요 약 문 1. 제목 : 개인정보 오남용 유출 2차 피해 최소화 방안 2. 연구의 배경 개인정보란 살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보로 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다.

Transcription

1 개인정보 오남용 유출 2차 피해 최소화 방안 최종보고서 수행기관 : 숭실대학교 산학협력단

2 요 약 문 1. 제목 : 개인정보 오남용 유출 2차 피해 최소화 방안 2. 연구의 배경 개인정보란 살아 있는 개인에 관한 정보로서 개인을 알아볼 수 있는 정보로 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다. 이러한 개인정보가 온 오프라인 서비스 상에서 다양한 형태로 수집 및 이용됨에 따라 오남용 유출 사고 또한 빈번하게 일어나고 있다. 최근 공공기관의 개인정보 무단 노출 및 열람, 신용카드 정보 유출, 통신사 가입자 정보 유출 등 피해 사고가 끊이지 않고 있다. 나아가 오남용 유출된 개인정보는 대포폰 개통 및 대포통장 개설, 명의도용 등에 악용되어 2차 피해로 이어지고 있으며, 이로 인해 정보주체는 정신적 피해뿐만 아니라 금전적 피해 등을 받게 된다. 이에 따라 국내에서는 개인정보보호 관련 정책 및 기술 마련, 오남용 유출 사고에 따른 사전 및 사후 대응절차 마련 등 다양한 정책 제도를 추진하고 있다. 그러나 피해 사고는 끊이지 않고 있으며, 2차 피해에 대한 불안감은 점점 커지고 있다. 더불어 이미 발생한 2차 피해뿐만 아니라 다양한 형태의 새로운 2차 피해의 발생 가능성 또한 배제할 수 없다. 또한, 개인정보 2차 피해에 대해 정리된 자료가 부재하여 피해 예방은 물론 정책 제도 개선에 한계가 따르고 있다. 따라서 개인정보 오남용 유출로 인한 2차 피해를 종합 및 분석하여 2차 피해를 예방하고, 정책 제도 개선방안을 마련하여 피해를 최소화해야 할 필요성이 제기되고 있다. 3. 연구의 목적 및 범위 본 연구는 개인정보 오남용 유출로 인한 2차 피해 사례를 종합 분석하고, - i -

3 발생 가능한 2차 피해를 도출하여 유형화한 후 피해를 최소화하기 위한 방안을 제시하는 것을 목적으로 하고 있다. 이를 위해 본 연구에서는 우선 개인정보 정의 및 유형과 개인정보보호 기술 및 산업 동향을 조사하고자 한다. 이후 개인정보보호와 관련한 국내와 미국, 유럽연합(European Union, EU), 일본, 중국 등의 정책 제도 현황과 동향을 살펴보고자 한다. 또한, 개인정보 오남용 유출 사례를 조사하고, 유출된 개인정보 항목 빈도수를 측정하여 2차 피해와의 연관성을 추론하고자 한다. 더불어 얼마나 다양한 개인정보가 처리되고 있는지를 파악하기 위해 개인정보처리자의 개인정보 처리방법을 분류하여 이에 따른 개인정보 항목을 조사하고자 한다. 또한, 개인정보 2차 피해 사례 조사 및 개인정보 항목의 조합을 통해 발생 가능한 2차 피해를 도출하여 유형화하고 피해절차에 따른 대응방안을 기반으로 분석을 수행하고자 한다. 마지막으로 선행 연구 및 분석을 바탕으로 2차 피해를 최소화하기 위한 방안을 제시하고자 한다. 4. 연구의 내용 개인정보는 정보통신기술 발달 및 정보화 촉진에 따라 보호되어야 할 유형이 다양화되고 있다. 그 예로 위치정보 및 신용정보 등이 개인정보의 영역에 포함되어 이와 관련된 새로운 법제정을 비롯하여 정책 제도 등이 추진되고 있다. 또한, 개인정보를 보호하기 위해 개인정보가 저장되는 데이터베이스에 대한 접근제어 및 암호화, 전송구간 암호화 등 다양한 기술을 적용하고 있으며, 이러한 기술이 적용된 제품 및 서비스 등이 출시되고 있다. 또한, 행정자치부는 모든 영역의 개인정보보호를 규율하는 개인정보보호법, 방송통신위원회는 정보통신망법, 금융위원회는 신용정보법 등 각 해당분야에 대한 감독을 수행하고 있다. 개인정보보호위원회는 개인정보보호 관련 정책 및 제도의 조정 등 심의 의결을 통한 컨트롤 타워의 역할을 하고 있으며, 행정자치부에서는 개인정보보호법에 따라 정부, 개인정보처리자, 일반 국민, 산업계의 역량 강화 및 능동적 실천을 통한 보호문화 장착을 위해 정책 수요자별 목표 및 추진과제 선정 등 개인정보보호 관련 정책을 추진하고 있다. 또한, 2014년 카드사 - ii -

4 개인정보 유출 사고 이후 관계부처들은 개인정보보호 정상화 대책 을 확정 발표하여 정보관리, 제도, 기술, 권리 구제를 포괄하는 종합적 접근을 통해 국민이 체감할 수 있고 개인정보 시스템이 정상화되는 근본대책을 마련하여, 정보보호를 위해 노력하고 책임지는 문화 및 시스템 장착을 위해 다양한 정책 제도를 마련하여 추진하였다. 반면, 미국의 경우는 국내처럼 개인정보를 포괄적으로 보호하는 일반적 법률을 제정하지 않고 있으며, 개별적인 영역에서 각각 별도로 개인정보를 보호하고, 규율하는 다양한 법률들이 연방이나 州 에서 제정되고 있다. 개인정보보호에 관한 대표 법률로는 프라이버시법(Privacy Act)이 있으며, 예산관리처(OMB)에서는 프라이버시법에 따라 연방정부의 프라이버시 정책을 정립하는 역할을 하는 등 제한적인 역할만을 맡고 있다. 또한, 연방거래위원회(FTC)는 아동의 온라인 프라이버시, 소비자 신용정보, 공정한 거래관행과 관련하여 개인정보(프라이버시)를 보호하는 법률을 집행하고 준수 여부를 감독할 권한을 부여받아 행사하고 있다. 더불어 최근 Big Data & Privacy 위원회는 빅데이터가 제시한 기회와 도전을 평가하고, 새로운 정책을 개발하기 위한 구체적인 권고를 제시하였으며, 캘리포니아 州 는 개인정보 유출통지법을 채택하여 시행하고 있다. 이렇듯 미국은 나라의 크기와 복잡성, 많은 인구로 인해 개별적인 영역에서 정책 제도를 추진하고 있음을 알 수 있다. EU의 경우는 개인정보보호에 관한 각종 지침과 규칙, 결정 등이 채택되어 있는데 먼저 EU 회원국에 직접 효력이 발생하는 것이 아니라 회원국의 해당 사안의 입법과정에 있어 회원국이 준수해야 할 최소한의 제도적 기준을 제시하고 있는 개인정보보호지침이 1995년 마련되었다. 또한, EU 제도상 최종 발효에 따라 모든 회원국에 직접적으로 적용되는 규범으로 기존 개인정보보호 지침과는 차이가 있는 개인정보보호규칙안을 2012년에 발표하였다. 이와 함께 최근 개인정보 유출통지에 대해 표준화된 유출통지 절차 및 통지 내용 등의 요건을 마련하여 EU 내의 개인정보처리자에게 적용함으로써 개인정보 유출에 대응하고 있으며, 사물인터넷 발전에 따른 개인정보보호 의견서를 발표함에 따라 사물인터넷의 진흥을 활발하게 추진하고 있다. 이와 같이 국내/외에서는 개인정보보호를 위한 법 제정 및 정책 제도를 - iii -

5 추진하고 있지만 개인정보 오남용 유출 및 2차 피해는 증가하고 있으며, 악용되는 개인정보의 유형 또한 다양해지고 있다. 따라서 개인정보를 처리방법 1) 에 따라 제공정보, 자동수집정보, 분석정보로 구분하여 해당하는 개인정보 항목을 분석 및 분류하였다. 또한, 2차 피해 유형 조사 및 도출을 통해 2차 피해를 유형화하고, 개인정보 항목별 위험도 평가 및 유형별 분석을 수행하였다. 이후 위험도 평가 및 분석을 기반으로 2차 피해를 최소화하기 위한 정책 제도적 개선방안 등 피해 최소화 방안을 제시하였다. 이는 2차 피해를 최소화하기 위해 정부 차원의 정책 제도와 정보주체가 자신의 개인정보가 오남용 또는 유출 사실을 알았을 때 취할 수 있는 대책에 초점을 두고 있다. 5. 연구 결과 본 연구를 수행한 결과, 크게 2가지 연구 결과로 정리할 수 있다. 첫째, 개인정보 2차 피해 유형화 및 개인정보 항목별 빈도수를 기반으로 위험의 정도를 평가하였다. 둘째, 개인정보 2차 피해 유형에서의 피해 절차에 따라 대응방안을 분석하였으며, 이를 바탕으로 2차 피해 최소화 방안을 제시하였다. 먼저 개인정보 2차 피해 유형은 크게 보이스피싱, 스미싱, 파밍, 큐싱, 명의도용 등과 관련된 피해를 조사하였으며, 피해 절차에 따라 대응방안을 기반으로 분석을 수행하였다. 더불어 빅데이터, 사물인터넷 등의 환경에서 자동으로 수집되는 개인정보 항목 등 다양한 개인정보 항목을 기반으로 향후 예상될 수 있는 2차 피해를 도출하였다. 또한, 유출된 개인정보 항목 빈도수와 2차 피해에 사용된 개인정보 항목 빈도수를 기반으로 개인정보 항목별 위험도를 평가한 결과, 인적정보에 해당하는 개인정보가 가장 위험한 항목이라 할 수 있었다. 이는 주로 정보주체가 자발적으로 제공한 정보로써 해당 정보만으로도 개인을 식별할 수 있기 때문에 오남용 유출되어 2차 피해에 악용될 경우 위험하다고 할 수 있다. 다만 본 보고서에서 평가한 위험도는 1) 개인정보를 정보주체로부터 직접 수집하여 처리하는 정보는 (정보주체)제공정보, 이 개 인정보를 처리하거나 개인정보처리자가 제공하는 서비스 등을 이용하는 과정에서 자동으 로 수집되는 정보를 자동수집정보, 위 두 가지 정보를 기초로 빅데이터 분석 등 다양한 분석을 통해 재생산된 정보는 분석정보로 분류한다. - iv -

6 연구에서 조사된 피해만을 기반으로 하였기 때문에 본 연구의 결과는 2차 피해 최소화 방안 제시를 위한 참고 자료로 활용하는 것이 타당하다고 생각된다. 또한, 2차 피해 유형 분석 결과에 따라 2차 피해를 최소화하기 위한 개선방안으로는 첫째, 개인정보 오남용 유출로 인한 2차 피해는 사용자가 서비스를 이용하는 과정 즉, 서비스업체 측면에서의 문제점으로 인해 발생되었기에 이에 대한 대책이 필요한 것으로 나타났다. 둘째, 대포폰 및 대포통장 등 대포물건이 2차 피해에 사용되었으며, 악성 앱 등으로 인한 피해가 증가하고 있는 추세로 이에 대한 대책이 필요한 것으로 나타났다. 셋째, 2차 피해를 최소화하기 위해서는 개인정보 오남용 유출의 사전 예방이 중요하며, 이에 관련된 정책 제도 개선이 필요한 것으로 나타났다. 마지막으로 정보주체 부주의로 인해 2차 피해가 발생될 수 있기에 이를 위한 다양한 교육 및 홍보활동을 통해 2차 피해 최소화가 필요한 것으로 나타났다. 6. 활용에 대한 건의 개인정보는 온 오프라인 상에서 수집, 이용, 처리됨에 따라 다양한 형태로 존재하여 활용되고 있으며, 개인정보 오남용 유출로 인한 2차 피해 또한 증가하고 있다. 이러한 2차 피해를 최소화하기 위해서는 위에서 살펴본 바와 같이 다양한 대책 및 방안에 대한 검토가 필요하다. 따라서 본 보고서에서 제시한 2차 피해 최소화 방안을 기초로 관련 대책을 마련하여 추진되기를 기대한다. 7. 기대효과 미국과 EU에서는 개인정보보호를 위해 다각적인 정책 제도를 추진하고 있으며, 국내에서도 개인정보 오남용 유출 방지를 위해 제도적, 기술적 대응 방안을 제시하고 있다. 그러나 2차 피해에 대해 정리된 자료가 부재하여 피해 예방 및 최소화 대책 마련이 미흡한 실정이다. 이러한 상황에서 다소 부족한 - v -

7 면이 없지는 않지만, 증가하는 2차 피해의 예방 및 최소화를 위한 종합적인 보고서가 나왔다는 것은 커다란 의의를 갖는다고 할 수 있다. 이 보고서를 활용할 경우 향후 다양한 유형의 2차 피해를 예방하고 최소화하기 위한 종합적인 방안을 마련하는 데에 조금이나마 도움이 될 것이다. - vi -

8 < 목 차> 제1장 연구 개요 1 제1절 연구의 배경 1 제2절 연구의 목적 4 제3절 용어 정의 4 제2장 개인정보 개요 6 제1절 개인정보 개요 6 1. 개인정보 정의 6 2. 개인정보 유형 10 제2절 개인정보보호의 중요성 12 제3절 개인정보보호 기술 및 산업 동향 개인정보보호 주요 기술 개인정보보호 산업 동향 18 제3장 개인정보보호 정책 제도 현황과 사례 분석 20 제1절 개인정보보호 국내/외 정책 제도 현황 국내 국외 48 제2절 개인정보 오남용 유출 사례 개인정보 오남용 사례 개인정보 유출 사례 80 제4장 개인정보 항목 분석 및 분류 93 제1절 개인정보 항목 개요 93 제2절 개인정보처리자의 개인정보 처리방법에 따른 항목 정보주체로부터 받은 개인정보 93 - vii -

9 2. 자동으로 생성되는 개인정보 가공 재생산된 개인정보 100 제5장 개인정보 2차 피해 102 제1절 개인정보 2차 피해 개요 102 제2절 개인정보 2차 피해 유형 보이스피싱(Voice Phishing) 스미싱(Smishing) 파밍(Pharming) 큐싱(Qshing) 명의도용 향후 발생 가능한 2차 피해 118 제3절 개인정보 2차 피해 유형 분석 개인정보 2차 피해 절차에 따른 분석 개인정보 항목별 위험도 평가 129 제6장 개인정보 2차 피해 최소화 방안 132 제1절 현행 정책 제도 개선의 시급성 및 필요성 132 제2절 2차 피해 최소화 방안 제시 서비스업체 측면에서의 정책 제도 개선방안 검토 형벌 및 단속 강화 개인정보보호 관련 정책 제도 개선방안 교육 및 홍보 강화 143 제7장 결론 145 < 참고 문헌 > viii -

10 제1장 연구 개요 제1절 연구의 배경 최근 정보화의 발달에 따라 다양한 분야에서 개인정보가 폭넓게 활용되고 있으며, 기기의 스마트화와 서비스의 소셜화는 사용자 및 기기들이 생성하는 개인정보의 종류와 양을 폭발적으로 증가시키고 있다. 특히 모바일 환경 도래에 따른 소셜 네트워크 서비스(Social Network Service, SNS) 및 웹 서비스의 성장과 스마트 기기의 대중화, 사물통신의 확산으로 인해 개인정보의 중요성은 더욱 커지고 있다. 이에 따라 개인정보는 단순히 한 개인을 식별하기 위한 정보에서부터 사물인터넷(IoT) 서비스 및 맞춤형 서비스 제공, 소비자 선호도 분석, 행정 효율성 증대 등 공공 민간의 다양한 영역에서 활용될 수 있다. (그림 1-1)에서 보는 바와 같이 개인정보의 범위 및 영역은 다양한 서비스에 따라 점차 확대되고 있음을 알 수 있다. (그림 1-1) 사회발전에 따라 확대되는 개인정보의 범위 출처 : 방송통신위원회, 한국인터넷진흥원, 정보통신서비스 제공자를 위한 개인정보보호 법령 해설서, 2012 또한, 기업은 개인정보를 다양한 목적으로 활용하기 위해 수많은 정보를 수집하고 제3자와 공유하기 시작하였으며, 이에 따라 정보주체는 자신의 개인정보가 어떻게 활용되고 어디로 흘러가는지 알기 어려운 상황이 되었다

11 이렇게 개인정보의 사용이 증가함에 따라 개인정보 오남용 유출 사고 또한 빈번하게 발생하고 있다. (그림 1-2)에서 보는 바와 같이 개인정보 오남용 유출은 해킹뿐만 아니라 특정인의 개인정보 불법 열람, 내부자 및 외부 위탁업체에 의한 불법 유출, 관리 부주의 등 온 오프라인을 통해 유출되고 있으며, 연락처, 주민등록번호 등의 개인정보뿐만 아니라 신용정보 등 다양한 형태의 개인정보가 유출되고 있다. (그림 1-2) 개인정보 오남용 유출에 따른 2차 피해 출처 : 개인정보보호위원회, 개인정보보호 연차보고서, 2012 그러나 한번 유출된 개인정보는 걷잡을 수 없는 확산력을 가지고 있기 때문에, 정보주체는 2차, 3차 피해에 노출될 수 있으며, 정신적 피해뿐만 아니라 명의도용 및 보이스피싱에 의한 금전적 손해, 유괴 등의 다양한 피해를 입을 수 있다. 또한, 기업의 경우는 이미지 실추, 소비자단체 등의 불매운동, 다수 피해자에 대한 집단적 손해배상 시 기업 경영에 큰 타격을 줄 수 있다. 국가의 경우는 프라이버시 라운드 대두에 따른 IT 산업의 수출 애로, 전자정부의 신뢰성 및 국가브랜드가 하락하게 될 수 있다. 따라서 국내에서는 이와 같은 피해를 줄이기 위해 사전적, 사후적 구제수단의 필요성을 인식하여 - 2 -

