등을 확대하여 읽기 쉽게 개선되었다. 셋째, 개인정보 처리방침 열람 처리정지 파기 등 요구권 행사방법 및 의무적 공개 항목을 구체적으로 기재하여 공개토록 규정되었다. 넷째, 회원탈퇴 시 가입 시 보다 과도한 절차 요구를 금지하고, 개인정보 처리정지 삭제 요구에 대한 절차를 간소화하도록 법이 개정되었다. 1.2 주민등록번호 관리제도 개선 과거에 유출된 주민등록번호를 악용한 2차 피해를 방지하고 국민 불안을 해소하기 위해 불가피한 경우 주민등록번호의 변경허용 방안이 마련되었으며, 일상생활에서 주민등록번호 제공이 필요치 않도록 주민등록번호 수집의 최소화 및 대체수단이 마련되었다

43 o 주민등록번호의 제한적 변경 허용 방안 첫째, 주민등록번호가 유출되어 신체 재산상 중대한 피해를 입거나 피해를 입을 우려가 큰 경우 등에 대해 예외적으로 제한적 변경이 허용되었다. 주민등록번호가 악용될 소지가 있고 사회적 혼란이 있을 수 있으므로 [표 3-5]에서 보는 바와 같이 일정한 요건을 충족할 경우에는 제한적으로 인정되도록 개선되었다. 이는 신청절차, 세부 적용기준 등 구체적 시행 방안에 대한 준비 및 주민등록법의 개정 등이 완료된 이후 시행될 것이다. [표 3-5] 주민등록번호 제한적 변경 허용 방안 기존 한번 부여된 주민등록번호는 가족관계 등록부 사항의 변동이나 번호에 오류가 있는 경우 정정 가능 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 개선(예시) 아래 요건 추가 1 개인정보 침해사고 등으로 주민등록번호 가 유출되고 도용되거나 변조되어 생명 신 체를 해치거나 재산상 중대한 피해를 입 을 것이 확실한 것으로 인정되는 사람 2 성폭력 피해자로서 주민등록번호 유출로 피해를 입을 가능성이 클 것으로 인정 되는 사람 등 둘째, 주민등록번호 관리체계의 전면 개편은 국민적인 합의가 필요한 사항인 만큼 공청회의 의견수렴 등을 통해 검토하고 있다. o 대체 방안 첫째, 현재 온라인만 적용되는 I-PIN 서비스를 오프라인에서도 본인인증 수단으로 사용할 수 있도록 개선되었으며, 민간 I-PIN 발급기관 17) 에서는 주민등록번호를 보관하지 않도록 개편되었다. 또한, 주민등록번호 외 다양한 개인 식별수단 도입방안이 검토 중에 있다. 17) 서울신용평가정보(사이렌24), 코리아크레딧뷰로(KCB), NICE평가정보 등

44 o 수집 최소화 방안 첫째, 주민등록번호 수집 근거에 대한 법령의 정비 및 적정성 심사체계가 구축되었다. 이를 통해 주민등록번호 수집을 요구하는 업무에 대한 전수조사가 실시되었으며, 민간분야는 필요성이 낮은 분야를 대상으로 주민등록번호 수집대상에서 단계적으로 축소되었다. 또한, 보호위에 주민등록번호 근거법령 정비 소위 를 구성하여 법령상 허용되는 주민등록번호 수집의 적정성 사전 사후 심사를 하고 있다. 둘째, 주민등록번호 수집 관리에 대한 업종별 메뉴얼 배포 및 캠페인을 통해 관행과 의식 개선을 위해 인사 노무 교육 의료 금융 보건복지 등 10개 분야별 가이드라인이 마련되어 배포되었다. 셋째, 주민등록번호 불법 수집에 대한 신고창구를 운영하고 있으며, 수집이 허용되는 구체적인 업무 사례를 모바일 앱 등을 통해 전국민에게 공개하고 있다. o 안전조치 강화 방안 첫째, 2013년 기준 주민등록번호 암호화 비율은 공공부문 63.5%, 민간부분 22.7%에 불과하였으며, 2016년 1월 주민등록번호 암호화 조치 의무화에 대비하여 차질 없는 시행을 위한 준비를 하고 있다. 이를 위해 업종별 특성 등을 고려한 적용대상 시기 기준을 마련하고, 보호법 시행령 및 고시 개정을 추진하고 있다. 둘째, 주민등록번호 암호화 등 보호조치의 실제 운영 여부를 기업 스스로 점검할 수 있는 도구를 개발 보급하고 있다. 영세사업자의 경우, 개인정보보호 법규 준수를 지원하는 소프트웨어(SW)와 주민등록번호 수집금지 파기기술을 지원하고 있다. 2 유출된 개인정보 대응 대책 개인정보범죄 합동수사단 을 구성하여 집중단속을 실시한 결과, 115명의 정보유출 사범이 적발되었으며, 44명이 구속되었다. 향후에도 정보 유출 사실이 지속적으로 발생할 것으로 예상하여 국민 불안이 해소될 때까지 유출된

45 개인정보의 단속 회수 폐기 등이 다음과 같이 대폭 강화되었다. 2.1 유출된 개인정보 삭제 파기 o 대청소기간 설정 [표 3-6]에서 보는 바와 같이 검색 가능한 불법 유통정보를 최대한 삭제하기 위해 개인정보 '대청소 기간'(2014년 9월 ~ 12월)이 설정되었다. 또한, 전국민이 스스로 개인정보를 삭제 폐기하고, 불법 유통되는 개인정보를 신고할 수 있도록 하는 운동이 전개되었으며, 대청소 기간 중 신고자 및 자진 신고자에 대해서는 인센티브를 부여하였다. 추진기관 추진방식 청소대상 (예시) [표 3-6] 개인정보 대청소기간 추진 방통위, 보호위, 한국인터넷진흥원+행자부, 미래부, 금융위, 합동수사단(검 경), 금융감독원 등 공공기관 + 포털 등 민간기관 한국인터넷진흥원의 국민신고센터( 118, privacy.kisa.or.kr) + 금융감독원의 개 인정보불법유통신고센터( 1332, fss.or.kr) 등에 신고하여 삭제하거나 자진 삭제 법령 근거 없이 수집되는 주민등록번호 (도서관, 쇼핑몰 등 회원 가입 시 수집) 방치 개인정보 (수년간 관리하지 않은 미니홈피 등에 게시된 주소 생년월일) 필요한 범위를 넘어 수집된 개인정보 (입사원서에 기재하는 소득 종교 가족) 불법 유통 개인정보 (해킹한 신용정보 및 환자 진료기록 등의 판매) 등 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 o 유출정보 신속탐지 삭제 첫째, 한국인터넷진흥원에서 수행하고 있는 인터넷상 노출된 개인정보에 대한 검색 탐지 기능이 강화되었으며, 중요 웹사이트(노출이 빈번하거나 홈페이지 일일이용자가 1천 명 이상인 약 2만 개의 웹)의 검색 주기가 2주에서 3일로 대폭 단축되었다. 둘째, 검색된 개인정보에 대하여는 2개월 이내 삭제토록 조치하고, [표 3-7]에서 보는 바와 같이, 삭제조치의 실효성을 확보하기 위한 방안이 추진되었다. 또한, 개인정보 노출 검색대상이 웹 사이트에서 페이스북, 트위터 등 SNS로 확대되었다

46 [표 3-7] 개인정보 삭제조치 실효성 확보 방안 1 법적근거 마련 : 개인정보 불법유통 게시글 차단 삭제(2014년, 방통위) - 이용자 또는 방통위(한국인터넷진흥원 포함)는 이용자의 주민등록번호, 계좌정보 등 금융정보가 공개된 웹사이트에 노출된 경우 웹사이트 또는 검색사이트 운영자에게 삭제 등 필요한 조치를 요청할 수 있도록 하고, 이 경우 운영자는 필요한 조치를 하도록 법적 근거 마련 - 개인정보 불법유통을 근절하기 위하여 웹사이트 및 검색사이트에 공개된 개인정보 불법유통 게시글 을 불법정보로 명시하여 차단 삭제할 수 있는 근거 마련 * 현재 정보통신망법 제44조의7에서 불법정보의 유통금지 등을 규정하고 있으므로, 불법 개인정보를 노출 시키고 있는 게시물도 불법정보에 포함토록 개정 2 인프라 확충 : 개인정보 검색 조회 삭제 시스템 확충(2014년, 행자부 방통위) - 개인정보 유출 사고 발생 시 이용량 폭주 등에 대비하여 주민등록번호 이용내역 검색 서비스인 주민등록번호 클린센터 시스템 장비증설(H/W) 및 시스템(S/W) 개선 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 o 해외유출 정보 대응 해외검색프로그램의 경우 자동검색 시스템(일정주기)을 통해 각종정보(노출 정보 포함)를 수집 보관하고 있어 미 삭제 시 노출정보가 그대로 제공되기 때문에 해외에서 유출된 개인정보 삭제 파기의 방안이 다음과 같이 추진되었다. 첫째, 해외에서 불법 유통되는 개인정보를 줄이기 위해 한-중 수사협의체 구성 등 사법공조가 강화되었으며, 이를 위해 2014년 4월 한-중 수사협의체 구성을 위한 MOU가 체결되었다. 둘째, 해외유출 정보 처리를 위한 개인정보보호 협력센터가 확대되었으며, 현재 베이징에 한중인터넷협력센터 1개소가 설치되어있다. 셋째, 해외 포털 서비스의 노출정보를 검색하는 서비스에 대해 한국인터넷진흥원 등 관계기관이 노출정보를 검색 삭제할 수 있도록 해외포털 서비스와의 협력이 강화되었다. 2.2 체계적인 불법정보 단속 적발 정부합동수사단(검 경, 미래부, 행자부, 방통위 등)이 구성되어 개인정보