12 개인정보보호법 (이하 '보호법')이 제정 시행되고 있으며, 유출에 따른 피해예방 및 피해구제를 위한 제도와 기업의 책임을 강화하는 배액배상제도의 도입 등 다양한 정책이 시행되고 있다. 또한, 사회적 불안감을 최소화 할 수 있는 보호조치로 개인정보 영향평가, 개인정보 유출통지 및 신고, 분쟁조정 및 집단분쟁조정 제도 등의 신규 제도를 도입하였다. 더불어 정보통신망이용촉진 및 정보보호 등에 관한 법률 (이하 '정보통신망법')에는 인터넷상 주민등록번호 수집 및 이용 금지 2), 개인정보 유출 사고에 대한 이용자 통지 및 신고, 개인정보 유효기간 제도, 개인정보 이용내역 통지 제도 등의 신규 제도를 도입하였다. 이를 통해 모든 기관과 사업자들은 개인정보보호 관련 정책을 따르고 관련 기술을 갖출 뿐만 아니라 유출 피해를 위한 사후 대응절차를 마련하고 있다. 3)4) 이와 같은 정책 제도 마련에도 불구하고, 개인정보 오남용 유출 사고의 피해 규모는 증가하고 있으며, 단순히 개인정보 오남용 유출에서 끝나지 않고 이러한 개인정보가 악용되면서 2차 피해 우려가 현실로 나타나고 있다. 개인정보를 악용한 2차 피해에는 보이스피싱, 대포폰 개통, 통장 개설, I-PIN(Internet Personal Identification Number) 발급 등이 있으며, 이를 통해 정보주체 및 제3자는 정신적 피해뿐만 아니라 금전적/신체적 피해 등을 입을 수 있다. 또한, 이미 발생된 2차 피해뿐만 아니라 유사 피해 발생 및 지능화된 새로운 형태의 2차 피해 발생 가능성이 존재할 수 있다. 그러나 현재 2차 피해 유형에 대해 정리된 자료가 부재하여 피해 예방 및 정책 제도 개선에 한계가 있다. 따라서 이미 발생된 2차 피해를 비롯하여 다양한 형태로 수집되는 개인정보를 악용하여 발생 가능한 2차 피해를 도출하여 유형화하고, 이러한 2차 피해를 최소화하기 위한 방안 마련이 필요하다. 2) 별도로 보호법도 개정하여 제24조의2에 주민등록번호의 법정주의를 도입 시행( ) 3) 개인정보보호위원회, 개인정보보호 연차보고서, ) kt 경제경영연구소 선임연구원, 개인정보보호 관련 규제체계와 주요 이슈,

13 제2절 연구의 목적 본 연구는 온 오프라인 상에서 다양한 형태로 생성 및 수집되는 개인정보의 오남용 유출에 따른 2차 피해를 최소화하기 위한 방안을 제시하는 것을 목적 으로 하고 있다. 이를 위해 첫째, 개인정보보호 관련 정책 제도 현황 및 개인 정보 오남용 유출 사례를 살펴보고자 한다. 둘째, 개인정보처리자(이하 처리 자 )의 개인정보 처리방법에 따라 다양한 형태로 존재할 수 있는 개인정보 항목 을 조사 및 분석하고자 한다. 셋째, 2차 피해 사례 조사 및 발생 가능한 2차 피 해 도출을 통해 2차 피해를 유형화하고, 개인정보 항목별 위험도를 평가한다. 마지막으로 선행 연구 및 조사를 바탕으로 2차 피해 최소화를 위한 방안을 제 시하고자 한다. 제3절 용어 정의 1. 정보주체 란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다. (보호법 제2조) 2. 개인정보 처리 란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위를 말한다. (보호법 제2조) 3. 개인정보파일 이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 말한다. (보호법 제 2조) 4. 개인정보처리자 란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다. (보호법 제2조) - 4 -

14 5. 개인정보취급자 란 개인정보처리자의 지휘 감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖에 업무상 필요 때문에 개인정보에 접근하여 처리하는 모든 자를 말한다. (보호법 제28조) 6. 개인정보보호책임자 란 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보보호책임자를 말하며 개인정보처리자가 지정한다. (보호법 제31조) 7. 개인정보처리시스템 이라 함은 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템을 말한다. (개인정보의 안전성 확보조치 기준 제2조) 8. 공공기관 이란 다음 각 목의 기관을 말한다.(보호법 제2조) 1) 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관 및 그 소속 기관, 지방자치단체(이하 '지자체') 2) 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관 9. 개인정보 유출 이란 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것을 말한다.(표준 개인정보보호지침 제26조) 또한, 온 오프라인 상에서 정상적으로 수집된 개인정보가 비정상 및 불법적인 방식으로 탈취되는 경우도 포함한다. 10. 개인정보 2차 피해 란 개인정보 오남용 유출에 의한 개인정보를 불법적으로 악용하여 정보주체 및 제3자에게 정신적 피해, 금전적 피해, 신체적 피해 등을 가한 경우를 말하며, 이뿐만 아니라 이후 발생한 모든 피해를 포함하여 2차 피해로 정의한다

15 제2장 개인정보 개요 제1절 개인정보 개요 1. 개인정보 정의 개인정보란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호, 영상 등을 통해 개인을 알아볼 수 있는 정보를 말한다. 또한, 그 자체로는 직접 알아보기 힘들더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보까지 개인정보의 범위에 포함된다. 5) 이러한 개인정보는 [표 2-1]에서 보는 바와 같이 정보통신망법, 위치정보의 보호 및 이용 등에 관한 법률 (이하 '위치정보법'), 신용정보의 이용 및 보호에 관한 법률 (이하 신용정보법 ) 등 개인정보보호 관련 법률에서도 정의하고 있다. 특히, 정보통신기술이 발달하고 정보화가 촉진되면서 보호되어야 할 개인정보 유형도 다양화되는 추세이며, 위치정보 및 신용정보가 개인정보의 영역에 포함되어 이와 관련된 법이 새롭게 제정되었다. [표 2-1] 개인정보 정의 구분 보호법 정보통신망법 내용 (제2조 제1호) 개인정보 란 살아 있는 개인에 관한 정보로서 성 명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다. (제2조 제6호) 개인정보 란 생존하는 개인에 관한 정보로서 성 명 주민등록번호 등에 의하여 특정한 개인을 알아볼 수 있는 부호 문자 음성 음향 영상 등의 정보(해당 정보만으로는 특정 개인을 알아볼 수 없어도 다른 정보와 쉽게 결합하여 알아 볼 수 있는 경우에는 그 정보를 포함한다)를 말한다. 5) 개인정보보호법 제2조 - 6 -

16 구분 위치정보법 신용정보법 내용 (제2조 제2호) 개인위치정보 라 함은 특정 개인의 위치정보(위 치정보만으로는 특정 개인의 위치를 알 수 없는 경우에도 다른 정보와 용이하게 결합하여 특정 개인의 위치를 알 수 있는 것을 포함한다)를 말한다. (제2조 제1호) 신용정보 란 금융거래 등 상거래에 있어서 거래 상대방의 신용을 판단할 때 필요한 다음 각 목의 정보로서 대통 령령으로 정하는 정보를 말한다. 가. 특정 신용정보주체를 식별할 수 있는 정보 나. 신용정보주체의 거래내용을 판단할 수 있는 정보 다. 신용정보주체의 신용도를 판단할 수 있는 정보 라. 신용정보주체의 신용거래능력을 판단할 수 있는 정보 마. 그 밖에 가목부터 라목까지와 유사한 정보 <시행령> 1. 법 제2조 제1호 가목의 특정 신용정보주체를 식별할 수 있는 정보: 생존하는 개인의 성명, 주소, 주민등록번호, 외국인등록 번호, 국내거소신고번호, 여권번호, 성별, 국적 및 직업 등(후 략) (제2호부터 제5호까지의 어느 하나에 해당하는 정보와 결 합되는 경우만 해당한다) 2. 법 제2조 제1호 나목의 신용정보주체의 거래내용을 판단할 수 있는 정보: 대출, 보증, 담보제공, 당좌거래(가계당좌거래를 포함한다), 신용카드, 할부금융, 시설대여와 금융거래 등 상거 래와 관련하여 그 거래의 종류, 기간, 금액 및 한도 등에 관 한 사항 3. 법 제2조 제1호 다목의 신용정보주체의 신용도를 판단할 수 있는 정보: 금융거래 등 상거래와 관련하여 발생한 연체, 부 도, 대위변제, 대지급과 거짓, 속임수, 그 밖의 부정한 방법에 의한 신용질서 문란행위와 관련된 금액 및 발생ㆍ해소의 시 기 등에 관한 사항. 이 경우 신용정보주체가 기업인 경우에는 다음 각 목의 어느 하나에 해당하는 자를 포함한다. 4. 법 제2조 제1호 라목의 신용정보주체의 신용거래능력을 판단 할 수 있는 정보: 금융거래 등 상거래에서 신용거래능력을 판 단할 수 있는 다음 각 목의 어느 하나에 해당하는 정보<각 목 생략> 5. 법 제2조 제1호 마목에 따른 정보로서 다음 각 목의 어느 하 나에 해당하는 정보 <각 목 생략> 출처 : 국가법령정보센터, 이와 같이 개인정보는 개인정보보호 관련 법률에서의 개인정보의 정의에 따라 - 7 -

17 살아 있는 개인, 특정 개인과의 관련성, 정보의 임의성, 식별 가능성 관점에서 볼 수 있다. 6) (1) 살아 있는 개인 개인정보는 현재 생존( 生 存 )하고 있는 개인 에 관한 정보에 한한다. 사망한 자에 관한 정보도 개인정보의 개념에 포함하고 있는 국가도 일부 있으나, 대부분 국가에서는 생존하고 있는 개인 에 관한 정보만을 개인정보보호의 대상으로 하고 있다. 따라서 이미 사망하였거나 실종선고 등으로 간주하는 자에 관한 정보는 개인정보로 볼 수 없다. 다만 사망자의 정보가 사망자와 유족과의 관계를 나타내는 정보이거나 유족 등의 사생활을 침해하는 경우에는 사망자 정보인 동시에 관계되는 유족의 정보이기도 하므로 이는 개인정보보호의 대상이 될 수 있다. (2) 특정 개인과의 관련성 개인정보는 살아 있는 개인에 관한 정보 즉, 특정한 개인에 대한 사실, 판단, 평가 등 그 개인과 관련성을 지닌 정보여야 한다. 특정 개인과 관련성을 지니는 정보란, 일반적으로 특정 개인의 정체성(identity)을 구별하거나 밝혀낼 수 있는 정보(성명, 주민등록번호, 생년월일, 주소, 바이오 정보 등) 및 특정 개인의 과거 및 현재 상황이나 상태를 나타낼 수 있는 정보(교육상황, 재정 상황, 진료 및 건강 상태 등)라 할 수 있다. 반면, 특정 개인을 알아볼 수 없도록 가공되었거나 통계적으로 변환된 경우에는 특정 개인과의 관련성이 없고, 식별이 어려우므로 개인정보라 할 수 없다. 예를 들어 특정 단체 임원들의 평균연봉, 특정 대학의 해당연도 졸업생의 취업률 등의 정보는 단지 통계적 정보일 뿐 특정 개인과의 관련성이 없는 정보이므로 개인정보에 해당하지 않는다. 6) 행정안전부, 개인정보보호법령 및 지침 고시 해설,

18 (3) 정보의 임의성 보호법에서는 개인정보를 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보 라고만 규정하고 있을 뿐 정보의 종류, 형태, 성격, 형식 등에 대해서는 특별한 제한을 두고 있지 않다. 따라서 개인을 알아볼 수 있는 정보에 해당하는 한 모든 형태의 정보가 개인정보가 될 수 있다. 예를 들어 특정 개인의 신장, 체중, 나이 등 객관적 사실에 관한 정보부터 직장에서 직원에 대한 근무평가나 금융기관에서 개인의 신용도 평가 등 그 사람에 대한 제3자의 의견 평가와 같은 주관적인 정보도 개인정보에 해당한다. 개인정보가 반드시 사실이거나 증명될 필요는 없으며, 부정확한 정보 또는 허위 정보라도 특정 개인과 관련성을 가진다면 개인정보가 될 수 있다. 또한, 정보의 처리 형식 및 처리 매체에도 제한이 없다. PC에 저장된 문서 파일 등 전자기적 형태의 정보, 종이문서에 기록된 수기 형태의 정보, 녹음된 음성정보, CCTV의 영상정보, 기타 문자 부호 그림 숫자 사진 그래픽 이미지 음성 음향 영상 화상 등의 형태로 처리된 정보도 모두 개인정보가 될 수 있다. (4) 식별 가능성 보호법에 따른 개인정보는 개인을 알아볼 수 있는 정보여야 하며, 특정한 개인을 식별할 수 있는 정보여야 한다. 식별 이란 특정 개인을 다른 사람과 구분하거나 구별할 수 있다는 의미이다. 예를 들어 대한민국의 국민 중에서 특정 개인을 구분할 수 있는 신원정보(성명, 주민등록번호, 본적, 주소 등), 학교 직장 단체 등 소속된 곳에서 특정 개인을 구분할 수 있는 정보(성명, 아이디 등의 고객관리정보, 결재정보, 재화 용역 공급을 위한 주소지 및 연락처 등)가 이에 해당한다. 이 외에도 개인의 사적 생활과 연관되어 개인을 타인과 구분하거나 구별할 수 있는 정보라면 모두 개인정보에 해당될 수 있다. 또한, 개인을 알아볼 수 있는 정보라는 것은 사전에 친분 관계가 있는 사람이 특정 개인을 알아보는 것뿐만 아니라 그 특정 개인을 전혀 모르던 사람이더라도 그 특정 개인을 다른 사람과 구분 구별할 수 있다면 개인정보에 포함될 수 - 9 -

19 있다는 의미이다. 또한, 한 가지 정보만으로는 특정 개인을 알아볼 수 없는 경우가 존재한다. 예를 들어 성명만 있는 경우에는 만약 동명이인이 존재한다면 특정인을 구별할 수 없다. 따라서 개인정보의 식별성이란 곧 정보의 결합 또는 조합을 통하여 특정 개인을 구분 구별하는 것을 의미한다고 할 수 있다. 이에 따라서 보호법 제2조 제1호에서는 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함시키고 있다. 쉽게 결합하여 라는 표현에서 쉽게 라는 표현은 합리적으로 라는 의미로 해석하여야 한다. 즉, 쉽게 결합 이라는 표현은 각각의 정보가 물리적 과학적으로 결합할 수 있다는 가능성보다는 각각의 정보 결합의 수단 방법이 합리적으로 이루어질 수 있다는 의미로 볼 수 있다. 물리적 과학적으로는 해당 정보의 결합에 따라 정보주체의 식별이 가능하다고 하더라도 식별을 위해 불합리할 정도의 시간, 노력, 비용이 투입되어야 한다면 식별성이 있다고 할 수 없다. 2. 개인정보 유형 개인정보보호 포털 및 법령 해설서에서는 개인정보를 크게 인적사항, 신체적 정보, 사회적 정보, 재산적 정보, 통신 및 위치 등의 기타정보로 구분하여 제시하고 있다. 이에 따른 개인정보의 예시는 [표 2-2]에서 보는 바와 같다. 7)8) 본 연구에서는 개인정보 정의 및 유형을 바탕으로 정보주체로부터 직접 제공받은 정보, 자동으로 생성 또는 수집된 정보, 분석 가공 재생산된 정보로 구분하여 개인정보 항목을 조사하고자 한다. 첫째, 정보주체로부터 직접 제공받은 정보란 정보주체가 서비스 이용을 위해 자발적으로 제공한 정보를 말한다. 이는 개인정보의 이용, 제3자 제공에도 공개된 개인정보라 할 수 있다. 둘째, 자동으로 생성 또는 수집된 정보란 행정서비스 등과 관련하여 당해 서비스를 제공받는 과정 또는 그의 결과 자동으로 만들어지거나 추가된 정보, 또는 정보통신서비스와 관련하여 사용자가 7) 개인정보보호 포털( 개인정보보호소개 8) 방송통신위원회, 한국인터넷진흥원, 정보통신서비스 제공자를 위한 개인정보보호 법령 해설서,

20 해당 서비스를 이용하는 과정에서 자동으로 생성 및 수집된 정보를 말한다. 마지막으로 분석 가공 재생산된 정보란 다양한 영역에서 정보주체로부터 직접 제공받은 정보, 자동으로 생성 또는 수집된 정보를 기초로 빅데이터 분석 등 다양한 방법으로 분석 가공 등을 통해 재생산된 정보를 말한다. 인적사항 신체적 정보 정신적 정보 사회적 정보 재산적 정보 기타 정보 구분 내용 일반정보 성명, 주민등록번호, 주소, 연락처, 생년월일, 출생지, 성별 등 가족정보 신체정보 의료 건강 정보 기호 성향 정보 내면의 비밀 정보 교육정보 병역정보 근로정보 법적정보 소득정보 신용정보 부동산 정보 기타 수익 정보 통신정보 위치정보 습관 및 취미정보 [표 2-2] 개인정보 유형 가족관계 및 가족구성원 정보 등 얼굴, 홍채, 음성, 유전자 정보, 지문, 키, 몸무게 등 건강상태, 진료기록, 신체장애, 장애등급, 병력, 혈액형, IQ, 약물테스트 등의 신체검사 정보 등 도서 비디오 등 대여기록, 잡지구독정보, 물품구매내역, 웹사이트 검색내역 등 사상, 신조, 종교, 가치관, 정당 노조 가입여부 및 활동내역 등 학력, 성적, 출석상황, 기술 자격증 및 전문 면허증 보유 내역, 상벌기록, 생활기록부, 건강기록부 등 병역여부, 군번 및 계급, 제대유형, 근무부대, 주특기 등 직장, 고용주, 근무처, 근로경력, 상벌기록, 직무평가기록 등 전과 범죄 기록, 재판 기록, 과태료 납부내역 등 봉급액, 보너스 및 수수료, 이자소득, 사업소득 등 대출 및 담보설정 내역, 신용카드번호, 통장계좌번호, 신용평가 정보 등 소유주택, 토지, 자동차, 기타소유차량, 상점 및 건물 등 보험(건강, 생명 등) 가입현황, 휴가, 병가 등 주소, 전화통화내역, 로그파일, 쿠키 등 GPS 및 휴대폰에 의한 개인의 위치정보 흡연여부, 음주량, 선호하는 스포츠 및 오락, 여가활동, 도박성향 등 출처 : 방송통신위원회, 한국인터넷진흥원, 정보통신서비스 제공자를 위한 개인정보보호 법령 해설서,