47 침해 및 불법유통에 대한 범정부적인 집중단속을 다음과 같은 대상으로 전개되었다. - 상거래 과정에서의 개인정보 불법수집, 기업 수집 개인정보의 외부 무단제공, 개인정보 해킹 등 - 개인정보 유출 원인 및 관리주체의 책임소재 - 불법 개인정보를 활용한 대출알선, 보이스피싱 등 신종 금융사기, 도박 사이트 회원유치, 대포폰 대포통장 제작 등 또한, 불법유통 게시물 등에 대한 탐지 후 즉시 조사 및 수사할 수 있도록 정보공유 및 협업체계가 강화되었다. 2.3 유출정보를 활용한 금융사기 방지 o 사이버사기 대응체계 강화 새로운 기술로 진화하고 있는 피싱 스미싱 파밍 등 신종사기 수법에 대한 대응능력이 제고되었다. 첫째, 주요 공공기관, 은행 등을 대상으로 실시 중인 보이스피싱, 파밍 차단서비스의 적용 대상기관이 확대되었다. (보이스피싱 차단 326개 500개 기관, 파밍 차단서비스 91개 150개 기관) 둘째, 스미싱 수집 채널이 확대되고, 분석능력을 강화하여 스미싱 의심문자를 알려주는 스미싱 확인 서비스가 실시되었다. 이는 이용자가 의심 문자를 한국인터넷진흥원으로 전송( 118)하면, 스미싱 여부 검증 후 문자로 통보되는 방식이다. 셋째, 스마트폰에 악성 앱 감염 사실을 알려주고 치료 방법을 안내하는 모바일 사이버 치료서비스가 구축되었다. 넷째, 전화번호를 도용한 발신번호 임의변경 문자 차단 서비스의 사용을 공공기관 은행에서 개인으로 확대되었다. 이는 개인이 이동통신사에 번호도용 문자 차단 서비스를 신청하면, 신청자가 등록한 전화번호가 스미싱 발신 번호로 사용될 경우 자동으로 차단되는 방식이다

48 o 사고발생 신속 조치 방안 마련 유출 사고 발생 시 신속하게 대응하여 피해 발생 가능성을 최소화하기 위해서 개인정보를 취급하는 공공기관 및 일정규모 이상의 민간기관은 사고발생 시 신속하게 대응조치를 할 수 있도록 개인정보 유출 사고 대응 메뉴얼 의 마련이 의무화되었다. o 본인확인 강화 등 기 발표 대책 이행 사기 피해 방지를 위한 입금계좌지정 서비스, 일정금액 이상 거래시 카드 문자알림 서비스 무료화, 비인증 결제방식에 대한 이중인증 의무화 등 본인확인이 강화되었다. 3 유출 예방 방지 및 사이버 안전 대책 3.1 현장 중심 관리체계 정비 개인정보 유출이 반복되고 있는 취약분야에는 집중관리체계가 구축되었으며, 꼭 필요한 정보만 수집하고 수집된 정보는 철저히 보호되도록 개인정보관리 시스템이 개선되었다. o 통신사 대리점 등 취약분야 구조적 관리 첫째, 통신사 대리점 판매점은 개인정보 보유를 최소화하고, 정보유통 보안을 강화하는 등 통신사별로 관리책임이 제고되었다. 대리점 또는 영업점이 통신사에 의무적으로 등록하도록 하고 미등록 및 불법행위 적발 시 퇴출수단이 마련되었다. 미등록 판매점과 거래한 대리점에는 투아웃제(영업정지 계약해지)가 도입되어, 영업점의 개인정보 관련 불법행위 시 5년 간 등록 금지토록 퇴출수단이 마련되었다. 또한, 통신사에는 개인정보 관리수준 평가제도 가 도입되어 통신사들은 개별 통신사의 개인정보보호 관리 현황 및 활동 등을 평가 받은 후 결과를 공개해야 한다. 이와 더불어 개인정보 무단조회 방지를 위한 문자메시지(SMS) 본인인증 제도가 시행되었다. SMS 본인인증 제도는 영업점의 고객정보 조회 시 통신사가 가입자에게 SMS로 인증번호를 전송하고, 영업점은 전송받은 인증번호를 가입자가 알려주어야 가입자 정보를