21 제2절 개인정보보호의 중요성 (그림 2-1)에서 보는 바와 같이 정보통신기술의 발전은 일상생활뿐만 아니라 산업, 행정 등 사회 전 영역에서 변화를 선도하는 핵심적인 요소로 기능하여 일상생활을 보다 편리하게 만들었다. 하지만 기술 발전 이면에는 다양한 사이버 범죄와 정보 격차로 인한 소외 계층의 발생 등 역기능 문제 또한 심화되고 있다. (그림 2-1) 정보통신기술발전의 순기능과 역기능 출처 : 한국인터넷진흥원 개인정보보호포털, 최근 들어 SNS가 소통의 주 매개체가 되어 개인정보로 구성된 프로필의 공개 및 관심사 공유에 의한 인적네트워크가 형성됨에 따라 개인정보 침해, 타인 사칭 등 사회적 문제가 발생하고 있다. 또한, 사물인터넷 및 빅데이터 기반 서비스는 다양하고 상세한 개인정보를 대량으로 수집 이용하는 것을 전제로 하고 있어 개인정보 유출 시 큰 피해가 예상된다. 9) 이렇게 유출된 개인정보는 (그림 2-2)에서 보는 바와 같이 스팸메일, 불법 텔레마케팅(TM) 등에 악용되어 개인에게 원치 않는 광고성 정보가 끊임없이 전송되는 동시에 대량의 스팸메일 발송을 위한 계정 도용, 보이스피싱 등 범죄행위에 악용될 우려가 있다. 이러한 피해가 개인정보의 주체에게 미치는 정신적 물질적 신체적 피해 규모는 측정이 어려울 뿐만 아니라 한번 유출된 9) 한국정보화진흥원, 개인정보보호 트렌드전망,

22 개인정보의 회수는 불가능하기 때문에 더욱 심각하다고 할 수 있다. (그림 2-2) 유출된 개인정보의 위험성 출처 : 한국인터넷진흥원 개인정보보호포털, 기업 측면에서는 개인정보 유출 사고 발생 시 고객의 신뢰 상실은 물론 기업의 이미지 하락과 소송비용 및 손해배상금 등 실질적 비용이 소요되는 등 유 무형으로 기업 자산의 손실을 가져오게 된다. 따라서 개인이나 기업 모두 개인정보 유출에 따른 피해 비용이 기하급수적으로 증가할 수 있기 때문에 기술, 제도 마련 등 개인정보보호가 지속적으로 이루어져야 한다. 제3절 개인정보보호 기술 및 산업 동향 1. 개인정보보호 주요 기술 (1) 데이터베이스(DB) 접근 제어 DB 접근제어 기술은 보호법 제29조와 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준 (이하 '안전성 확보조치 기준') 제4조(접근권한의 관리)의 이행을 위한 수단으로 사용할 수 있는 기술이다. DB는 조직에 필요한 정보로서 DBMS(DataBase Management System)라는 관리 시스템에 의해 관리되며 인증과정을 거쳐 로그인한 후에 SQL이라는 질의어를 통해서만 해당 정보에 정상적으로 접근할 수 있다. 일반적으로 DB는 DMZ 영역을 거쳐 조직의

23 내부에 위치하고 있고, DBMS 자체가 강력한 보안기능을 제공하기 때문에 해킹보다는 DB에 접근 권한을 가진 사용자가 권한을 남용하여 정보를 유출하거나 변조하는 것이 가장 치명적인 위협이다. 이런 위협에 따라 정부는 각종 규제를 만들어 개인정보 등의 중요한 정보를 관리하는 개인정보처리시스템을 안전하게 관리하도록 요구하고 있다. DBMS에도 강력한 접근제어 기능이 있지만, 별도의 DB 접근제어가 필요한 이유는 세분화된 사용자 식별, DBMS의 부하 증가, DBMS에서 제공하는 기능의 한계 때문에 DB에 대한 별도의 접근제어가 필요하다. DB 접근제어는 DB에 저장된 개인정보파일에 접속을 시도하는 여러 사용자를 인가자와 비인가자로 구분하여 접속을 통제하는 기술이다. 인가자와 비인가자로 구분하는 방법은 두 가지가 있는데 DB 전체에 대한 접근권한 여부, DB 접근권한과 별개로 담당 업무의 내용에 따른 관련 영역의 접근권한 여부를 고려하여 구분하는 것이다. 이 기술을 체계화하여 DB 접근제어시스템 이라는 이름으로 다양한 제품들이 판매되고 있으며, 이 시스템은 DB에 대한 질문(Query)으로 데이터 생성 수정 삭제 조회 등에 대하여 감시기록을 생성하여 저장함으로써 보호대상 DB에 대한 비인가자의 불법작업 방지는 물론 인가자의 불법행위를 추적할 수 있게 하는 기술이다. 10) (2) DB 암호화 DB 암호화 기술은 보호법이 주민등록번호를 의무적으로 암호화하도록 개정(2014.3)됨에 따라 개인정보처리시스템에서 필수적으로 도입 활용되어야 하는 기술이다. DB 암호화는 DB 내의 개인정보를 암호화하여 개인정보가 유출되어도 해독이 불가능하게 함으로써 개인정보의 기밀성을 유지하는 기술이다. 만약 비인가자가 DB 접근제어시스템을 불법적으로 통과하여 DB 내의 개인정보를 유출하였다고 하더라도 이미 암호화되어 있으므로 개인정보의 추가 유출을 방지할 수 있다. 이러한 기술을 이행하기 위해서 필요한 기능은 권한 분리, 사용자 인증 및 식별, 암호 알고리즘, 키 관리, 암호통신, 인덱스 암호화, 10) 데이터 전문가 지식포털, DB 보안 가이드라인 &boardstep=1-14 -

24 보안감사, 보안관리 등이 있으며, 이들을 종합하여 체계화 한 것을 DB 암호화 시스템 또는 개인정보 암호화 시스템 이라 한다. (3) 전송구간 암호화 전송구간 암호화 기술은 안전성 확보조치 기준 제7조 제2항의 이행에 필요한 주요 기술 수단이다. 전송구간 암호화는 사용자의 웹 브라우저와 웹 응용 서버(Web Application Server) 사이에서 송수신되는 데이터의 암 복호화를 통해 개인정보 등 중요 정보에 대한 기밀성과 무결성을 제공한다. 이는 대부분 공개키 암호화(Public Key Infrastructure) 인증서를 기반으로 이루어진다. 또한, 암호화 통신, 전자서명 및 검증, 식별번호 검증, 전자봉투 및 원문화 등의 기능이 있으며, 보호법 제29조의 안전성 확보조치와 안전성 확보조치 기준에 의해서 고유식별정보 등의 송 수신 시 필수적으로 적용해야 하는 기술이다. 또한, 전송구간 암호화는 크게 웹서버와 클라이언트 간 암호화, 개인정보처리시스템 간 암호화, 개인정보취급자(이하 취급자 ) 간 암호화 등으로 구분할 수 있다. 첫째, 웹서버와 클라이언트 간 암호화는 개인정보 전송 시 암호화를 위하여 공인인증기관이 발급한 서버 인증서가 설치된 보안서버를 사용하는 방식으로 웹 브라우저에 기본적으로 내장된 SSL(Secure Sockets Layer)/TLS(Transport Layer Security) 프로토콜로 접속하는 SSL 방식과 웹브라우저에 보안 프로그램을 설치하여 접속하는 응용프로그램 방식으로 구분할 수 있다. SSL 방식은 웹페이지 전체를 암호화(웹페이지 내 이미지 포함)하는 것이고, 응용프로그램 방식은 특정 데이터만을 선택적으로 암호화 하는 것이 가능하지만 보안 서버와 웹 브라우저에 부가적인 프로그램을 설치해야 한다는 단점이 있다. 둘째, 개인정보처리시스템 간 암호화는 공중망을 이용한 VPN(Virtual Private Network)을 구축하여 개인정보 전송 시 암호화를 지원할 수 있다. VPN은 보안 프로토콜의 종류에 따라 IPsec(IP Security) VPN, SSL VPN, SSH(Secure Shell) VPN 방식 등이 있다. 이러한 VPN은 공중망을 통해 데이터를 송신하기 전에 데이터를 암호화하고, 수신 측에서 이를 복호화하는 방식으로 송 수신

25 정보에 대한 기밀성과 무결성을 보장하며, 그 외에도 데이터 출처 인증, 재전송 방지, 접근제어 등 다양한 보안기능을 제공한다. 마지막으로 취급자 간 암호화는 정보취급자가 개인정보 전송 시 주로 을 이용하게 되는데, 은 네트워크를 통해 전송되는 과정에서 공격자에 의해 유출되거나 위조될 가능성이 크다. 이러한 위협으로부터 전송되는 메시지를 보호하기 위해서 PGP(Pretty Good Privacy) 또는 S/MIME(Secure Multi-Purpose Internet Mail Extension)을 적용한 암호화 방식과 암호화된 파일을 첨부하여 전송하는 첨부문서 암호화 방식이 있다. (4) 개인정보 검색 및 차단 개인정보 검색 및 차단은 개인정보보호책임자(이하 책임자 )가 수립한 개인정보 검색 정책에 따라 업무용 PC 내의 개인정보를 검출하여 암호화 또는 완전히 삭제하는 기술을 의미한다. 이를 중심으로 식별 및 인증, 보안감사, 보안관리 기능 등이 필요하며, 이러한 기능을 가진 시스템을 개인정보 검색 및 차단시스템 이라고 한다. 이 시스템은 조직 내 직원들의 PC에 저장된 개인정보가 해킹 등으로 인해 외부에 유출되는 것을 방지하기 위해 필요하다. (5) 개인정보 통합관리 개인정보 통합관리는 개인정보의 수명주기(수집, 저장 관리, 이용 제공, 파기) 및 처리단계에 따라 개인정보를 통합적으로 관리할 수 있는 기술이다. 이 기술을 적용한 정보시스템을 개인정보통합관리시스템 이라고 하며, 이 시스템은 개인정보 보유현황자료 수집, 개인정보 조회 및 처리현황 분석, 개인정보 관련 통계 및 보고, 실시간 모니터링 등의 기능을 가지고 있다. 이 시스템은 개인정보파일을 보유하는 조직에서 여러 명이 업무용 PC 등 단말기를 통해 업무를 수행하는 경우 책임자가 보유 중인 개인정보파일을 종합적이고 체계적으로 관리하여 운영할 수 있게 하는 기술이다

26 (6) 데이터 유출 방지(Data Loss Prevention) 데이터 유출 방지 기술은 안전성 확보조치 기준 제4조(접근권한의 관리)의 이행을 위해 필요한 기술로써 기업 내 네트워크와 시스템에 있는 민감한 정보를 규정하고 찾아내어 이를 정의한 후, 민감한 정보의 사용과 배포를 통제하는 일련의 과정이다. 이를 위해서는 매체 제어, 패킷 통제, 프로그램 실행 통제, PC 통제 등의 기능이 필요하다. 이러한 기능들을 통해 데이터 유출을 방지해주는 시스템을 데이터 유출방지 시스템 이라 하며, 데이터 유출 방지 기술은 특정 데이터가 유출되는 일련의 과정을 모니터링하고 이를 선별적으로 차단하는 기능이 필요하다. 11) (7) 디지털 권한 관리(Digital Rights Management) 디지털 권한 관리는 출판자 또는 저작권자가 그들이 배포한 디지털 자료나 하드웨어의 사용을 제어하고 이를 의도한 용도로만 사용하도록 제한하는 모든 기술을 말하며, 이러한 기능을 가진 통합시스템을 디지털 권한 관리 시스템이라 한다. 12) (8) 통합 로그관리 통합 로그관리 기술은 안전성 확보조치 기준 제8조(접근기록의 보관 및 위 변조 방지)의 효율적 이행 및 로그정보의 내부관리를 지원하는 기술로써 다양한 시스템에서 대용량으로 발생하는 여러 형태의 로그들을 수집, 통합 관리하고 분석하여 개인정보보호 감사 및 관리에 활용할 수 있는 기술이다. 이 기술은 개인정보 유출 사고 시 조기 대응에 용이하며, 향후 수사 등에도 활용 효과가 높은 기술로 알려져 있다. 11) 한국침해사고대응팀협의회, CONCERT Security Consumer Report, )

27 (9) 데이터 삭제 데이터 삭제는 보호법 제21조(개인정보의 파기)를 이행하는데 필요한 기술로써 전자적으로 기록된 데이터를 복구 또는 복원할 수 없도록 삭제하는 기술이다. 삭제 방식은 논리적 방법, 자기장을 이용하는 방법, 물리적 파기 및 폐기 방법 등이 있다. 논리적 방법으로는 3회 이상 겹쳐 쓰기 방식이 있으며, 자기장 이용 방법은 전용 장비인 디가우저 13) 를 이용하는 것이며, 물리적 파기 방법은 종이문서일 경우 파쇄기가 있을 수 있다. 2. 개인정보보호 산업 동향 개인정보보호 산업은 개인정보보호 기술을 구현한 제품을 개발 생산 또는 유통하거나 관련 컨설팅, 보안관제 등의 서비스를 수행하는 산업으로 정의할 수 있다. 개인정보보호 기술은 일반적으로 정보보호 기술을 포함하고 있기 때문에 정보보안 산업과 개인정보보호 산업은 유사하다고 할 수 있다. 14) 개인정보보호 기술은 [표 2-3]에서 보는 바와 같이 개인정보보호 관련 정보보안 산업에 포함되는 제품과 서비스로 분류하여 살펴볼 수 있다. 13) 디가우저 : 하드디스크 또는 자기테이프에 강력한 자기장을 노출함으로써 자기매체 즉 하드디스 크나 자기 테이프에 기록된 데이터를 원칙적으로 파괴함으로써 복구가 불가능하도록 하여 정보 유출을 방지하는 장치이다. 14) 개인정보보호위원회, 개인정보보호 연차보고서,

28 [표 2-3] 개인정보보호 제품 및 서비스 대분류 소분류 세부 항목 정보보안제품 네트워크 보안 시스템 보안 콘텐츠 정보유출 방지보안 암호 인증 보안관리 기타 제품 웹 방화벽 네트워크(시스템) 방화벽 침입방지 시스템(IPS) DDoS 차단 시스템 통합보안시스템(UTM) 가상사설망(VPN) 네트워크접근제어(NAC) 무선 네트워크 보안 모바일 보안 가상화(망분리) PC 방화벽 Virus 백신 Anti 스파이웨어 스팸차단 SW Anti 피싱 보안운영체제 DB보안(접근통제) DB암호 PC보안 보안 USB 디지털권한방지(DRM) 데이터유출방지(DLP) 보안 스마트카드 H/W 토큰(HSM) 일회용 비밀번호(OTP) 공개키 D기반구조(PKI) 통합접근관리(EAM) 싱글사인온(SSO) 통합계정관리(IM/IAM) 기업보안관리(ESM) 위협관리시스템(TMS) 패치관리시스템(PMS) 자산관리시스템(RMS) 로그 관리 분석 툴 취약점 분석 툴 디지털 포렌식 툴 기타 보안컨설팅 정보보안서비스 유지보수 보안관제 교육 훈련 인증서비스 출처 : 개인정보보호위원회, 개인정보보호 연차보고서, 2014 인증(ISO, G-ISMS) 안전진단 기반보호 진단 및 모의해킹 개인정보 컨설팅(개인정보 영향평가 등) 종합보안 컨설팅 정보감사(내부정보 유출방지 컨설팅 등) 판매 후 유료서비스 원격관제 서비스 파견관제 서비스 교육훈련 서비스 공인 사설 인증서비스

29 제3장 개인정보보호 정책 제도 현황과 사례 분석 제1절 개인정보보호 국내 외 정책 제도 현황 1. 국내 국내 개인정보보호는 (그림 3-1)에서 보는 바와 같이 개인정보보호위원회(이하 보호위 )가 관련 정책 및 제도에 대한 심의 의결을 등 컨트롤 타워 15) 의 역할을 하고 있으며, 행정자치부(이하 행자부 )는 모든 영역의 개인정보보호를 규율하는 일반법인 보호법, 방송통신위원회(이하 '방통위')는 정보통신망법, 금융위원회(이하 '금융위')는 신용정보법 등 각 해당분야에 대한 감독을 수행하고 있다. (그림 3-1) 개인정보보호 조직 구성 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 개인정보보호를 위해 공공기관을 대상으로 공공기관의 개인정보보호에 관한 법률, 금융기관을 대상으로는 신용정보법을 별도로 제정하고, 정보통신 분야는 정보통신망법을 제정하여 정보통신사업자와 민간부분까지 규율하는 체계였다. 15) 보호법이 개정(시행 )되어 개인정보보호 컨트롤 타워로의 역할이 강화되었음

30 그러나 법 소관 부처가 각각 개별법에 따라 관리 및 규제됨에 따라 개인정보보호 제도의 일관성 결여, 특정 분야의 산업군이나 소규모 사업체에 대한 사각지대 발생 등의 한계가 나타남에 따라 2011년 3월 29일에 보호법이 제정 및 공포되면서 현재에 이르게 되었다. 본 절에서는 이 보호법에 따라 수립 시행하고 있는 2015년 ~ 2017년 개인정보보호 기본 계획과 2014년 카드사 개인정보 유출 사고 이후 추진 중인 개인정보보호 정상화 대책 현황에 대해 살펴본다. (1) 개인정보보호 계획 현황 행자부에서는 [표 3-1]에서 보는 바와 같이 정부, 처리자, 일반 국민, 산업계의 역량 강화와 능동적 실천을 통한 보호문화 정착을 위해 정책 수요자별 목표 및 추진과제를 선정하였다. 16) [표 3-1] 개인정보보호 목표 및 추진과제 목표 추진과제 일반법 중심의 법체계 정비 거버넌스 구조 선진화 환경변화에 부응하는 보호기준 개선 (정부) 글로벌 상호운용성(Interoperability) 제고 개인영상정보 보호 관리체계 구축 선제적 및 자율적 보호활동 활성화 보호 관리체계 강화 조직전반의 개인정보 관리 통제체계 강화 (처리자) 전담체계 마련 및 전문역량 강화 대상별 맞춤형 지원체계 강화 정보주체 권리보장 실질화 보호 실천문화 조성 국민참여 및 생활밀착형 홍보 강화 (일반국민) 침해예방 및 권리구제 실효성 제고 선제적 보호기술 개발 지원 선순환 생태계 조성 전문인력 양성 및 수급연계체계 구축 (산업계) 개인정보보호 서비스 산업 발전 출처 : 행정자치부(개인정보보호과), 제2차 개인정보보호 기본계획(안), 거버넌스 구조 선진화 16) 행정자치부, 제2차 개인정보 보호 기본계획(15년~17년),