49 조회할 수 있는 서비스이다. 마지막으로 서비스 가입신청 시 전자 청약 시스템 을 적용하여 서식지 형태의 가입신청을 본사와 직접 연결되는 별도의 단말기를 통하여 이용자가 직접 개인정보를 입력하고 서명하는 형태로 전환하는 것을 검토하고 있다. 둘째, 신용카드 단말기(POS 등) 관리업체를 대상으로 관리 감독체계가 명확하게 정비되었다. 지정된 보안규정을 준수한 단말기만을 사용하도록 하고, 위반 시 가맹점을 처벌하는 등 관리시스템이 구축되었다. 그동안 소관부처가 명확하지 않아 관리 사각지대가 존재하였으며, 금융위가 정한 보안규정을 준수하도록 하고, 미 준수 시 벌금을 부과(500만 원)하는 방식의 관리시스템이 구축되었다. 또한, 신용카드 결제망 관리회사(VAN 사) 등록제 운영 및 IC 단말기 전환 등의 대책이 이행되었다. 셋째, TM 업체를 대상으로 개인정보를 합법적으로 이용하는 업무 관행(Business Rule)이 정착되도록 제도적 여건이 개선되었다. TM 영엽 시 사전 동의를 받지 않은 경우, 수신인에게 개인정보 수집 출처를 고지하도록 의무화되었다. 이는 누구든지 광고성 정보를 전송하려면 수신자의 사전 동의를 받아야 하나, 전화권유 판매업은 사전 동의의 예외로 인정하도록 되었다. 또한, TM 수신거부시스템의 이용을 활성화하도록 하고, TM에 대한 민간의 자율적 개인정보보호 관리체계가 확충되었다. 현재 인터넷사이트 대상으로 적용되는 개인정보보호 인증마크제를 TM 업체에 확대하여 적용하였으며, 불법 TM 신고 제도를 이동통신서비스에서 전 업종으로 확대하였다. 또한, 불법 TM의 전화번호 이용 정지를 위해 관련 법률 개정이 추진 중에 있다. 넷째, 영세 중소기업의 정보보호 역량 강화를 위해 지방 권역별 정보보호 지원센터가 확충되었다. o 개인정보 관리단계별 강화 첫째, 개인정보 최소수집원칙이 현장에서 실질적으로 정착될 때까지 점검 하도록 개선되었다. 실태 점검 시 파악된 개인정보 과다수집의 사례 등에 대해 일제 정비하고, 지속적으로 공공 민간이 스스로 최소수집의 원칙을 점검하고 정비할 수 있는 체계를 구축하도록 하였다. 공공부문에서는 일정 규모 이상

50 개인정보를 보유한 공공기관은 자체적으로 계획을 수립하고, 매년 수집 보유의 필요성 및 적정성에 대한 실태조사를 수행 후 개선하도록 되었다. 민간부문은 업권별 협회에서 자율적으로 정보제공 이용 동의서 등을 정비하도록 하고, 필요시 소관부처 행자부가 합동 점검하여 시정조치토록 되었다. 둘째, 개인정보 출처 관리 시스템이 구축되어 취약 분야로 지적되어온 위 수탁 관계가 명확히 정립되었다. 이를 위해 개인정보 다수 처리 기관은 제3자로부터 제공받은 개인정보에 대해 수집출처 및 목적을 관리하도록 의무화되었으며, 개인정보 처리방침에 수탁자의 담당자 연락처 등 위탁에 관한 사항을 보다 구체적으로 작성토록 개선되었다. 또한, 위 수탁자 모두에게 손해배상을 청구할 수 있도록 명시하여 정보주체의 배상청구권 및 수탁자의 책임이 강화되었다. 셋째, 법령상 근거에 따라 필요최소한의 기간만 보존한 후 파기토록 관련 규정이 재정비되어 개인정보 파기 시, 복구 및 재생이 되지 않도록 하는 규정이 신설되었다. 넷째, 전문가 의견수렴 등을 통해 잊혀질 권리, 디지털 유산 18) 등에 대한 법 제도 구축방안이 검토 중에 있다. o 법률 및 행정시스템 정비 첫째, 현장에서 법 적용 혼란과 사각지대가 발생하지 않도록 [표 3-8]에서 보는 바와 같이 법률간 정합성이 제고되었다. 또한, 보호법을 기준으로 제재수준이 [표 3-9]에서 보는 바와 같이 정비되었으며, 보호위를 통해 상시적으로 관련 법령 간 정합성을 유지하는 체계가 구축되었다. 18) 잊혀질 권리 : 정보주체가 포털 등 정보통신서비스 제공자에게 자신과 관련된 정보를 삭제하거나 확산을 방지토록 요청할 수 있는 권리 디지털 유산 : 보유하고 있던 모든 디지털 형태의 자산에 관한 권리 의무

51 [표 3-8] 법률간 정합성 제고 정보통신망법 적용대상 신용정보법 적용대상 보호법 적용대상 모든 처리자 정보통신망을 영리로 신용정보 이용 대상 *개별법 적용대상 사용하는자 제공자 현행 제외여부 불명확 대상수 약 273만개 사업자 + 160만개 스마트폰 앱 약 7만개 사업자 약 380만개 사업자 개인정보보호 조항을 모든 처리자 금융기관, 전기통신사업자(KT *개별법 적용사업자는 대상 신용정보회사 등)와 통신판매사업자 각 소관부처에 개선 등으로 한정 (옥션 등)로 한정 위임 위탁 대상수 약 37만개 사업자 + 160만개 스마트폰 앱 약 3천5백개 사업자 약 340만개 사업자 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 [표 3-9] 제재수준 정비방안 수 집 이 용 제 공 위 탁 업 무 위반유형 민감정보 처리 금지 위반 (징역) (벌금) 해킹 등 침해행위로 인한 수집 (징역) (벌금) 선택정보수집미동의시서비스제공거부 (과태료) 제3자 제공 미동의시 서비스 제공 거부 (과태료) 수집 목적외 용도 이용 또는 제3자 제공 (징역) 위탁업무범위 위반 (벌금) (과징금) (징역) (벌금) 마케팅 위탁시 수탁자 미고지 (징역) (벌금) (과태료) 보호법 정보통신망법 신용정보법 기존 개선안 기존 개선안 5년 좌동 좌동 3년 5년 5천만 원 좌동 좌동 3천만 원 5천만 원 5년 좌동 좌동 3년 5년 5천만 원 3천만 원 3천만 원 좌동 좌동 3천만 원 좌동 좌동 - 1천만 원 3천만 원 - 5천만 원 5천만 원 3천만 원 5년 좌동 좌동 좌동 좌동 5천만 원 없음 좌동 좌동 좌동 좌동 매출액 1% 매출액 3% - - 5년 년 5천만 원 천만 원 - 5년 좌동 천만 원 5천만 원 좌동 천만 원