31 1.1 일반법 중심의 법체계 정비 o 정보통신망법, 신용정보법 등 분야별 개별법 일괄 정비 일반법인 보호법의 지위 확립과 각 법령 간의 정합성 제고를 위해 분야별 개별 법령에 대한 정비를 계획하여 추진하고 있다. 이는 중복규제의 위험 제거 및 법령 간 적용 범위의 명확화를 위해 일반법과 동일 유사한 규정의 삭제 및 일반법의 보호기준에 부합하지 않거나 상충하는 규정의 개정과 금융, 의료 등 분야별 특성에 따라 관련 서비스 사용자 보호를 위해 필수불가결한 보호기준만 선별하여 존치하는 등의 내용이다. 또한, 개별법 정비 지원을 위해 학계, 법조계, 산업계 등 민간전문가가 참여하는 범정부 법령정비 TF'를 구성하여 운영하고 있다. 1.2 환경변화에 부응하는 보호기준 개선 o 빅데이터 클라우드 시대, 개인정보보호 체계 합리화 빅데이터 클라우드 등 정보처리 산업의 발전 및 공공정보 공유 개방 확대를 위해 개인정보보호 원칙에 기초한 합리적이고 유연한 보호에 대한 기준 마련을 계획하여 추진하고 있다. 이는 빅데이터 환경에서 개인정보 생성, 식별, 분석 및 활용기준의 합리화와 클라우드 서버에 저장되는 개인정보의 안전성 확보 및 관리 책임의 명확화를 위화여 관련 서비스 이용에 대한 표준 지침의 내용을 담고 있다. 또한, 포럼과 같은 연구반의 구성 및 운영, 침해방지 기법 등의 연구를 통해 영상 위치 음성이 결합된 융 복합형 정보, 감시 식별 정보 등에 의한 다양한 침해 위협도 진단 및 보호방안의 마련을 계획하여 추진하고 있다. o 사회적 피로도 경감을 위한 보호기준 합리화 처리자 규제의 적합성 강화를 위한 보호기준을 개선하기 위하여 처리자의 특성 및 처리정보의 규모 등을 고려한 합리적인 기술적 관리적 보호조치에 대한 기준 마련을 계획하여 추진하고 있다. 또한, 법 위반에 다른 과태료 등 처벌규정 합리화를 위해 처리자의 사업 규모, 침해에 따른 경제적 피해, 산업계와 국민 생활 전반에 미치는 영향 등을 고려한 합리적 규제에 대한 기준

32 마련을 계획하여 추진하고 있다. 1.3 글로벌 상호운용성 제고 o 기업의 안전한 개인정보 국외 이전 지원 APEC, 유럽연합(European Union, EU) 등 국제기구의 국외 이전 인증제와 국내 개인정보보호 인증제(PIPL, PIMS)의 연계 운용 추진을 위하여 국외 이전 인증제 도입의 근거 규정 및 표준계약 모델 마련을 계획하여 추진하고 있다. 또한, 개인정보 국외 이전 지원센터 구축과 사업자 지원을 위한 중소기업의 개인정보 국외 이전 컨설팅 지원 및 국외 이전 가이드라인 마련 등을 계획하여 추진하고 있다. 가이드라인에는 주요국 및 다국적 기업의 개인정보보호 동향, 보호수준 등 국외 이전 정보 및 조치사항 제공을 위해 자국민 개인정보보호 조치, 침해의 구제절차 및 방법 등의 내용을 포함하고 있다. o 국제협정 대응 및 침해 공조체계 강화 FTA 등 개인정보 국외 이전이 수반되는 국제협정 추진 시 선제적 능동적 대응을 위한 보호수준, 주요 교역 분야 및 규모 등을 종합적으로 고려하여 적절한 수준의 보호조치 반영을 계획하여 추진하고 있다. 또한, 중국, 미국, 일본 등 주요 국가들과 양자 및 다자 협력을 통해 유출 사고 공동대응 분쟁조정 등 침해대응 공조체계 강화를 계획하여 추진하고 있다. 1.4 개인영상정보 보호 관리체계 구축 o 개인영상정보 보호기준 개선을 위한 법령 마련 영상기기 등록제 도입 및 기능융합형 등 신종기기에 대한 규제기준을 마련하고 통합관제센터 운영에 관한 법적 근거 마련 및 처리자의 책임성을 강화함으로써 개인영상정보의 규제 범위 확대 및 강화를 계획하여 추진하고 있다. 또한, 개인영상정보 이력제 및 기기별 특성에 따른 안전한 관리 기준 도입과 개인영상정보 분석 가공을 통해 생성할 수 있는 개인행태정보, 바이오 정보 등에 대한 보호기준을 마련하는 등 개인영상정보 보호조치 기준에 대한 개선방안을 제시하고 있다

33 o 개인영상정보 보호 종합관리 체계 확립 보호위(심의) - 행자부(정책) - 지자체(집행)의 역할분담 체계 마련과 영상기기 유형별 운영 및 보호조치 현황 파악을 통해 개선방안을 마련하여 효율적인 정책 추진체계의 구축을 통한 영상정보 보호수준을 제고하고 있다. 또한, 개인영상정보와 다른 정보의 결합 등 다양한 침해 가능성에 대응하기 위한 보호기술 및 기법을 개발하고 있으며, 이를 통해 개인영상정보 처리 기법 기기 발달에 대응하기 위한 기술을 개발하고 있다. 2 보호 관리체계 강화 2.1 선제적 자율적 보호활동 활성화 o 개인정보보호 인증제 활성화 사업자 협회 단체 주도의 인증 추진 지원, 중소사업자의 인증 취득 컨설팅 및 우수 사업자의 통합 공시 추진 등 사회 전 분야에 인증제를 확산하기 위한 방안 마련을 계획하여 추진하고 있다. 또한, 인증제간 동일 유사 항목에 대한 상호인증 및 부분인증과 통합인증모델 체계 마련 및 인증현황 통합관리 시스템 구축을 통해 인증제 간 상호운용성을 강화하고 있으며, 통합 인증모델 체계 구축을 계획하여 추진하고 있다. o 자율규제 지원체계 마련 분야별 자율규제 기구의 지정을 통해 자체 실태개선을 위한 컨설팅, 보호수준 진단 서비스 등을 지원하여 분야별 특성을 고려한 자율규제 지원체계 구축 및 자율개선 촉진을 계획하고 있다. 또한, 일반국민의 생활 밀착형 업종을 대상으로 시민참여 모니터링을 실시하고, 개선방안 제안 등을 통해 기업의 보호활동을 지원하기 위해 소비자 단체 등과 협력한 자율규제 지원 캠페인 추진을 계획하고 있다. 2.2 조직전반의 개인정보 관리 통제체계 강화 o 전사(기관)적인 개인정보보호 프레임워크 마련 및 확산 개인정보보호 대책 수립, 관리체계 구축 및 운영, 내부 통제기준 마련 등의

34 개인정보보호 프레임워크 제시와 자율점검 및 감사체계 구축 운영기준의 보급 및 단계적인 의무화를 계획하여 추진하고 있다. 또한, 의료, 금융, 유통 물류 등 분야별 개인정보보호 수준 평가체계의 도입 및 운영을 계획하고 있으며, 이를 통해 분야별 특성에 맞는 보호수준 평가 기준의 마련 및 개인정보보호 우수 사업자(기관) 선정을 계획하여 추진하고 있다. o 분야별 침해예방 체계 내실화 및 관리 강화 학교 등 교육기관에서의 개인정보 노출에 대한 사전예방 체계를 강화하기 위하여 관련 시스템 및 인력 확충을 통해 노출점검을 확대하고 있으며, 시 도 교육청별 점검단 구성 및 운영을 통해 노출예방 및 컨설팅 지원을 계획하여 추진하고 있다. 또한, 매년 1회 이상 시스템 취약점 분석 및 평가 의무화와 전산센터 영업점까지 단계별로 인터넷망과 업무망을 분리하여 금융, 복지, 의료 등 분야별로 안전성 확보를 위한 시스템 개선을 계획하여 추진하고 있다. 2.3 전담체계 마련 및 전문역량 강화 o 적정수준의 조직 및 예산 확충 지원 법령 준수 및 보호수준의 제고를 위해 요구되는 개인정보보호 부서의 업무내용 및 그에 따른 표준인력 규모를 제시하여 처리규모 및 특성에 따른 적정 인력의 기준 제시 및 범정부적 지원을 계획하여 추진하고 있다. 또한, 처리정보의 규모 및 중요도 등을 고려하여 분야별 필수보호조치 이행에 요구되는 예산 확보의 기준제시 등 적정수준의 보호조치를 위한 예산 가이드라인 마련을 계획하여 추진하고 있다. o 책임자 및 담당자 역량 강화 책임자 필수교육 과정의 개발 운영 및 교육에 대한 실적을 정부업무평가, 인증제 등의 평가지표에 반영하고, 책임자에게 요구되는 지식수준 역할체계(Role & Responsibility)의 제시 및 이행 유도를 통해 처리자의 보호역량 제고를 위한 책임자 교육 의무화 및 역할 강화를 계획하여 추진하고 있다. 또한, 금융, 의료, 유통 물류 등 분야별로 담당자의 직무수행요건 및 필수역량을 제시하고, 직무수행요건 및

35 필수역량에 따른 교육과정의 편성 및 운영을 통해 담당자의 전문성 확보기준 제시와 교육과정 운영을 계획하여 추진하고 있다. 2.4 대상별 맞춤형 지원체계 강화 o 지역 기반 교육체계 확대 및 상시학습 지원 강화 지자체, 시 도별 상공인 지원센터, 공무원 교육원, 공공기관 및 공기업 연수원 등과 협력하여 지역 사업자 및 주민을 대상으로 교육 확대 등 지역별 교육센터 운영을 계획하여 추진하고 있다. 또한, 맞춤형 온라인 커리큘럼의 개발 및 자기 주도적 학습 지원체계의 구축을 통해 상시 자율학습을 활성화할 수 있도록 e러닝 체계 구축을 계획하여 추진하고 있다. o 개인정보 처리 유형별 수준별 지원 프로그램 보급 사업자 단체 중심의 컨설팅 지원 및 침해상담 신고 현황 분석을 통한 분야별 자가진단 체크리스트의 개발 보급을 통해 대기업 대상 자율진단 프로그램의 보급 및 실태개선을 계획하여 추진하고 있다. 또한, 의료, 약국, 복지, 정보통신 등 분야별 보호기준의 준수를 위한 법적 기술적 보호조치 컨설팅 지원과 창업, 이전 양도, 확대, 폐업 청산 등에 따른 지원 프로그램 마련 등 소상공인 중소사업자를 대상으로 맞춤형 준법지원 프로그램 운영을 계획하여 추진하고 있다. 3 보호 실천문화 조성 3.1 정보주체 권리보장 실질화 o 개인정보 자기결정권 내실화 정보주체의 인식조사, 동의제도의 운영실태 분석 등을 통해 실질적 선택권 보장에 대한 방안을 마련하기 위해 처리 목적, 처리대상 정보의 특성 등을 종합적으로 고려하거나 사전 고지 동의 방식의 합리화 등 제도 개선에 대한 사항을 검토하고 있다. 또한, 침해신고 센터 를 권익구제 지원센터 로 개편하여 권익구제를 위한 전문상담 창구의 개설 및 침해유형 업종별 권리구제의 현황, 주요 상담 분쟁조정의 사례 및 판례 등의 참고자료의 마련을 계획하고 있다

36 o 소양 교육 강화 및 소양인증제 도입 일반국민의 개인정보 자기결정권에 대한 인식 강화 및 준법의식 함양을 위해 소양교육 과정의 운영 및 소양인증제의 도입과 정규 교과과정 운영 또는 학습활동 등 초 중 고교 교육과정에서 개인정보보호에 대한 교육을 계획하여 추진하고 있다. 3.2 국민참여 및 생활밀착형 홍보 강화 o 생활 속 실천을 위한 홍보 강화 병원, 학원, 은행, 보험, 쇼핑몰 이용 시 개인정보보호 요령 등 생활밀착형 개인정보보호 수칙의 확산과 생활 속에서 접하는 개인정보 처리기기(CCTV, 블랙박스, 모바일 등)를 통한 침해 예방을 위한 이용자 보호 가이드의 마련 등 홍보 강화를 계획하고 있다. o 대상별 맞춤형 캠페인 및 취약계층 인식 제고 TV, 신문, 인터넷, 모바일, SNS 등 다양한 매체를 활용한 세대별, 대상별 눈높이 광고의 실시 및 대국민 참여 이벤트의 추진 등 세대별, 계층별 특성을 고려한 자율실천 캠페인 추진을 계획하고 있다. 또한, 노년층, 주부 등 취약계층의 인식제고를 위한 맞춤형 교육과정을 운영을 계획하고 있다. 3.3 침해예방 및 권리구제 실효성 제고 o 개인정보보호 침해 예보제 운영 명절, 입학, 취업 등 개인정보 처리가 집중되거나 분야별 업종별 동향에 따라 침해가 우려되는 시기에 침해예보 발령을 위한 침해 예보제 운영을 계획하고 있다. o 빅데이터 기반 권리구제 절차 개선 언론동향, 부처별 민원접수 침해신고 현황, 행정처분 및 권리구제의 현황 등에 대한 종합분석체계를 마련하고, 침해신고 및 조사요건 방법 등의 개선, 분쟁조정과 행정처분 간 상호 연계성을 제고하고 있다

37 4 선순환 생태계 조성 4.1 선제적 보호기술 개발 지원 o ICT 발전에 따른 새로운 보호기술 개발 사물인터넷, 지능형 CCTV, 빅데이터 등 신기술 발전에 따른 침해 가능성의 분석 및 보호기술의 개발을 추진하고 있으며, 개인정보보호를 기반으로 한 시스템의 설계 및 프로그램 개발(Privacy by Design) 기법의 보급을 계획하고 있다. o 전문 R&D 체계 및 사업화 지원기반 구축 산 학 연 협의체의 구성 및 연구기금 등 지원을 통해 신기술 개발을 위한 개인정보보호 전문 R&D 센터의 지정 및 운영을 계획하고 있다. 또한, 유관 부처와 협력하여 중소기업의 보호기술에 대한 특허 취득 컨설팅 및 기술거래에 대한 지원 등을 계획하고 있다. 4.2 전문인력 양성 및 수급 연계체계 구축 o C.A.R.E. Power (3천 명) 양성 및 Career Path 프로그램 마련 영향평가, 인증심사, 권리구제 상담 등 개인정보보호 전 분야에서 활용할 수 있는 전문자격제의 도입 및 전문가 양성을 계획하고 있으며, 관련 분야의 교육과정 수료자와 산업계의 인력 수요를 유기적으로 연계할 수 있는 전문가 경력관리 지원 프로그램을 개발하고 있다. o 보호 인력 풀 및 인력 중개체계 구축 분야별 교육 수료자, 전문자격 취득자, 소양인증교육 수료자 등을 대상으로 인력 풀(Pool)을 구축하여 운영하고 있다. 또한, 전문인력과 수요기업의 적재적소 매칭을 위해 인력 중개 및 고용 연계형 인턴십 프로그램 등의 운영을 계획하고 있다

38 4.3 개인정보보호 서비스 산업 발전 o 개인정보보호 전문위탁업 활성화 정보통신, 금융 등 개인정보 처리가 많고 전문위탁업 도입이 필요한 분야 업종의 분석 및 위탁업의 운영에 대한 기준 마련 등을 계획하여 추진하고 있다. 또한, 전문위탁업체 육성 및 활성화 지원을 위해 전문위탁업체 또는 전문 협단체(가칭 개인정보보호 산업협회)를 통한 중소기업 또는 소상공인에 대한 개인정보보호 서비스 제공 및 위탁관리 업무의 수행 등을 계획하여 추진하고 있다. o 개인정보보호 컨설팅 전문기관 지정 보유 인력의 전문성 및 경력, 기관의 역량 및 실적 등을 종합 고려한 전문기관 지정의 기준 마련 및 평가체계의 운영과 영향평가 및 인증제와의 연계를 통해 컨설팅 산업 육성 지원 등 각종 의무제도와 연계한 컨설팅업 육성 지원을 계획하여 추진하고 있다. (2) 개인정보보호 정상화 대책 현황 2014년 7월 관계부처합동(행자부, 방통위, 금융위, 미래창조과학부(이하 미래부 ) 개인정보보호 정상화 대책 이 확정 발표되었다. 개인정보보호 정상화 대책은 (그림 3-2)에서 보는 바와 같이 정보관리, 제도, 기술, 권리구제를 포괄하는 종합적인 접근과 함께 국민이 체감할 수 있고, 개인정보 시스템이 정상화되는 근본대책을 마련하여 정보보호를 위해 노력하고 책임지는 문화와 시스템의 장착을 기본방향으로 하고 있다

39 (그림 3-2) 개인정보보호 정상화 대책 개요 출처 : 관계부처합동, 개인정보보호 정상화 대책, 핵심제도 선진화 대책 1.1 권리구제 및 책임성 강화 국민이 쉽게 피해구제를 받을 수 있고, 불편을 최소화 하도록 개선되었으며, 개인정보보호를 소홀히 하는 기관은 책임을 분명히 지도록 제도화 되었다