52 위반유형 보호법 정보통신망법 신용정보법 기존 개선안 기존 개선안 위탁교육 및 중요사항 계약시 반영의무 위반 (과태료) 1천만 원 천만 원 안전성 조치 미비로 유출 (징역) (벌금) 2년 좌동 좌동 - 2년 1천만 원 좌동 2천만 원 - 2천만 원 안 전 성 확 보 이 용 자 권 리 식별정보 암호화 (과징금) (과태료) 5억 원 (주민등록 번호 유출시) 3천만 원 내부관리계획 미수립 (과태료) 3천만 원 개인정보 열람 및 정정청구 거부 (과태료) 개인정보 제공 이용 동의 철회 및 삭제요구시 삭제의무 위반 (과태료) 유출통지 및 신고 미이행 (과태료) 출처 : 관계부처합동, 개인정보보호 정상화 대책, 천만 원 3천만 원 3천만 원 매출액 1% 또는 1억 원 매출액 3% 좌동 좌동 - 좌동 좌동 좌동 좌동 좌동 좌동 - 5백만 원 1천만 원 1천만 원 좌동 좌동 - 매출액 3% 3천만 원 3천만 원 3천만 원 3천만 원 3천만 원 둘째, 새로운 기구를 신설하기보다는 기존 조직체계의 보강을 통해 조정 점검 감독 집행 지원기능이 강화되었으며, [표 3-10]에서 보는 바와 같이 보호위가 실질적인 역할을 할 수 있도록 강화되었다. 또한, 개인정보보호 관련 주요 부처의 업무량 및 수요 분석을 통해 조직 및 전문인력이 보강되었다. [표 3-10] 보호위 기능강화 현행 행자부가 기본계획 수립, 분쟁조정위원 임명, 사무국 운영 등 담당 - 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 개선 보호위가 담당 <보호위 권한 추가> 1 심의 의결 안건에 대한 사실조사권 2 정책 제도 개선권고 및 이행 점검 3 법령간 정합성 유지 4 민간부문 위법사항 조사요구권 셋째, 한국인터넷진흥원이 범정부적 개인정보 정책지원 전문기관으로 확충되었다

53 이는 유사한 기능을 수행하는 여타 정책지원기관의 개인정보보호기능을 한국인터넷진흥원으로 통합하는 방안이며, 실태점검 사고조사 사이버사기 대응 등 관련 기능이 확대되고, 인력 등이 보강되었다. 또한, 전 부처에 대한 정보보호서비스를 지원할 수 있도록 이사회에 관계부처가 참여토록 개선되었다. 3.2 개인정보 유출 예방 방지를 위한 투자 촉진 o 민간 공공 투자 확충 첫째, 정보보호 투자에 대한 인센티브를 강화하기 위해 [표 3-11]에서 보는 바와 같이 민간 공공분야의 인센티브 확대방안이 마련되었다. 둘째, 정보보호 산업기반 조성을 위해 정보보호산업 진흥법 제정이 추진되었다. 정보보호산업 진흥법의 주요 내용으로는 정보보호 수요에 맞는 정보보호 전문인력 양성, 기술개발, 산업체 지원 강화, 정보보호 산업진흥계획 수립, 산업진흥 기반 조성, 정보보호기업 지원 등이 있다. 또한, 2014 ~ 2018년까지 ICT 융합에 대응한 융합보안시장 등 신산업을 육성하고, 글로벌 시장을 선점하기 위한 10대 전략제품 19) 발굴 및 육성을 구체화를 추진하고 있다. [표 3-11] 민간 공공분야 인센티브 확대방안 민간분야 인센티브 확대방안 1 중소기업의 정보보호 시설 제품 등 직접 투자 비용에 대한 조세감면 연장 년) 및 확대(7% 10%) 2 중소기업의 정보보호서비스 컨설팅 비용에 대한 조세감면(25%) 제도 홍보 강화 * 정보보호서비스 컨설팅 비용이 연구 인력개발비 세액공제(조특법 제10조) 대상 비용 중 기술자문료(시행령 별표6)에 해당한다는 내용을 잘 모르는 기업들이 다수 3 중소기업의 정보보호 신규인력 채용시 인건비 보조(월 최대 90만 원/1인) * 고용노동부의 고용창출지원사업 에 정보보호분야 추가 4 정보보호 우수기업 으로 선정 시 정부 공공조달 및 국가 연구개발사업 참여 時 가점 (0.5~1점) 부여 5 기업이 정보보호 관련보험* 가입 시 보험료 할인(5~15%)을 받을 수 있도록 관련기관 및 업계의 협력 추진 19) 1 해킹(APT) 공격대응 2 사이버블랙박스 3 지능형 영상감시 4 사용자 친화형 얼굴-홍채 인식 5 유해콘텐츠 차단 6 무선침입탐지 7 스마트단말 보안칩 8 산업용 통합보안 9 차세대 암호기술 10 유니버셜 인증

54 * 개인정보보호 배상책임보험, 전자금융거래 배상책임보험, e-biz배상 책임보험 등 6 보안투자 및 법규준수 등 보안역량 강화를 위한 기업의 준비 노력(Readiness) 정도를 평가하는 민간자율 정보보호 준비도 평가 도입 추진 공공분야 인센티브 확대방안 1 정보보호예산이 일정비율(예:10%수준)을 유지하도록 가이드라인 제시 * 정보보호예산 편성 가이드라인(미래부, 기재부) 2 정보보호 R&D 투자를 단계적으로 확대(미래부, 기재부) * 14년 ICT 기술개발예산 (7,429억 원) 중 정보보호예산은 3.6% 수준 3 각 부처 평가시 정보보호 투자를 평가에 반영 검토(2015년) 4 공공기관 경영평가에서 정보보호노력이 평가될 수 있도록 기준 구체화(기재부) 5 정보보호 제값받기 문화정착 - 정보보호 제품 서비스 비용을 하자 보수 를 위한 유지관리 대가가 아닌 서비스 대가 로 전환(기재부, 미래부) * 대가 비용(현 정보보호제품 구입비의 9% 15%, 2017년)을 확대하고, 제품 서비스의 활용특성에 따라 차등지급할 수 있도록 서비스 대가 산정 가이드라인 개발 보급 - 가이드라인에 따라 무상유지보수 기간 단축(1년 6개월) 검토 - 분리발주 등이 시행될 수 있도록 정보보호 표준계약서 마련 보급 6 정보보호가 생활화 될 수 있도록 캠페인 지원(미래부) 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 o 기업의 기술적 자율성 제고 첫째, 지나치게 세부적으로 규정된 개인정보보호 관련 기술적 조치 제도(고시)를 개정하여 기업의 자율성이 부여되었다. 이는 세부적인 조치사항까지 강제하는 방식에서 기본원칙과 필요 최소한 조치만을 규정하고 개별적 수단 선택은 재령을 인정한다는 내용이다. 또한, 장기적으로 보호조치 기준에 세부적 조치사항을 규정하지 않고, 보호목표를 규정하여 기업의 자율성을 부여하는 체계로 전환하는 방식이 검토 중에 있다. 둘째, 행자부, 미래부, 방통위 등이 각각 운영하는 유사인증제도 간 중복을 해소하고 상호 인정 범위의 확대 추진을 위해 정부의 직접규제 대신 인증시험을 활용할 수 있도록 제도가 개선되었다

55 3.3 사이버 안전 및 기술기반 강화 해킹기술에 대응하기 위해 예방 탐지 분석 치료 등 단계별 보안기술 개발 및 보급과 신ICT산업 분야 정보보호 대책을 마련하고, 전문인력 양성을 위해 다음과 같은 대책이 추진되었다. o 보안기술 강화 첫째, 개인정보 암호화로 인한 시스템 성능저하 우려를 감안하여 스마트폰 등에서 효율적으로 관리 가능한 경량 암호화 기술 개발이 이루어지고 있다. 둘째, 해킹탐지체계 고도화를 위해 다양한 대책이 이루어졌다. 스피어피싱 대응을 위해서 악성코드 유포 탐지시스템이 구축되었고, 악성코드 은닉사이트 탐지 강화를 위해 탐지대상 홈페이지가 확대되었다. 또한, 가상 ID 10만개를 통해 해커를 유인하는 사이버 트랩 시스템이 개발되어 허니팟(해커를 속이기 위해 가상 개인정보를 활용해 공격을 유도)용 개인정보를 공개함으로써 SNS 등으로 사이버사기 공격을 유도한 후, 수신되는 메시지를 자동 수집하여 필요 시 수사기관에 제공하고 있다. 또한, 민간 공공 주요정보통신기반시설에 대한 정기적 모의해킹 및 훈련 실시 근거가 마련되었으며, 개별 침해사고 정보를 종합분석하기 위한 사이버 위협 정보 분석 공유시스템(C-TAS) 20) 구축 및 운영되고 있다. 마지막으로 비행기 블랙박스처럼 사이버 침해사고를 신속하게 분석하고 증거를 보존하는 기술인 사이버 블랙박스가 2016년에 개발되어질 예정이다. 셋째, 스마트폰 보안 강화를 위해 분실 시 개인데이터 삭제기능(킬스위치)뿐만 아니라, 스미싱 차단 앱 등을 모든 스마트폰 출고 시 기본으로 탑재하도록 추진 되었으며, 폰키퍼(스마트폰 보안 앱)의 일일 보안공지 용량이 확대되었다. 또한, 악성 앱 모니터링 대상이 구글 및 해외 블랙마켓(5곳)에서 이동통신사 등의 국내 주요 앱 마켓으로 확대되었다. 넷째, 유출정보 탐지를 위해 신종 변종 악성 앱에 대한 정보유출행위의 탐지 기술이 개발되고 있으며, 정보보호 취약점 분석 및 대응서비스를 제공하는 20) C-TAS(Cyber Threats Analysis System) : 사이버 위협정보를 체계적으로 수집 정보분석 공유하는 시스템