40 o 권리구제 강화 첫째, 징벌적 손해배상제도의 신규 도입 및 법정손해배상제도가 확대 도입 되었으며, 피해자는 2가지 손해배상제도 중 적용 요건이나 피해배상의 가능성 등을 감안하여 선택이 가능하다. 또한, 기업 등이 제도변화에 대비할 수 있도록 유예기간도 부여하였다. [표 3-2]에서 보는 바와 같이 징벌적 손해배상제도는 고의 중과실로 개인정보를 유출한 기관에 대해 가중된 책임을 물어 피해액의 최대 3배까지 배상액이 중과되었으며, 법정손해배상 제도는 개인정보 유출 피해 시 구체적 피해액 입증 없이도 법원 판결을 통해 일정금액(300만 원 이내)을 간편하게 보상받는 제도이다. 양 제도는 2014년에 보호법, 정보통신망법, 신용정보법에 도입되었다. 구분 징벌적 손해배상제도 법정 손해배상제도 적용요건 입증책임 기업의 고의 중과실로 개인정보 유출 또는 동의 없이 활용하여 피해 발생 기업이 고의 중과실 없음을 입증 피해액은 피해자가 입증 기업의 고의 과실로 개인정보가 분실 도난 유출된 경우 기업이 고의 과실 없음을 입증 피해자에 대한 피해액 입증책임 면제 구제범위 재산 및 정신적 피해 모두 포함 사실상 피해입증이 어려운 정신적 피해 배상규모 적용시기 적용법률 실제 피해액의 3배 이내 배상 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 [표 3-2] 양 제도 비교 및 도입방안 300만 원 이하의 범위에서 상당한 금액 개정법 시행이후 유출 사고 보호법, 정보통신망법, 신용정보법 둘째, 금융기관의 경우, 손해배상이 금융기관 자체의 부담으로 끝나는 것이 아니라 공적자금 등 국민 부담으로 전가될 우려가 있으므로 일정부분 이에 대한 대비가 필요하기에 거액의 손해배상 발생에 대비하여 보험 가입 또는 준비금 적립이 의무화 되었다

41 o 관리 책임성 확보 첫째, 2014년 개인정보 유출 등 범죄자에 대한 처벌이 [표 3-3]에서 보는 바와 같이 강화되었다. [표 3-3] 개인정보 유출자 처벌 강화 구분 현행 개선(안) 비고 범죄로 취득한 수익 몰수 추징 (신설) 부정한 방법으로 개인정보를 영리 징역 5년, 등의 목적으로 타인에게 제공 벌금 5천만 원 징역 5년, 벌금 5천만 원 악성프로그램 유포 등 침해행위 징역 3년, 벌금 3천만 원 정당한 권한 없이 징역 3년, 정보통신망 침입 벌금 3천만 원 안전성 조치 미비로 (신설) 개인정보 유출 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 사안을 고려하여 형사벌에 병과 징역 10년, 벌금 1억 원 징역 7년, 벌금 7천만 원 징역 7년, 벌금 7천만 원 징역 5년, 벌금 5천만 원 징역 2년, 벌금 2천만 원, 보호법 보호법 정보통신망법 신용정보법 정보통신망법 신용정보법 신용정보법 둘째, 개인정보 유출기관에 대해서는 [표 3-4]에서 보는 바와 같이 과징금 기준이 상향 조정되었다. [표 3-4] 개인정보 유출기관 과징금 강화 구분 현행 개선(안) 비고 안전성 조치 미비로 (신설) 매출액의 3% 신용정보법 개인정보 유출 과징금 1억 원 매출액의 3% 정보통신망법 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 이와 더불어 책임자를 임원급으로 지정하고, 최고경영자(CEO)에게 보고하도록 하여 기업의 책임성이 강화되었으며, 책임자의 보고의무 위반 시 제재조치(과태료 2천만 원)에 대한 규정이 신설되었다. 또한, 개인정보관련 법 위반 시 CEO 등에 대한 해임 등 징계권고 대상이 확대되었다

42 셋째, 개인정보 유출 시 유출기관에서 피해자의 불편과 경제적 부담을 최소화하기 위한 규정이 신설되었으며, 유출기관이 카드 재발급, 정보 수정서비스 제공 등을 책임지고 이행하도록 하였다. o 이용자 편의 제고 첫째, 개인정보 처리에 대한 동의를 받을 경우 동의서의 주요 내용을 보다 명확히 알기 쉽게 작성하도록 개선되었다. 이는 보호법 시행령 제17조에 개인정보 제공 동의서, 전화, 등 동의방법만 명시되어 있는 항목을 필수 선택 정보로 구분하였으며, 소비자 입장에서 동의서를 알기 쉽게 작성할 의무를 부과(글자크기, 색깔 등)하는 내용으로 개정되었다. 둘째, 2014년에 방통위에서는 알기 쉬운 동의방법의 세부방안을 명시한 온라인 개인정보 수집 이용 제공 등 가이드라인 이 마련되었다. 가이드라인에는 '필수사항'과 '선택사항'을 별도 페이지로 구분하고, 필수사항에 동의하면 서비스를 제공(선택사항에 미동의 시 서비스 제공이 거부되지 않도록 함)하는 내용을 담고 있다. 또한, 제3자 정보제공의 경우 포괄적 동의를 금지하고, 정보제공의 대상 목적별로 그룹화하여 각각 동의를 받도록 개선하였으며, 글자 크기 및 줄 간격 등을 확대하여 읽기 쉽게 개선되었다. 셋째, 개인정보 처리방침 열람 처리정지 파기 등 요구권 행사방법 및 의무적 공개 항목을 구체적으로 기재하여 공개토록 규정되었다. 넷째, 회원탈퇴 시 가입 시 보다 과도한 절차 요구를 금지하고, 개인정보 처리정지 삭제 요구에 대한 절차를 간소화하도록 법이 개정되었다. 1.2 주민등록번호 관리제도 개선 과거에 유출된 주민등록번호를 악용한 2차 피해를 방지하고 국민 불안을 해소하기 위해 불가피한 경우 주민등록번호의 변경허용 방안이 마련되었으며, 일상생활에서 주민등록번호 제공이 필요치 않도록 주민등록번호 수집의 최소화 및 대체수단이 마련되었다

43 o 주민등록번호의 제한적 변경 허용 방안 첫째, 주민등록번호가 유출되어 신체 재산상 중대한 피해를 입거나 피해를 입을 우려가 큰 경우 등에 대해 예외적으로 제한적 변경이 허용되었다. 주민등록번호가 악용될 소지가 있고 사회적 혼란이 있을 수 있으므로 [표 3-5]에서 보는 바와 같이 일정한 요건을 충족할 경우에는 제한적으로 인정되도록 개선되었다. 이는 신청절차, 세부 적용기준 등 구체적 시행 방안에 대한 준비 및 주민등록법의 개정 등이 완료된 이후 시행될 것이다. [표 3-5] 주민등록번호 제한적 변경 허용 방안 기존 한번 부여된 주민등록번호는 가족관계 등록부 사항의 변동이나 번호에 오류가 있는 경우 정정 가능 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 개선(예시) 아래 요건 추가 1 개인정보 침해사고 등으로 주민등록번호 가 유출되고 도용되거나 변조되어 생명 신 체를 해치거나 재산상 중대한 피해를 입 을 것이 확실한 것으로 인정되는 사람 2 성폭력 피해자로서 주민등록번호 유출로 피해를 입을 가능성이 클 것으로 인정 되는 사람 등 둘째, 주민등록번호 관리체계의 전면 개편은 국민적인 합의가 필요한 사항인 만큼 공청회의 의견수렴 등을 통해 검토하고 있다. o 대체 방안 첫째, 현재 온라인만 적용되는 I-PIN 서비스를 오프라인에서도 본인인증 수단으로 사용할 수 있도록 개선되었으며, 민간 I-PIN 발급기관 17) 에서는 주민등록번호를 보관하지 않도록 개편되었다. 또한, 주민등록번호 외 다양한 개인 식별수단 도입방안이 검토 중에 있다. 17) 서울신용평가정보(사이렌24), 코리아크레딧뷰로(KCB), NICE평가정보 등

44 o 수집 최소화 방안 첫째, 주민등록번호 수집 근거에 대한 법령의 정비 및 적정성 심사체계가 구축되었다. 이를 통해 주민등록번호 수집을 요구하는 업무에 대한 전수조사가 실시되었으며, 민간분야는 필요성이 낮은 분야를 대상으로 주민등록번호 수집대상에서 단계적으로 축소되었다. 또한, 보호위에 주민등록번호 근거법령 정비 소위 를 구성하여 법령상 허용되는 주민등록번호 수집의 적정성 사전 사후 심사를 하고 있다. 둘째, 주민등록번호 수집 관리에 대한 업종별 메뉴얼 배포 및 캠페인을 통해 관행과 의식 개선을 위해 인사 노무 교육 의료 금융 보건복지 등 10개 분야별 가이드라인이 마련되어 배포되었다. 셋째, 주민등록번호 불법 수집에 대한 신고창구를 운영하고 있으며, 수집이 허용되는 구체적인 업무 사례를 모바일 앱 등을 통해 전국민에게 공개하고 있다. o 안전조치 강화 방안 첫째, 2013년 기준 주민등록번호 암호화 비율은 공공부문 63.5%, 민간부분 22.7%에 불과하였으며, 2016년 1월 주민등록번호 암호화 조치 의무화에 대비하여 차질 없는 시행을 위한 준비를 하고 있다. 이를 위해 업종별 특성 등을 고려한 적용대상 시기 기준을 마련하고, 보호법 시행령 및 고시 개정을 추진하고 있다. 둘째, 주민등록번호 암호화 등 보호조치의 실제 운영 여부를 기업 스스로 점검할 수 있는 도구를 개발 보급하고 있다. 영세사업자의 경우, 개인정보보호 법규 준수를 지원하는 소프트웨어(SW)와 주민등록번호 수집금지 파기기술을 지원하고 있다. 2 유출된 개인정보 대응 대책 개인정보범죄 합동수사단 을 구성하여 집중단속을 실시한 결과, 115명의 정보유출 사범이 적발되었으며, 44명이 구속되었다. 향후에도 정보 유출 사실이 지속적으로 발생할 것으로 예상하여 국민 불안이 해소될 때까지 유출된

45 개인정보의 단속 회수 폐기 등이 다음과 같이 대폭 강화되었다. 2.1 유출된 개인정보 삭제 파기 o 대청소기간 설정 [표 3-6]에서 보는 바와 같이 검색 가능한 불법 유통정보를 최대한 삭제하기 위해 개인정보 '대청소 기간'(2014년 9월 ~ 12월)이 설정되었다. 또한, 전국민이 스스로 개인정보를 삭제 폐기하고, 불법 유통되는 개인정보를 신고할 수 있도록 하는 운동이 전개되었으며, 대청소 기간 중 신고자 및 자진 신고자에 대해서는 인센티브를 부여하였다. 추진기관 추진방식 청소대상 (예시) [표 3-6] 개인정보 대청소기간 추진 방통위, 보호위, 한국인터넷진흥원+행자부, 미래부, 금융위, 합동수사단(검 경), 금융감독원 등 공공기관 + 포털 등 민간기관 한국인터넷진흥원의 국민신고센터( 118, privacy.kisa.or.kr) + 금융감독원의 개 인정보불법유통신고센터( 1332, fss.or.kr) 등에 신고하여 삭제하거나 자진 삭제 법령 근거 없이 수집되는 주민등록번호 (도서관, 쇼핑몰 등 회원 가입 시 수집) 방치 개인정보 (수년간 관리하지 않은 미니홈피 등에 게시된 주소 생년월일) 필요한 범위를 넘어 수집된 개인정보 (입사원서에 기재하는 소득 종교 가족) 불법 유통 개인정보 (해킹한 신용정보 및 환자 진료기록 등의 판매) 등 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 o 유출정보 신속탐지 삭제 첫째, 한국인터넷진흥원에서 수행하고 있는 인터넷상 노출된 개인정보에 대한 검색 탐지 기능이 강화되었으며, 중요 웹사이트(노출이 빈번하거나 홈페이지 일일이용자가 1천 명 이상인 약 2만 개의 웹)의 검색 주기가 2주에서 3일로 대폭 단축되었다. 둘째, 검색된 개인정보에 대하여는 2개월 이내 삭제토록 조치하고, [표 3-7]에서 보는 바와 같이, 삭제조치의 실효성을 확보하기 위한 방안이 추진되었다. 또한, 개인정보 노출 검색대상이 웹 사이트에서 페이스북, 트위터 등 SNS로 확대되었다

46 [표 3-7] 개인정보 삭제조치 실효성 확보 방안 1 법적근거 마련 : 개인정보 불법유통 게시글 차단 삭제(2014년, 방통위) - 이용자 또는 방통위(한국인터넷진흥원 포함)는 이용자의 주민등록번호, 계좌정보 등 금융정보가 공개된 웹사이트에 노출된 경우 웹사이트 또는 검색사이트 운영자에게 삭제 등 필요한 조치를 요청할 수 있도록 하고, 이 경우 운영자는 필요한 조치를 하도록 법적 근거 마련 - 개인정보 불법유통을 근절하기 위하여 웹사이트 및 검색사이트에 공개된 개인정보 불법유통 게시글 을 불법정보로 명시하여 차단 삭제할 수 있는 근거 마련 * 현재 정보통신망법 제44조의7에서 불법정보의 유통금지 등을 규정하고 있으므로, 불법 개인정보를 노출 시키고 있는 게시물도 불법정보에 포함토록 개정 2 인프라 확충 : 개인정보 검색 조회 삭제 시스템 확충(2014년, 행자부 방통위) - 개인정보 유출 사고 발생 시 이용량 폭주 등에 대비하여 주민등록번호 이용내역 검색 서비스인 주민등록번호 클린센터 시스템 장비증설(H/W) 및 시스템(S/W) 개선 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 o 해외유출 정보 대응 해외검색프로그램의 경우 자동검색 시스템(일정주기)을 통해 각종정보(노출 정보 포함)를 수집 보관하고 있어 미 삭제 시 노출정보가 그대로 제공되기 때문에 해외에서 유출된 개인정보 삭제 파기의 방안이 다음과 같이 추진되었다. 첫째, 해외에서 불법 유통되는 개인정보를 줄이기 위해 한-중 수사협의체 구성 등 사법공조가 강화되었으며, 이를 위해 2014년 4월 한-중 수사협의체 구성을 위한 MOU가 체결되었다. 둘째, 해외유출 정보 처리를 위한 개인정보보호 협력센터가 확대되었으며, 현재 베이징에 한중인터넷협력센터 1개소가 설치되어있다. 셋째, 해외 포털 서비스의 노출정보를 검색하는 서비스에 대해 한국인터넷진흥원 등 관계기관이 노출정보를 검색 삭제할 수 있도록 해외포털 서비스와의 협력이 강화되었다. 2.2 체계적인 불법정보 단속 적발 정부합동수사단(검 경, 미래부, 행자부, 방통위 등)이 구성되어 개인정보

47 침해 및 불법유통에 대한 범정부적인 집중단속을 다음과 같은 대상으로 전개되었다. - 상거래 과정에서의 개인정보 불법수집, 기업 수집 개인정보의 외부 무단제공, 개인정보 해킹 등 - 개인정보 유출 원인 및 관리주체의 책임소재 - 불법 개인정보를 활용한 대출알선, 보이스피싱 등 신종 금융사기, 도박 사이트 회원유치, 대포폰 대포통장 제작 등 또한, 불법유통 게시물 등에 대한 탐지 후 즉시 조사 및 수사할 수 있도록 정보공유 및 협업체계가 강화되었다. 2.3 유출정보를 활용한 금융사기 방지 o 사이버사기 대응체계 강화 새로운 기술로 진화하고 있는 피싱 스미싱 파밍 등 신종사기 수법에 대한 대응능력이 제고되었다. 첫째, 주요 공공기관, 은행 등을 대상으로 실시 중인 보이스피싱, 파밍 차단서비스의 적용 대상기관이 확대되었다. (보이스피싱 차단 326개 500개 기관, 파밍 차단서비스 91개 150개 기관) 둘째, 스미싱 수집 채널이 확대되고, 분석능력을 강화하여 스미싱 의심문자를 알려주는 스미싱 확인 서비스가 실시되었다. 이는 이용자가 의심 문자를 한국인터넷진흥원으로 전송( 118)하면, 스미싱 여부 검증 후 문자로 통보되는 방식이다. 셋째, 스마트폰에 악성 앱 감염 사실을 알려주고 치료 방법을 안내하는 모바일 사이버 치료서비스가 구축되었다. 넷째, 전화번호를 도용한 발신번호 임의변경 문자 차단 서비스의 사용을 공공기관 은행에서 개인으로 확대되었다. 이는 개인이 이동통신사에 번호도용 문자 차단 서비스를 신청하면, 신청자가 등록한 전화번호가 스미싱 발신 번호로 사용될 경우 자동으로 차단되는 방식이다

48 o 사고발생 신속 조치 방안 마련 유출 사고 발생 시 신속하게 대응하여 피해 발생 가능성을 최소화하기 위해서 개인정보를 취급하는 공공기관 및 일정규모 이상의 민간기관은 사고발생 시 신속하게 대응조치를 할 수 있도록 개인정보 유출 사고 대응 메뉴얼 의 마련이 의무화되었다. o 본인확인 강화 등 기 발표 대책 이행 사기 피해 방지를 위한 입금계좌지정 서비스, 일정금액 이상 거래시 카드 문자알림 서비스 무료화, 비인증 결제방식에 대한 이중인증 의무화 등 본인확인이 강화되었다. 3 유출 예방 방지 및 사이버 안전 대책 3.1 현장 중심 관리체계 정비 개인정보 유출이 반복되고 있는 취약분야에는 집중관리체계가 구축되었으며, 꼭 필요한 정보만 수집하고 수집된 정보는 철저히 보호되도록 개인정보관리 시스템이 개선되었다. o 통신사 대리점 등 취약분야 구조적 관리 첫째, 통신사 대리점 판매점은 개인정보 보유를 최소화하고, 정보유통 보안을 강화하는 등 통신사별로 관리책임이 제고되었다. 대리점 또는 영업점이 통신사에 의무적으로 등록하도록 하고 미등록 및 불법행위 적발 시 퇴출수단이 마련되었다. 미등록 판매점과 거래한 대리점에는 투아웃제(영업정지 계약해지)가 도입되어, 영업점의 개인정보 관련 불법행위 시 5년 간 등록 금지토록 퇴출수단이 마련되었다. 또한, 통신사에는 개인정보 관리수준 평가제도 가 도입되어 통신사들은 개별 통신사의 개인정보보호 관리 현황 및 활동 등을 평가 받은 후 결과를 공개해야 한다. 이와 더불어 개인정보 무단조회 방지를 위한 문자메시지(SMS) 본인인증 제도가 시행되었다. SMS 본인인증 제도는 영업점의 고객정보 조회 시 통신사가 가입자에게 SMS로 인증번호를 전송하고, 영업점은 전송받은 인증번호를 가입자가 알려주어야 가입자 정보를