56 정보공유분석센터(ISAC)를 주요 산업분야(의료, 에너지 등)로 확대 구축하여 지원되었다. o 신 ICT산업 분야 정보보호 체계 정립 첫째, 공인인증서의 이용환경 개선 및 새로운 전자서명 신기술의 도입이 추진되고 있다. 특정기술(액티브 X)에 지나치게 의존하는 환경을 개선하기 위해 웹 표준 기반 공인인증서비스 기술이 개발되었다. 또한, 공인인증서 유출방지를 위하여 보안토큰 등 안전한 저장매체가 확대되어 인증서의 유효기간이 1년에서 3년까지 연장되었다. 이와 더불어 ATM, 의료정보 시스템 등 ICT 융복합 기기에 대한 보안성 강화를 위한 사전연구(2015년)를 거쳐 2016년에는 인증서비스가 개발되어 보급 될 것이다. 둘째, 빅데이터, 클라우드, 사물인터넷 등 신기술 분야별로 개인정보보호와 산업발전이 조화 할 수 있는 대책이 마련되었다. 빅데이터 관련 개인정보보호 가이드라인이 제공과 함께 개인정보보호 기술 개발 및 상용화가 지원되었다. 이를 위해 개인정보 처리를 대행하는 전문기업 및 개인정보 침해 문제해결 지원을 위한 클리어링 하우스 21) 가 도입되었다. 또한, 개인정보 제공 시 사전 동의를 받도록 하는 방식에서 중요성이 높지 않은 개인정보의 경우 사후동의를 받도록 하는 방식의 도입이 검토되고 있다. 또한, 클라우드 컴퓨팅법 제정 등 이용자가 클라우드에 저장하는 각종 정보에 대한 제도적 보호 장치가 마련되었다. 마지막으로 사물인터넷 관련 보안, 프라이버시 등 역기능 대응을 위한 정보보호로드맵 이 마련되었으며, 영상정보처리기기의 보호제도 마련을 위한 전문가 검토 등이 추진되었다. o 전문인력 양성 첫째, 초중고, 대학, 군대 등 연속성 있는 인력양성 체계가 구축되었다. 초중고에 SW과목을 교과과정에 포함토록 추진되었고, 정보보호영재교육원이 신설 및 운영되었으며, 특성화고 및 마스터고 정보보호과정이 확대될 예정이다. 21) 클리어링 하우스 : 빅데이터 활용에 따른 개인정보 침해, 품질 가치 훼손 등 문제해결 지원 전 담기관

57 대학은 정보보호 특성화 대학 지정 및 정보보호학과 설치가 2017년까지 28개에서 35개로 확대될 것이다. 이와 더불어 사이버 안전관련 대학의 연구기능 강화를 위해 사이버시큐리티연구센터가 설치되어 운영될 계획에 있다 군 복무는 사이버보안을 전문으로 하는 사관, 부사관 병 양성 및 예비군 창설이 추진 중에 있다. 둘째, 맞춤형 인력양성을 위해 2017년까지 차세대 보안리더 등 국가 사이버 위기 시 대응이 가능하도록 우수인력 5,000여명을 비롯하여 금융, 의료 등 다양한 산업분야에서 필요한 실무 인력양성 계획을 추진하고 있다. 또한, 공무원, 기업 CEO, 책임자 등 산업현장의 수요를 반영한 개인정보보호 전문과정 신설을 추진할 계획에 있다. 2. 국외 (1) OECD OECD는 개인정보와 프라이버시 보호에 대한 사회적 요청을 반영하고, 각국의 법 제도에 차이가 있으므로 생길 수 있는 문제점에 대응하기 위해 1980년에 채택된 개인정보보호에 관한 가이드라인으로 [표 3-12]에서 보는 바와 같이 8개의 개인정보보호 기본원칙을 규정하고 있다. 22) [표 3-12] OECD 개인정보보호 8원칙 No. 원칙 주요내용 1 수집제한의 원칙 2 정보 정확성의 원칙 3 목적 명시의 원칙 적법하고 공정한 방법을 통한 개인정보의 수집 정보주체의 인지 또는 동의를 얻어 개인정보 수집 이용목적과의 관련성 요구 이용목적상 필요한 범위 내에서 개인정보의 정확성, 완전성 확보 수집 이전 또는 당시에 수집목적 명시 명시된 목적에 적합한 개인정보의 이용 22) 한국정보화진흥원, OECD 프라이버시 프레임워크,