49 조회할 수 있는 서비스이다. 마지막으로 서비스 가입신청 시 전자 청약 시스템 을 적용하여 서식지 형태의 가입신청을 본사와 직접 연결되는 별도의 단말기를 통하여 이용자가 직접 개인정보를 입력하고 서명하는 형태로 전환하는 것을 검토하고 있다. 둘째, 신용카드 단말기(POS 등) 관리업체를 대상으로 관리 감독체계가 명확하게 정비되었다. 지정된 보안규정을 준수한 단말기만을 사용하도록 하고, 위반 시 가맹점을 처벌하는 등 관리시스템이 구축되었다. 그동안 소관부처가 명확하지 않아 관리 사각지대가 존재하였으며, 금융위가 정한 보안규정을 준수하도록 하고, 미 준수 시 벌금을 부과(500만 원)하는 방식의 관리시스템이 구축되었다. 또한, 신용카드 결제망 관리회사(VAN 사) 등록제 운영 및 IC 단말기 전환 등의 대책이 이행되었다. 셋째, TM 업체를 대상으로 개인정보를 합법적으로 이용하는 업무 관행(Business Rule)이 정착되도록 제도적 여건이 개선되었다. TM 영엽 시 사전 동의를 받지 않은 경우, 수신인에게 개인정보 수집 출처를 고지하도록 의무화되었다. 이는 누구든지 광고성 정보를 전송하려면 수신자의 사전 동의를 받아야 하나, 전화권유 판매업은 사전 동의의 예외로 인정하도록 되었다. 또한, TM 수신거부시스템의 이용을 활성화하도록 하고, TM에 대한 민간의 자율적 개인정보보호 관리체계가 확충되었다. 현재 인터넷사이트 대상으로 적용되는 개인정보보호 인증마크제를 TM 업체에 확대하여 적용하였으며, 불법 TM 신고 제도를 이동통신서비스에서 전 업종으로 확대하였다. 또한, 불법 TM의 전화번호 이용 정지를 위해 관련 법률 개정이 추진 중에 있다. 넷째, 영세 중소기업의 정보보호 역량 강화를 위해 지방 권역별 정보보호 지원센터가 확충되었다. o 개인정보 관리단계별 강화 첫째, 개인정보 최소수집원칙이 현장에서 실질적으로 정착될 때까지 점검 하도록 개선되었다. 실태 점검 시 파악된 개인정보 과다수집의 사례 등에 대해 일제 정비하고, 지속적으로 공공 민간이 스스로 최소수집의 원칙을 점검하고 정비할 수 있는 체계를 구축하도록 하였다. 공공부문에서는 일정 규모 이상

50 개인정보를 보유한 공공기관은 자체적으로 계획을 수립하고, 매년 수집 보유의 필요성 및 적정성에 대한 실태조사를 수행 후 개선하도록 되었다. 민간부문은 업권별 협회에서 자율적으로 정보제공 이용 동의서 등을 정비하도록 하고, 필요시 소관부처 행자부가 합동 점검하여 시정조치토록 되었다. 둘째, 개인정보 출처 관리 시스템이 구축되어 취약 분야로 지적되어온 위 수탁 관계가 명확히 정립되었다. 이를 위해 개인정보 다수 처리 기관은 제3자로부터 제공받은 개인정보에 대해 수집출처 및 목적을 관리하도록 의무화되었으며, 개인정보 처리방침에 수탁자의 담당자 연락처 등 위탁에 관한 사항을 보다 구체적으로 작성토록 개선되었다. 또한, 위 수탁자 모두에게 손해배상을 청구할 수 있도록 명시하여 정보주체의 배상청구권 및 수탁자의 책임이 강화되었다. 셋째, 법령상 근거에 따라 필요최소한의 기간만 보존한 후 파기토록 관련 규정이 재정비되어 개인정보 파기 시, 복구 및 재생이 되지 않도록 하는 규정이 신설되었다. 넷째, 전문가 의견수렴 등을 통해 잊혀질 권리, 디지털 유산 18) 등에 대한 법 제도 구축방안이 검토 중에 있다. o 법률 및 행정시스템 정비 첫째, 현장에서 법 적용 혼란과 사각지대가 발생하지 않도록 [표 3-8]에서 보는 바와 같이 법률간 정합성이 제고되었다. 또한, 보호법을 기준으로 제재수준이 [표 3-9]에서 보는 바와 같이 정비되었으며, 보호위를 통해 상시적으로 관련 법령 간 정합성을 유지하는 체계가 구축되었다. 18) 잊혀질 권리 : 정보주체가 포털 등 정보통신서비스 제공자에게 자신과 관련된 정보를 삭제하거나 확산을 방지토록 요청할 수 있는 권리 디지털 유산 : 보유하고 있던 모든 디지털 형태의 자산에 관한 권리 의무

51 [표 3-8] 법률간 정합성 제고 정보통신망법 적용대상 신용정보법 적용대상 보호법 적용대상 모든 처리자 정보통신망을 영리로 신용정보 이용 대상 *개별법 적용대상 사용하는자 제공자 현행 제외여부 불명확 대상수 약 273만개 사업자 + 160만개 스마트폰 앱 약 7만개 사업자 약 380만개 사업자 개인정보보호 조항을 모든 처리자 금융기관, 전기통신사업자(KT *개별법 적용사업자는 대상 신용정보회사 등)와 통신판매사업자 각 소관부처에 개선 등으로 한정 (옥션 등)로 한정 위임 위탁 대상수 약 37만개 사업자 + 160만개 스마트폰 앱 약 3천5백개 사업자 약 340만개 사업자 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 [표 3-9] 제재수준 정비방안 수 집 이 용 제 공 위 탁 업 무 위반유형 민감정보 처리 금지 위반 (징역) (벌금) 해킹 등 침해행위로 인한 수집 (징역) (벌금) 선택정보수집미동의시서비스제공거부 (과태료) 제3자 제공 미동의시 서비스 제공 거부 (과태료) 수집 목적외 용도 이용 또는 제3자 제공 (징역) 위탁업무범위 위반 (벌금) (과징금) (징역) (벌금) 마케팅 위탁시 수탁자 미고지 (징역) (벌금) (과태료) 보호법 정보통신망법 신용정보법 기존 개선안 기존 개선안 5년 좌동 좌동 3년 5년 5천만 원 좌동 좌동 3천만 원 5천만 원 5년 좌동 좌동 3년 5년 5천만 원 3천만 원 3천만 원 좌동 좌동 3천만 원 좌동 좌동 - 1천만 원 3천만 원 - 5천만 원 5천만 원 3천만 원 5년 좌동 좌동 좌동 좌동 5천만 원 없음 좌동 좌동 좌동 좌동 매출액 1% 매출액 3% - - 5년 년 5천만 원 천만 원 - 5년 좌동 천만 원 5천만 원 좌동 천만 원

52 위반유형 보호법 정보통신망법 신용정보법 기존 개선안 기존 개선안 위탁교육 및 중요사항 계약시 반영의무 위반 (과태료) 1천만 원 천만 원 안전성 조치 미비로 유출 (징역) (벌금) 2년 좌동 좌동 - 2년 1천만 원 좌동 2천만 원 - 2천만 원 안 전 성 확 보 이 용 자 권 리 식별정보 암호화 (과징금) (과태료) 5억 원 (주민등록 번호 유출시) 3천만 원 내부관리계획 미수립 (과태료) 3천만 원 개인정보 열람 및 정정청구 거부 (과태료) 개인정보 제공 이용 동의 철회 및 삭제요구시 삭제의무 위반 (과태료) 유출통지 및 신고 미이행 (과태료) 출처 : 관계부처합동, 개인정보보호 정상화 대책, 천만 원 3천만 원 3천만 원 매출액 1% 또는 1억 원 매출액 3% 좌동 좌동 - 좌동 좌동 좌동 좌동 좌동 좌동 - 5백만 원 1천만 원 1천만 원 좌동 좌동 - 매출액 3% 3천만 원 3천만 원 3천만 원 3천만 원 3천만 원 둘째, 새로운 기구를 신설하기보다는 기존 조직체계의 보강을 통해 조정 점검 감독 집행 지원기능이 강화되었으며, [표 3-10]에서 보는 바와 같이 보호위가 실질적인 역할을 할 수 있도록 강화되었다. 또한, 개인정보보호 관련 주요 부처의 업무량 및 수요 분석을 통해 조직 및 전문인력이 보강되었다. [표 3-10] 보호위 기능강화 현행 행자부가 기본계획 수립, 분쟁조정위원 임명, 사무국 운영 등 담당 - 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 개선 보호위가 담당 <보호위 권한 추가> 1 심의 의결 안건에 대한 사실조사권 2 정책 제도 개선권고 및 이행 점검 3 법령간 정합성 유지 4 민간부문 위법사항 조사요구권 셋째, 한국인터넷진흥원이 범정부적 개인정보 정책지원 전문기관으로 확충되었다

53 이는 유사한 기능을 수행하는 여타 정책지원기관의 개인정보보호기능을 한국인터넷진흥원으로 통합하는 방안이며, 실태점검 사고조사 사이버사기 대응 등 관련 기능이 확대되고, 인력 등이 보강되었다. 또한, 전 부처에 대한 정보보호서비스를 지원할 수 있도록 이사회에 관계부처가 참여토록 개선되었다. 3.2 개인정보 유출 예방 방지를 위한 투자 촉진 o 민간 공공 투자 확충 첫째, 정보보호 투자에 대한 인센티브를 강화하기 위해 [표 3-11]에서 보는 바와 같이 민간 공공분야의 인센티브 확대방안이 마련되었다. 둘째, 정보보호 산업기반 조성을 위해 정보보호산업 진흥법 제정이 추진되었다. 정보보호산업 진흥법의 주요 내용으로는 정보보호 수요에 맞는 정보보호 전문인력 양성, 기술개발, 산업체 지원 강화, 정보보호 산업진흥계획 수립, 산업진흥 기반 조성, 정보보호기업 지원 등이 있다. 또한, 2014 ~ 2018년까지 ICT 융합에 대응한 융합보안시장 등 신산업을 육성하고, 글로벌 시장을 선점하기 위한 10대 전략제품 19) 발굴 및 육성을 구체화를 추진하고 있다. [표 3-11] 민간 공공분야 인센티브 확대방안 민간분야 인센티브 확대방안 1 중소기업의 정보보호 시설 제품 등 직접 투자 비용에 대한 조세감면 연장 년) 및 확대(7% 10%) 2 중소기업의 정보보호서비스 컨설팅 비용에 대한 조세감면(25%) 제도 홍보 강화 * 정보보호서비스 컨설팅 비용이 연구 인력개발비 세액공제(조특법 제10조) 대상 비용 중 기술자문료(시행령 별표6)에 해당한다는 내용을 잘 모르는 기업들이 다수 3 중소기업의 정보보호 신규인력 채용시 인건비 보조(월 최대 90만 원/1인) * 고용노동부의 고용창출지원사업 에 정보보호분야 추가 4 정보보호 우수기업 으로 선정 시 정부 공공조달 및 국가 연구개발사업 참여 時 가점 (0.5~1점) 부여 5 기업이 정보보호 관련보험* 가입 시 보험료 할인(5~15%)을 받을 수 있도록 관련기관 및 업계의 협력 추진 19) 1 해킹(APT) 공격대응 2 사이버블랙박스 3 지능형 영상감시 4 사용자 친화형 얼굴-홍채 인식 5 유해콘텐츠 차단 6 무선침입탐지 7 스마트단말 보안칩 8 산업용 통합보안 9 차세대 암호기술 10 유니버셜 인증

54 * 개인정보보호 배상책임보험, 전자금융거래 배상책임보험, e-biz배상 책임보험 등 6 보안투자 및 법규준수 등 보안역량 강화를 위한 기업의 준비 노력(Readiness) 정도를 평가하는 민간자율 정보보호 준비도 평가 도입 추진 공공분야 인센티브 확대방안 1 정보보호예산이 일정비율(예:10%수준)을 유지하도록 가이드라인 제시 * 정보보호예산 편성 가이드라인(미래부, 기재부) 2 정보보호 R&D 투자를 단계적으로 확대(미래부, 기재부) * 14년 ICT 기술개발예산 (7,429억 원) 중 정보보호예산은 3.6% 수준 3 각 부처 평가시 정보보호 투자를 평가에 반영 검토(2015년) 4 공공기관 경영평가에서 정보보호노력이 평가될 수 있도록 기준 구체화(기재부) 5 정보보호 제값받기 문화정착 - 정보보호 제품 서비스 비용을 하자 보수 를 위한 유지관리 대가가 아닌 서비스 대가 로 전환(기재부, 미래부) * 대가 비용(현 정보보호제품 구입비의 9% 15%, 2017년)을 확대하고, 제품 서비스의 활용특성에 따라 차등지급할 수 있도록 서비스 대가 산정 가이드라인 개발 보급 - 가이드라인에 따라 무상유지보수 기간 단축(1년 6개월) 검토 - 분리발주 등이 시행될 수 있도록 정보보호 표준계약서 마련 보급 6 정보보호가 생활화 될 수 있도록 캠페인 지원(미래부) 출처 : 관계부처합동, 개인정보보호 정상화 대책, 2014 o 기업의 기술적 자율성 제고 첫째, 지나치게 세부적으로 규정된 개인정보보호 관련 기술적 조치 제도(고시)를 개정하여 기업의 자율성이 부여되었다. 이는 세부적인 조치사항까지 강제하는 방식에서 기본원칙과 필요 최소한 조치만을 규정하고 개별적 수단 선택은 재령을 인정한다는 내용이다. 또한, 장기적으로 보호조치 기준에 세부적 조치사항을 규정하지 않고, 보호목표를 규정하여 기업의 자율성을 부여하는 체계로 전환하는 방식이 검토 중에 있다. 둘째, 행자부, 미래부, 방통위 등이 각각 운영하는 유사인증제도 간 중복을 해소하고 상호 인정 범위의 확대 추진을 위해 정부의 직접규제 대신 인증시험을 활용할 수 있도록 제도가 개선되었다

55 3.3 사이버 안전 및 기술기반 강화 해킹기술에 대응하기 위해 예방 탐지 분석 치료 등 단계별 보안기술 개발 및 보급과 신ICT산업 분야 정보보호 대책을 마련하고, 전문인력 양성을 위해 다음과 같은 대책이 추진되었다. o 보안기술 강화 첫째, 개인정보 암호화로 인한 시스템 성능저하 우려를 감안하여 스마트폰 등에서 효율적으로 관리 가능한 경량 암호화 기술 개발이 이루어지고 있다. 둘째, 해킹탐지체계 고도화를 위해 다양한 대책이 이루어졌다. 스피어피싱 대응을 위해서 악성코드 유포 탐지시스템이 구축되었고, 악성코드 은닉사이트 탐지 강화를 위해 탐지대상 홈페이지가 확대되었다. 또한, 가상 ID 10만개를 통해 해커를 유인하는 사이버 트랩 시스템이 개발되어 허니팟(해커를 속이기 위해 가상 개인정보를 활용해 공격을 유도)용 개인정보를 공개함으로써 SNS 등으로 사이버사기 공격을 유도한 후, 수신되는 메시지를 자동 수집하여 필요 시 수사기관에 제공하고 있다. 또한, 민간 공공 주요정보통신기반시설에 대한 정기적 모의해킹 및 훈련 실시 근거가 마련되었으며, 개별 침해사고 정보를 종합분석하기 위한 사이버 위협 정보 분석 공유시스템(C-TAS) 20) 구축 및 운영되고 있다. 마지막으로 비행기 블랙박스처럼 사이버 침해사고를 신속하게 분석하고 증거를 보존하는 기술인 사이버 블랙박스가 2016년에 개발되어질 예정이다. 셋째, 스마트폰 보안 강화를 위해 분실 시 개인데이터 삭제기능(킬스위치)뿐만 아니라, 스미싱 차단 앱 등을 모든 스마트폰 출고 시 기본으로 탑재하도록 추진 되었으며, 폰키퍼(스마트폰 보안 앱)의 일일 보안공지 용량이 확대되었다. 또한, 악성 앱 모니터링 대상이 구글 및 해외 블랙마켓(5곳)에서 이동통신사 등의 국내 주요 앱 마켓으로 확대되었다. 넷째, 유출정보 탐지를 위해 신종 변종 악성 앱에 대한 정보유출행위의 탐지 기술이 개발되고 있으며, 정보보호 취약점 분석 및 대응서비스를 제공하는 20) C-TAS(Cyber Threats Analysis System) : 사이버 위협정보를 체계적으로 수집 정보분석 공유하는 시스템

56 정보공유분석센터(ISAC)를 주요 산업분야(의료, 에너지 등)로 확대 구축하여 지원되었다. o 신 ICT산업 분야 정보보호 체계 정립 첫째, 공인인증서의 이용환경 개선 및 새로운 전자서명 신기술의 도입이 추진되고 있다. 특정기술(액티브 X)에 지나치게 의존하는 환경을 개선하기 위해 웹 표준 기반 공인인증서비스 기술이 개발되었다. 또한, 공인인증서 유출방지를 위하여 보안토큰 등 안전한 저장매체가 확대되어 인증서의 유효기간이 1년에서 3년까지 연장되었다. 이와 더불어 ATM, 의료정보 시스템 등 ICT 융복합 기기에 대한 보안성 강화를 위한 사전연구(2015년)를 거쳐 2016년에는 인증서비스가 개발되어 보급 될 것이다. 둘째, 빅데이터, 클라우드, 사물인터넷 등 신기술 분야별로 개인정보보호와 산업발전이 조화 할 수 있는 대책이 마련되었다. 빅데이터 관련 개인정보보호 가이드라인이 제공과 함께 개인정보보호 기술 개발 및 상용화가 지원되었다. 이를 위해 개인정보 처리를 대행하는 전문기업 및 개인정보 침해 문제해결 지원을 위한 클리어링 하우스 21) 가 도입되었다. 또한, 개인정보 제공 시 사전 동의를 받도록 하는 방식에서 중요성이 높지 않은 개인정보의 경우 사후동의를 받도록 하는 방식의 도입이 검토되고 있다. 또한, 클라우드 컴퓨팅법 제정 등 이용자가 클라우드에 저장하는 각종 정보에 대한 제도적 보호 장치가 마련되었다. 마지막으로 사물인터넷 관련 보안, 프라이버시 등 역기능 대응을 위한 정보보호로드맵 이 마련되었으며, 영상정보처리기기의 보호제도 마련을 위한 전문가 검토 등이 추진되었다. o 전문인력 양성 첫째, 초중고, 대학, 군대 등 연속성 있는 인력양성 체계가 구축되었다. 초중고에 SW과목을 교과과정에 포함토록 추진되었고, 정보보호영재교육원이 신설 및 운영되었으며, 특성화고 및 마스터고 정보보호과정이 확대될 예정이다. 21) 클리어링 하우스 : 빅데이터 활용에 따른 개인정보 침해, 품질 가치 훼손 등 문제해결 지원 전 담기관

57 대학은 정보보호 특성화 대학 지정 및 정보보호학과 설치가 2017년까지 28개에서 35개로 확대될 것이다. 이와 더불어 사이버 안전관련 대학의 연구기능 강화를 위해 사이버시큐리티연구센터가 설치되어 운영될 계획에 있다 군 복무는 사이버보안을 전문으로 하는 사관, 부사관 병 양성 및 예비군 창설이 추진 중에 있다. 둘째, 맞춤형 인력양성을 위해 2017년까지 차세대 보안리더 등 국가 사이버 위기 시 대응이 가능하도록 우수인력 5,000여명을 비롯하여 금융, 의료 등 다양한 산업분야에서 필요한 실무 인력양성 계획을 추진하고 있다. 또한, 공무원, 기업 CEO, 책임자 등 산업현장의 수요를 반영한 개인정보보호 전문과정 신설을 추진할 계획에 있다. 2. 국외 (1) OECD OECD는 개인정보와 프라이버시 보호에 대한 사회적 요청을 반영하고, 각국의 법 제도에 차이가 있으므로 생길 수 있는 문제점에 대응하기 위해 1980년에 채택된 개인정보보호에 관한 가이드라인으로 [표 3-12]에서 보는 바와 같이 8개의 개인정보보호 기본원칙을 규정하고 있다. 22) [표 3-12] OECD 개인정보보호 8원칙 No. 원칙 주요내용 1 수집제한의 원칙 2 정보 정확성의 원칙 3 목적 명시의 원칙 적법하고 공정한 방법을 통한 개인정보의 수집 정보주체의 인지 또는 동의를 얻어 개인정보 수집 이용목적과의 관련성 요구 이용목적상 필요한 범위 내에서 개인정보의 정확성, 완전성 확보 수집 이전 또는 당시에 수집목적 명시 명시된 목적에 적합한 개인정보의 이용 22) 한국정보화진흥원, OECD 프라이버시 프레임워크,

58 No. 원칙 주요내용 4 이용제한의 원칙 5 안전성 확보의 원칙 6 공개의 원칙 7 개인참가의 원칙 정보주체의 동의가 있거나 법규정이 있는 경우를 제외하고 는 목적 외 이용 및 공개 금지 개인정보의 침해, 누설, 도용 등을 방지하기 위한 물리적, 조직적, 기술적 안전조치 확보 개인정보의 처리 및 보호를 위한 정책의 공개 개인정보관리자의 신원 및 연락처, 개인정보의 존재 사실, 이용목적 등에 대한 접근 용이성 확보 정보주체의 개인정보 열람, 정정, 삭제청구권 보장 정보주체가 합리적 시간과 방법에 의해 개인정보에 접근할 수 있도록 보장 8 책임의 원칙 개인정보관리자에게 준수의무 및 책임 부과 출처 : 정효진, 윤재석, 개정 OECD 프라이버시 가이드라인 주요 내용 및 향후 전망, OECD 프라이버시 가이드라인 개정 추진 경과 OECD 프라이버시 가이드라인은 UN의 가이드라인과 EU의 개인정보보호 지침, 전 세계 국가별 개인정보보호 정책과 법제에 큰 영향을 미쳤다. OECD에서는 모든 가이드라인을 5년마다 개정 검토하도록 권고하고 있으며, 2007년 정보보호작업반(Working Party on Security and Privacy in the Digital Economy, WPSPDE)은 큰 변화가 필요하지 않다는 합의에 따라 가이드라인을 개정하지 않기로 하였으나, 2008년 6월 한국에서 개최된 OECD 서울 장관회의에서 변화하는 기술, 환경, 정책 등을 반영하여 가이드라인을 재검토할 필요가 있다는 의견이 제기되었다. 이에 따라 가이드라인 개정 작업은 제정 30주년을 맞는 2010년부터 시작되었다. 또한, OECD는 프라이버시의 변화 : OECD 프라이버시 가이드라인 발간 30년 후(The Evolving Privacy Landscape : 30 years after the OECD Privacy Guideline) 와 프라이버시 법 집행기관의 협력을 위한 OECD 권고 이행(Implementation of the OECD Recommendation on Privacy Law Enforcement Co-operation) 보고서를 발간하였으며, 이는 개정 작업을 위한 기초자료로 활용되었다. 한편 OECD WPSPDE는 2010년 회원국과 각 분야의 전문가들을 대상으로 프라이버시 가이드라인 개정에 필요한 기본사항을 조사하였으며, 전문가

59 그룹을 구성하여 검토 위임사항(Terms of Reference, ToR)을 [표 3-13]과 같이 마련하였다. 구분 개인정보의 양적 팽창 개인정보 분석 기술 발전 개인정보의 가치 개인정보 침해 다수의 참여자 상호작용의 복잡성 개인정보의 국제적 활용 [표 3-13] OECD 프라이버시 가이드라인 검토 위임사항 주요 내용 수집, 이용, 저장되는 개인정보의 팽창 개인과 그룹의 트렌드, 관심사, 활동 사항 등에 대한 분석기 술 발전 새로운 기술로 인한 개인정보의 경제적, 사회적 가치 증대 새료운 침해 요소의 부상 프라이버시를 침해 혹은 보호할 수 있는 행위자의 증가 개인정보와 관련된 상호작용의 주기 및 복잡성 증가 다양한 커뮤니케이션 네트워크 및 플랫폼 등으로 인한 개인 정보의 구체적 가용성 확대 출처 : 정효진, 윤재석, 개정 OECD 프라이버시 가이드라인 주요 내용 및 향후 전망, 2014 이후 OECD 정보통신정책위원회(Committee for Digital Economy Policy, CDEP)는 검토 위임사항을 확정하였으며, WPSPDE는 경영, 산업, 기술 등 다양한 전문가들로 구성된 전문가 그룹을 통해 가이드라인의 수정을 진행하였다. 전문가 그룹은 1980년 프라이버시 가이드라인의 기본원칙은 유지되어야 한다는 점에는 합의를 하였지만, 변화하는 환경을 반영하여 프라이버시 관리 프로그램, 개인정보 유출통지, 국가 프라이버시 전략, 글로벌 상호운용성 등 새로운 개념을 도입하였다. OECD는 CDEP 정례회의를 통해 개정 가이드라인을 승인하고, 이사회에서는 2013년 7월에 채택하였다. 23) 2 OECD 프라이버시 가이드라인 주요 내용 개정된 OECD 프라이버시 가이드라인은 1980년에 제정된 가이드라인의 기조는 지키면서 여러 OECD 권고사항과 신기술을 반영하는 것을 주목적으로 하고 있으며, 크게 두 가지 영역으로 분류된다. 24) 첫 번째는 위험관리 기반 접근 방법에 따른 구체적인 프라이버시 보호 이행방안이고, 다른 하나는 23) 정효진, 윤재석, 개정 OECD 프라이버시 가이드라인 주요 내용 및 향후 전망, ) The OECD Privacy Framework, OECD,

60 글로벌 차원의 프라이버시 보호를 위한 상호운용성으로 주요 개정 사항은 다음과 같다. 2.1 프라이버시 관리 프로그램 각 국가들은 개인정보보호법의 이행에 있어 정보관리자들의 책임성을 높이기 위해 다양한 방안들을 추진하였다. 최근 몇 년 동안 책임성의 원칙이 개인정보를 보호하기 위한 하나의 수단으로 인식되어 왔지만, 개정 가이드라인에서는 책임성 이행(Implementing Accountability)에 프라이버시 관리 프로그램의 개념을 정의하고, 이행 요소들을 설명하고 있다. 프라이버시 관리 프로그램 이행을 위해서 정보관리자뿐만 아니라, 정보가 누구의 통제 하에 있든지 관계없이 책임성 있는 조치가 이루어져야 함을 강조하고 있다. 이와 함께 개인정보 처리에 있어서 유연성을 언급하고 있는데, 예를 들어 대기업 또는 대규모 기관의 정보관리자는 단일기관 또는 중소기업의 정보관리자와는 다른 내부 감독 메커니즘을 고려해야 할 필요가 있다는 것이다. 또한, 광범위한 개인정보를 다루는 정보관리자 프로그램은 제한된 양의 개인정보를 다루는 정보관리자보다는 좀 더 포괄적이어야 함을 뜻하고, 프라이버시 관리 프로그램이 관리자의 업무 범위 등에 맞추어져야 함을 명시하고 있다. 2.2 개인정보 유출통지 및 신고 프라이버시 가이드라인에서 개인정보는 손실, 무단접근, 파기, 사용, 수정, 공개와 같은 위협으로부터 보호되어야 한다고 명시하고 있다. 개인정보 유출은 대부분 정보의 주체 또는 정보관리자의 부주의, 혹은 부적절한 절차로 인해 외부 침입자의 무단 접근, 보안시스템이 설치되지 않은 휴대용 장치의 분실 등으로 발생하고 있다. 유출의 가장 근본적인 원인은 정보관리자에게 있으며, 구체적인 훈련 및 인식의 부족, 안전성 확보 미흡, 개인정보 접근 시 부적절한 통제 규칙 적용, 고도한 정보 수집, 보유기간 미 설정 등을 들 수 있다. 개인의 부주의로 인한 사고나 외부침입자에 의한 유출은 그 피해가 상당하다. 개인정보 유출이 발생하면 기업들은 이에 대응하기 위해 막대한 예산을 사용해야 하고, 기업의 이미지 실추, 신뢰 저하 등으로 상당기간 피해가

61 발생한다. 이에 따라, 세계 각국에서는 개인정보 유출 발생 시, 각 정보관리자들이 개인 및 관련기관에 통지하고 신고할 것을 요구하는 법률이 제정 또는 개정 중이다. 그러나 개인정보 유출통지 및 신고제도는 통지 및 신고 되어야 할 정보의 범위, 대상, 시점 등의 측면에서 다소 차이가 있을 수 있다. 현실적으로 어떤 유출통지 신고양식이 가장 효율적인지 결정하기 위해서는 다양한 접근 방법을 통한 평가가 필요하다. 아울러 앞서 언급한 개인정보 국제 협정을 통해 국가 간 개인정보 유출통지 및 신고에 대한 상이한 법적 요건들을 조정할 수 있다. 2.3 프라이버시 법집행기관의 설립 1980년 OECD 프라이버시 가이드라인은 프라이버시 법집행기관의 설립을 요구하고 있지 않다. 그러나 개정 가이드라인은 관련기관들의 존재를 전제하고 실질적인 힘과 권한을 부여하도록 권고하고 있으며, 프라이버시 법집행기관(privacy enforcement authority)을 설립하고 유지해야 할 필요가 있음을 명확히 하고 있다. 한편, 프라이버시 보호 법률은 본 가이드라인과 일관성 있게 개인 데이터를 보호하는 효과를 가진 국가의 법 규정으로 정의하고 있다. 프라이버시 보호 법률은 일반법차원의 프라이버시법 (Privacy Act)뿐만 아니라 부분별 법률 또는 개인정보보호에 대한 규정 등을 포함하며, 가이드라인과 관련이 있는 다른 분야의 법률(소비자보호법 등)까지도 포함될 수 있다. 또한, 프라이버시 법집행기관은 프라이버시 보호 법률의 집행차원에서 조사하거나 소송을 제기할 수 있는 권한이 있으며, 보호법 집행을 주 임무로 하는 공공부문 기관뿐만 아니라 소비자를 보호하는 임무를 가진 규제기관으로까지 범위가 확대될 수도 있다. 기존 가이드라인에서는 프라이버시 법집행기관이 프라이버시 보호 법률의 위반에 대해 제재, 프라이버시 보호 법률의 위반 가능성에 대한 효과적인 조사 추진, 프라이버시 보호 법률의 위반에 관여한 정보관리자에게 시정조치를 할 수 있는 권한 부여의 필요성을 강조하고 있다. 개정 가이드라인에서도 프라이버시 법집행기관으로 하여금 충분한 기술적 전문 지식을 배양하고 권리 의무 이행을 위한 권한을 부여하도록 요구하고 있으며, 특히 최신동향과 전문성을

62 지닌 직원을 채용하도록 권고하고 있다. 2.4 개인정보의 국외 이전 1980년 가이드라인에서 일반적인 데이터 흐름을 허용한다고 하였으나, 정보를 수신하는 곳에서 가이드라인을 충분히 이행하지 못하거나 프라이버시법 을 교묘히 피할 수 있는 특정 상황이라면 정부가 데이터 흐름을 제한할 수 있다고 명시하였다. 이때부터 회원국들은 국가 간에 유통되는 데이터를 보호할 수 있는 다양한 메커니즘을 도입하였다. 즉, 앞서 언급한 EU의 BCRs, APEC의 CBPRs등을 그 예로 들 수 있다. 이는 데이터가 어디에 있던지 정보관리자가 그들이 관리하는 모든 개인정보에 책임성을 갖는 것을 기본전제로 한다는 뜻이다. 개정 가이드라인 중 국제 적용의 기본원칙 : 자유로운 이전 및 합법적 제한 항목에서는 회원국들이 개인정보의 국외 이전에 대한 내용을 아래와 같이 언급하고 있다. - 대상국이 본 가이드라인을 충분히 준수할 경우, 회원국은 자신과 대상국간 정보 흐름을 삼가야 한다는 것을 명시하는 1980년 가이드라인의 일반적인 접근을 유지 - 가이드라인의 일관되고 지속적인 수준의 보호를 보장하기 위해 충분한 보호조치가 존재하는 곳에서는 이전에 대한 제한을 삼갈 것을 권고 2.5 자국이행 1980년 가이드라인은 프라이버시 원칙의 세부 이행을 위해 법적, 행정적 기관 의 필요성에 초점을 맞추었다. 아울러, 회원국이 정부기관들 간의 통합적인 접근법을 반영하는 프라이버시 전략을 개발하도록 권고하고 있다. 정부는 자국 내 정책 홍보를 통해 국민들에게 개인정보보호의 중요성을 인지시키고, 더 나아가 국가 간의 협력 또한, 필수사항임을 인지해야 한다고 명시하고 있다. 아울러 개인정보를 이용할 때 일관성 있는 정책을 기반으로 이를 처리해야 한다고 설명하였다. 한편, 개정 가이드라인에서는 프라이버시 보호에 도움이 되는 교육, 인식제고, 기술개발 장려 등에 대해 강조하고 있으며, 그 대상을 정부, 프라이버시 법집행기관, 자율규제기관, 시민 및 사회단체와 다양한

63 이해당사자들이 포함되어야 함을 강조하고 있다. 또한, 아동과 노인 등 취약 계층이 올바르게 인터넷을 이용할 수 있도록 필요한 지식과 기술을 갖추도록 권장하고 있다. 2.6 국제협력과 상호운용성 인터넷 정책 결정에서 OECD 권고문(OECD Recommendation on Internet Policy Making)은 글로벌 수준에서 프라이버시 보호의 일관성과 효율성을 강화할 것을 강조하고 있다. 또한, 전 세계적으로 개인 데이터의 자유로운 흐름을 지원하는 글로벌 프라이버시 프레임워크의 구축을 촉구하고 있다. 대표적인 예는 2000년에 채택된 세이프 하버 협정과 서로 다른 국가의 보호 시스템 및 접근법을 확인하기 위한 여러 지침으로서 EU의 BCRs과 APEC 국경 간 자유로운 정보보호 흐름을 위한 프라이버시 규칙 CBPRs의 관련 협력 작업 등을 들 수 있다. 그러나 미국 기업이 수집한 EU 이용자의 개인정보를 EU 밖에서 사용할 수 없게 됨에 따라 EU 사법 재판소는 2015년 세이프 하버 원칙이 EU 시민의 개인정보를 충분히 보호할 수 없다며 무효 판정을 내렸다. 25) (2) 미국 미국은 개인정보를 포괄적으로 보호하는 일반적 법률을 제정하지 않고, 구체적이고 개별적인 영역에서 각각 별도로 정보를 보호하며 신용기록기관처럼 특정 유형의 정보조사 및 사용기관을 규율하는 다양한 법률들이 연방이나 州 에서 제정되고 있다. 이렇게 개별적이고 부분적인 입법을 채택하게 된 이유로는 첫째, 미국의 연방대법원이 개인의 프라이버시를 헌법상 권리로 인정함으로써 이미 보통법과 헌법을 통하여 상당한 정도의 개인정보가 보호되고 있기 때문이다. 다만 보통법을 통한 보호는 포괄적이기는 하나 그 적용이 불확실하고 헌법을 통한 보호는 국가가 개인의 프라이버시를 제한하는 25) White Paper, 美 기업, 유럽인 개인정보 사용못해... EU 재폰사 세이프하버 협정 무효