58 No. 원칙 주요내용 4 이용제한의 원칙 5 안전성 확보의 원칙 6 공개의 원칙 7 개인참가의 원칙 정보주체의 동의가 있거나 법규정이 있는 경우를 제외하고 는 목적 외 이용 및 공개 금지 개인정보의 침해, 누설, 도용 등을 방지하기 위한 물리적, 조직적, 기술적 안전조치 확보 개인정보의 처리 및 보호를 위한 정책의 공개 개인정보관리자의 신원 및 연락처, 개인정보의 존재 사실, 이용목적 등에 대한 접근 용이성 확보 정보주체의 개인정보 열람, 정정, 삭제청구권 보장 정보주체가 합리적 시간과 방법에 의해 개인정보에 접근할 수 있도록 보장 8 책임의 원칙 개인정보관리자에게 준수의무 및 책임 부과 출처 : 정효진, 윤재석, 개정 OECD 프라이버시 가이드라인 주요 내용 및 향후 전망, OECD 프라이버시 가이드라인 개정 추진 경과 OECD 프라이버시 가이드라인은 UN의 가이드라인과 EU의 개인정보보호 지침, 전 세계 국가별 개인정보보호 정책과 법제에 큰 영향을 미쳤다. OECD에서는 모든 가이드라인을 5년마다 개정 검토하도록 권고하고 있으며, 2007년 정보보호작업반(Working Party on Security and Privacy in the Digital Economy, WPSPDE)은 큰 변화가 필요하지 않다는 합의에 따라 가이드라인을 개정하지 않기로 하였으나, 2008년 6월 한국에서 개최된 OECD 서울 장관회의에서 변화하는 기술, 환경, 정책 등을 반영하여 가이드라인을 재검토할 필요가 있다는 의견이 제기되었다. 이에 따라 가이드라인 개정 작업은 제정 30주년을 맞는 2010년부터 시작되었다. 또한, OECD는 프라이버시의 변화 : OECD 프라이버시 가이드라인 발간 30년 후(The Evolving Privacy Landscape : 30 years after the OECD Privacy Guideline) 와 프라이버시 법 집행기관의 협력을 위한 OECD 권고 이행(Implementation of the OECD Recommendation on Privacy Law Enforcement Co-operation) 보고서를 발간하였으며, 이는 개정 작업을 위한 기초자료로 활용되었다. 한편 OECD WPSPDE는 2010년 회원국과 각 분야의 전문가들을 대상으로 프라이버시 가이드라인 개정에 필요한 기본사항을 조사하였으며, 전문가

59 그룹을 구성하여 검토 위임사항(Terms of Reference, ToR)을 [표 3-13]과 같이 마련하였다. 구분 개인정보의 양적 팽창 개인정보 분석 기술 발전 개인정보의 가치 개인정보 침해 다수의 참여자 상호작용의 복잡성 개인정보의 국제적 활용 [표 3-13] OECD 프라이버시 가이드라인 검토 위임사항 주요 내용 수집, 이용, 저장되는 개인정보의 팽창 개인과 그룹의 트렌드, 관심사, 활동 사항 등에 대한 분석기 술 발전 새로운 기술로 인한 개인정보의 경제적, 사회적 가치 증대 새료운 침해 요소의 부상 프라이버시를 침해 혹은 보호할 수 있는 행위자의 증가 개인정보와 관련된 상호작용의 주기 및 복잡성 증가 다양한 커뮤니케이션 네트워크 및 플랫폼 등으로 인한 개인 정보의 구체적 가용성 확대 출처 : 정효진, 윤재석, 개정 OECD 프라이버시 가이드라인 주요 내용 및 향후 전망, 2014 이후 OECD 정보통신정책위원회(Committee for Digital Economy Policy, CDEP)는 검토 위임사항을 확정하였으며, WPSPDE는 경영, 산업, 기술 등 다양한 전문가들로 구성된 전문가 그룹을 통해 가이드라인의 수정을 진행하였다. 전문가 그룹은 1980년 프라이버시 가이드라인의 기본원칙은 유지되어야 한다는 점에는 합의를 하였지만, 변화하는 환경을 반영하여 프라이버시 관리 프로그램, 개인정보 유출통지, 국가 프라이버시 전략, 글로벌 상호운용성 등 새로운 개념을 도입하였다. OECD는 CDEP 정례회의를 통해 개정 가이드라인을 승인하고, 이사회에서는 2013년 7월에 채택하였다. 23) 2 OECD 프라이버시 가이드라인 주요 내용 개정된 OECD 프라이버시 가이드라인은 1980년에 제정된 가이드라인의 기조는 지키면서 여러 OECD 권고사항과 신기술을 반영하는 것을 주목적으로 하고 있으며, 크게 두 가지 영역으로 분류된다. 24) 첫 번째는 위험관리 기반 접근 방법에 따른 구체적인 프라이버시 보호 이행방안이고, 다른 하나는 23) 정효진, 윤재석, 개정 OECD 프라이버시 가이드라인 주요 내용 및 향후 전망, ) The OECD Privacy Framework, OECD,