64 경우로만 한정된다. 둘째, 미국의 지리적, 역사적 상황 때문이기도 하다. 즉, 미국이라는 나라의 크기와 복잡성, 많은 인구를 생각한다면 PC를 통한 정부감시는 물론이거니와 이러한 정부감시를 제한하고 개인정보를 보호할 조직모델을 어떻게 채택할 것인가도 단순하게 해결될 문제가 아니었던 것이다. 미국의 이러한 분야별 접근방식에 대하여 프라이버시 보호가 일관되지도 않고 예측 가능하지도 않다는 비판도 제기되고 있지만, 프라이버시보호에 대한 포괄적 정책은 불가피하게 혁신과 경쟁을 억제해서 소비자의 비용부담을 늘릴 것이라는 반론을 제기하면서 이에 찬성하는 견해도 제기되고 있다. 다만, 이러한 분야별 접근방식의 문제점을 개선하기 위하여 정부는 프라이버시 원칙 을 공식적으로 채택하고, 대통령관할 하에 있는 예산관리처(Office of Management and Budget, OMB)는 모든 연방기관이 정보관리 및 조달과정에서 이 원칙을 준용하도록 지시할 수 있고, 행정부는 각급정부와 업계의 지도자들이 이 원칙에 기반을 두어 움직이도록 설득할 수 있다. 또한, 의회는 업계와 협력하여 정보통신 관리기술의 성장과 혁신을 촉진하면서 소비자의 개인정보를 보호하는 방안을 마련하기 위해 노력해왔다. 정보시대에는 프라이버시 보호의 요구가 높아짐에 따라 프라이버시 자체가 상품이 될 수도 있다. 이렇게 될 경우에 정부의 중복된 노력 없이도 시장 자체가 부문별로 프라이버시를 보호할 수 있다. 이를 위하여 광고, 마케팅, 온라인 서비스산업의 사업자협회들은 정보시대에 적합한 새로운 프라이버시 규약과 소비자 교육 프로그램과 자율규제의 강제력을 강화할 수 있는 방안을 마련하고 있다. 또한, 미국은 제정법이나 판례법 외에도 개인정보보호를 위한 지침으로 세이프 하버 원칙을 정립하고 있다. 이 원칙은 1998년 10월 25일 발효된 EU 지침에 대응하여 세워진 원칙으로 당해 지침 규정의 수준에 맞는 개인정보보호 체계를 갖추지 못한 제3국으로의 개인정보 국외 이전 제한에 대하여 미국이 자국의 피해를 방지하기 위하여 세운 원칙이다. 세이프 하버 원칙은 개인정보 취급의 적정성 여부를 판단하기 위함이라는 특정한 목적을 가진 원칙이기 때문에 국제조약의 성격을 가지지는 않는다. 즉, 이 원칙에 따를 것인지에 대한 여부는 전적으로 미국 기업들에게 달려 있는 것이다. 그러나 실질적으로 이 원칙을 따를 경우 EU 위원회로부터 개인정보의

65 적정성을 확인받게 되는 결과가 되기 때문에 EU 회원국과 별도의 협의와 논의를 진행할 필요가 없이 적정성이 추정되게 된다. 따라서 현재 미국에서는 이 원칙의 장점에 따라 다수의 기업체가 참여하고 있다. 26) 세이프 하버 원칙은 [표 3-14]에서 보는 바와 같이 고지(notice), 선택(choice), 정보이전(onward transfer), 접근(access), 안전(security), 데이터 무결성(data integration), 집행(enforcement)의 총 7개 원칙으로 구성되어 있다. [표 3-14] 세이프 하버 원칙의 내용 원칙 내용 고지 개인에 대하여 어떠한 정보가 수립될 것이고 왜 그 정보가 수집되는지 에 대하여 고지 선택 개인정보가 다른 회사에 제공 또는 공유될 것인지에 관하여 개인에게 선택권을 opt-out 방식으로 제공 정보이전 전자비즈니스 파트너들이 세이프 하버 원칙을 준수하거나 그와 동등한 수준의 데이터 보호를 하는데 동의할 것을 보장 접근 개인정보에 접근하는 방법을 제공 안전 개인정보의 손실, 오용, 비공인 접근, 공개, 변조 또는 파기되지 않도록 보호 데이터 무결성 오직 수집 당시의 이용목적에 부합한 정보만 수집하고 이를 보장 집행 원칙의 준수를 담보하고 분쟁해결과 구제를 위한 절차를 개발 출처 : 개인정보보호위원회, 해외 개인정보보호 집행체계 및 개인정보보호 주요 동향조사, 개인정보보호 관련 법률 미국의 개인정보보호 법률은 포괄적 관할이 아닌 사안별 법률에 의해 규율되는 복잡한 양상을 나타내고 있으며, 관련 법률은 수십 가지가 넘는 것으로 파악된다. [표 3-15]에서 보는 바와 같이 연방 법률은 주로 정부기관 행위에 대한 규율의 내용을 담고 있으며, 민간 분야를 대상으로 하는 법률이 다양하게 존재한다. 27) 26) 개인정보보호위원회, 해외 개인정보보호 집행체계 및 개인정보보호 주요 동향조사, ) 권현호, 미국의 개인정보보호 관련 법 정책의 변화와 시사점,

66 민간 부문 구분 공공부문 금융 통신 교육 의료 아동 개인 정보 [표 3-15] 미국의 개인정보보호 관련 법률 프라이버시법(Privacy Act, 1974) 개인정보보호 관련 법률 정보공개법(Freedom of Information Act, 1974) 프라이버시보호법(Privacy Protection Act, 1980) 컴퓨터정보결합 및 프라이버시보호법 (Computer Matching and Privacy Protection Act, 1988) 전자정부법(E-Government Act, 2002) 운전자 프라이버시보호법(Driver's Privacy Protection Act, 1994) 공정신용평가법 (Fair Credit Reporting Act, 1970) 금융프라이버시권법(Right to Financial Privacy Act, 1978) 금융현대화법(Gramm-Leach-Bliley Act, 1999) 케이블통신정책법(Cable Communications Policy Act, 1984) 전자통신프라이버시법(Electronic Communication Privacy Act, 1986) 전기통신법(Telecommunications Act, 1996) 가족의교육권 및 프라이버시법 (Family Educational Rights and Privacy Act, 1974) 건강보험정보의 이전 및 책임에 관한 법률(HIPPA) (Health Insurance Portability and Accountability Act, 1996) 아동온라인프라이버시보호법(Child Online Privacy Protection Act, 1998) 출처 : 개인정보보호위원회, 해외 개인정보보호 집행체계 및 개인정보보호 주요 동향조사, 2012 미국의 개인정보보호에 관한 대표 법률로 1974년 제정된 프라이버시 법 은 미국 정부기관이 보유한 기록을 보호하는 것을 목적으로 정보주체의 열람 및 정정 요구권, 필요한 범위 내에서의 정보 수집 원칙, 어떠한 정보가 수집되었는지에 대한 고지의무, 정보 공유의 원칙적 금지 등의 내용을 담고 있다. 이후 프라이버시 보호에 관한 상세한 이행 사항은 미국의 개별 州 의 입법절차를 통해 시행되고 있으며, 이와는 별개로 미국 법원의 판례를 통한 규범정립이 이루어지고 있다. 그나마 마련된 연방 법률은 주로 정부기관 행위에 대한 규율의 내용을 담고 있으며, 민간분야를 관할하는 법률은 매우 제한적으로 평가된다. 이와 같이 개인정보보호 조치를 위한 구체적인 규정이 독립적으로 마련되어 있지 않고, 민간의 자율에 맡기거나 개별 법률의 해석을 통해서 접근하고 있는 것으로 보인다. 28)

67 2 개인정보보호 관련 기구 미국은 개인정보 보호를 국가기관이나 독립된 위원회에 의한 통제 및 감독을 통해서가 아니라 개인정보가 침해된 정보주체가 직접 법원에 소송을 제기하여 구제를 받는 방식을 택하고 있다. 연방기관이 고의를 갖고서 개인정보를 침해하였다는 점을 원고가 입증해야 하며, 정보처리 기관에 관한 면책조항도 매우 광범위하기 때문에 국가정보처리에 관하여 감독하고 통제하기가 쉽지 않다. 그뿐만 아니라 미국의 통치기구는 전체로서 정보감시 문제들을 검토하거나 개인정보보호 문제를 파악하기에는 규모가 너무 크고 구성 또한, 복잡하다. 이는 개인의 프라이버시를 침해할 수 있는 행위들이 다양하게 발생할 수 있다는 것을 뜻하기도 한다. 그럼에도 불구하고 미국은 국가의 정보처리를 통제할 감독기관을 설치하지 않았으며, 실제로 개인정보보호 법률들이 제대로 적용되고 있는지를 감독하고 보장할 책임이 광범위하게 분산되어 있다. 기본적으로 미국의 정보보호시스템은 통제기관의 직접적인 개입 없이 행정기관들이 스스로 해결하는 방식을 택한 것이다. 이러한 체계는 개별 국가기관 스스로가 정보처리 및 프라이버시 문제들을 다루어야만 한다는 생각이 기본으로 되어 있는 것이다. 즉, 미국은 공공부문과 민간부문의 개인정보보호 체계가 분리되고, 민간부문에 있어서도 각 영역별로 입법이 규제됨에 따라 포괄적인 개인정보보호시스템은 없다고 할 수 있다. 따라서 공공부문과 민간부문을 나누어 살펴보면, 공공부문에 있어서는 OMB에서 프라이버시법 에 따라 연방정부의 프라이버시 정책을 정립하는 역할을 하고 있으며, 제한적인 역할만을 맡고 있다. 한편 민간부문에서는 연방거래위원회(Federal Trade Commission, FTC) 29) 가 아동의 온라인 프라이버시, 소비자신용정보, 공정한 거래관행과 관련하여 개인정보(프라이버시)를 보호하는 법률을 집행하고 준수 여부를 감독할 권한을 부여받아 행사하고 있다. FTC는 개인정보보호와 관련하여 개인정보 프라이버시의 중요성을 사업자와 소비자에게 알리는 역할을 하고 있다. FTC는 연방거래위원회법 (Federal Trade Commission 28) 방송통신위원회, 개인정보 유출 사고에 따른 개인정보 보호조치 등 개선방안 연구, ) 연방거래위원회는 과도한 제한을 가하지 않은 상태에서 시장기능이 효율적으로 작동되고 적절한 경쟁관계를 유지토록 함으로써 미국의 소비자를 보호하는 것이다

68 Act) 제 5조에 위반하였다고 판단되는 개인 또는 사업자에 대하여 조사를 실시하거나 소송을 제기할 수 있는 법적 권한을 가진다. 또한, 소비자로부터 개인정보침해나 법위반사실에 대한 불만사항을 접수받기도 하는데, 이 경우 사실 조사를 실시하여 법 위반 사실이 있는지 여부를 검토한다. 그러나 FTC는 법위반 사실을 확인하여 바로 제재를 내리지 않고 접수된 민원사건을 검토하고 결정하여 명령을 내린 뒤, 당해 사업자로부터 이에 따르겠다는 자발적인 동의의사를 확인하여 합의하는 절차를 거친다. 하지만 이러한 합의에 도달하지 못할 경우, FTC는 행정소송 절차에 의하거나 연방법원에 금지명령을 구하는 소송을 제기할 수 있다. 또한, 필요한 경우 법원에서 소비자 피해구제를 위해 민사상 손해배상이나 중지명령을 청구할 수 있다. 이 외에 사업자가 소비자의 개인정보를 침해하는 것을 방지하는 데 필요한 정보를 제공하고, 각종 지침을 마련하여 고시하기도 한다. 3 최근 개인정보보호 정책 3.1 미국 캘리포니아 州 개인정보 유출통지법 시행(2014) 미국 캘리포니아 州 는 개인정보 유출통지법(Senate Bill No. 46 : SB 46)을 채택하여 2014년 1월 1일부터 시행되고 있다. SB 46은 비밀번호, 본인확인 질문 답변이 성명의 일부와 결합된 경우를 개인정보에 포함하는 등 개인정보의 범위를 확대하고, 다음과 같이 개인정보 유출통지방법이 구체화되었다. 30) 용어의 정의 - 유출 이란 전자화된 개인정보를 권한 없이 획득한 경우를 의미하나, 기관의 이익을 위하여 선의로 개인정보를 수집한 기관의 직원에 대한 행위는 개인정보가 권한 없이 공개되지 않는 한 유출에 해당하지 않는다. - 개인정보란 사회보장번호, 운전면허번호 또는 캘리포니아 신분증번호, 계좌번호 신용/현금카드번호 비밀번호 의료정보 건강보험정보와 결합된 개인의 성 또는 이름으로서 이들 정보 중 어느 하나라도 암호화되지 않은 30) 한국정보화진흥원, 개인정보보호 해외 법제 동향 VOL.6,

69 경우 또는 비밀번호, 본인확인 질문 답변과 결합된 사용자의 성명 또는 주소에 해당하는 경우를 의미한다. - 개인정보에는 연방, 州 또는 지방정부가 합법적으로 대중에게 공개한 정보는 포함되지 않는다. - 의료정보란 개인의 의료기록, 정신 신체적 상태, 치료 또는 진단 결과에 관한 모든 정보를 의미한다. - 건강보험정보란 개인의 보험번호, 보험사가 개인을 식별하기 위해 사용하는 교유식별자, 민원제기 기록 등의 정보를 의미한다. 권한 없는 자가 캘리포니아 거주자의 개인정보를 암호화되지 않은 상태로 획득하였거나 획득하였다고 합리적으로 믿을 수 있는 경우, 전자화된 개인정보를 소유하거나 정보이용을 허가한 자는 개인정보 유출통지를 하고 가능한 한 신속하게 시스템의 침해 사실을 공개해야 한다. 단순히 전자화된 개인정보를 보관(maintain)하는 경우, 캘리포니아 주민의 개인정보가 유출되었음을 발견한 즉시 정보의 소유자 또는 정보이용 허가를 받은 자 (licensee of the information)에게 개인정보 유출을 통지해야 한다. 법집행기관이 개인정보 유출통지가 범죄수사에 지장을 초래한다고 결정한 경우, 개인정보 유출통지는 보류될 수 있으며, 법집행기관이 수사에 지장이 없다고 결정한 이후에 개인정보 유출을 통지해야 한다. 개인정보 유출통지는 이해하기 쉽게 서면으로 작성되어야 하며, 다음의 내용을 반드시 포함해야 한다. - 담당자의 성명 및 연락처 - 유출된 정보의 유형 목록 - 사회보장번호, 운전면허번호 및 캘리포니아 신분증 번호가 유출된 경우, 주요 신용보고기관(credit reporting agencies)의 주소 및 무료전화번호

70 - 위반발생일자 위반된 정보의 대략적인 범위 위반이 발생한 기간 및 정보유출통지 일자 - 법집행수사로 정보유출통지가 지연되는지 여부 - 유출 사건에 관한 설명 통지 내용에 유출된 개인정보의 정보주체를 보호할 수 있는 기관에 관한 정보 및 정보주체가 자신을 보호하기 위해 취할 수 있는 조치를 포함할 수 있다. 비밀번호, 본인확인 질문 및 답변과 결합된 사용자의 성명 또는 주소 등이 유출된 경우(사회보장번호, 운전면허번호 또는 캘리포니아 신분증번호 등의 개인정보는 미포함), 신속하게 비밀번호, 본인확인 질문 및 답변을 변경하고 기타 적절한 조치를 취할 수 있도록 전자적인 방법 등을 이용하여 정보주체에게 통지할 수 있다. 하나의 유출 사건으로 500명 이상의 캘리포니아 주민에게 개인정보 유출통지를 해야 하는 경우, 검찰총장에게 개인정보를 제외한 정보 유출통지의 샘플을 전자적으로 전송해야 한다. 통지는 서면, 전자적 방법 중 어느 하나의 방법으로 가능한데, 통지 비용이 25만 달러를 초과하거나 통지 대상 정보주체의 수가 50만 명을 초과하는 등의 경우에는 전자우편, 통지의무자의 인터넷 웹사이트에 게재, 州 내의 주요 언론 및 기술부의 정보보호사무국(Office of Information Security within the Department of Technology)에 통지할 수 있다. 3.2 미국 Big Data & Privacy 위원회, 빅데이터 정책 권고( ) 미국 Big Data & Privacy 위원회(Big data and Privacy Working Group, 이하 빅데이터 위원회 )는 2014년 5월 1일 빅데이터가 제시한 기회와 도전을 평가하고, 새로운 정책을 개발하기 위한 구체적인 권고를 제시하였으며, 오바마

71 대통령은 빅데이터 위원회에서 소비자 프라이버시 권리장전(Consumer Privacy Bill of Rights, 2012) 으로 인해 발생하는 원칙에 대해 새롭게 도전을 생성하는 방법을 문의하였다. 이에 따라 프라이버시는 국경을 초월한 세계적인 가치로서 보호되어야 하므로, 개인정보보호 대상을 미국 시민이 아닌 모든 시민에게로 확장해야 한다고 보고 있다. 또한, 빅데이터 시대의 소비자는 개인정보가 어떻게 사용되는지에 대한 명확하고 합리적인 기준을 얻을 자격이 있으므로 소비자 프라이버시 권리장전을 개정할 필요성이 있다고 보고 있다. 따라서 연방정부는 빅데이터 분석기술이 보호 계층에 차별적인 영향을 끼치는 것을 방지하기 위해 분석결과를 쉽게 확인하여 사례를 식별할 수 있는 전문기술 구축이 필요한 것으로 보고 있다. 31) (3) EU EU에서는 개인정보보호에 관한 각종 지침과 규칙, 결정 등이 채택되어 있으며, 가장 기본이 되는 것은 EU 회원국을 대상으로 하는 1995년 채택된 개인정보의 처리 및 자유로운 유통에 관한 개인보호지침 (이하 개인정보보호지침 )과 2002년 채택된 전자통신영역에서 개인정보처리 및 프라이버시 보호에 관한 지침 (이하 온라인 프라이버시지침 )이라고 할 수 있으며, 이밖에 EU 공동체의 조직 및 기관(institutions and bodies)에 의한 개인정보처리에 관하여는 공동체 조직 및 기관에 의한 개인정보처리와 그 정보의 자유로운 이동에 관련된 개인의 보호에 관한 규칙 (이하 개인정보보호규칙 )이 적용된다. 온라인 프라이버시지침은 EU에서의 개인정보보호에 관한 일반법이라고 할 수 있는 개인정보보호지침에 제시된 개인정보처리에 관한 원칙을 전기통신영역에 반영하여 이를 구체화하고 보충하기 위한 것으로서, 개인정보보호지침으로 규제하기 어려운 사항 즉, 전자통신에 대한 예외적 감청사유, 전송정보의 파기 및 익명처리 의무, 발신자 번호 및 접속자 번호의 표시 및 표시제한, 쿠키, 부가서비스 제공 목적의 위치정보 이용, 위치정보 31) 개인정보보호위원회, 개인정보보호 연차보고서,

72 추적 일시 차단기능 제공, 가입자 명부의 수록 방법 및 절차, 원치 않는 광고성 정보 등의 전송제한(스팸메일 발송에 대한 규제로 Opt-in 방식을 채택) 등에 관해서만 규정하고 있으며, 개인정보보호규칙은 EU 공동체에 소속된 조직 및 기관에 의한 개인정보처리에 대해서만 적용된다. 이러한 지침이나 규칙 이외에도 인터넷이용자와 서비스 제공자(ISP)의 권리와 의무에 관하여 규정하고 있는 1999년 2월 채택된 정보고속도로에서 개인정보의 수집 및 처리와 관련한 개인정보보호 가이드라인, 통신사실에 대한 확인을 위해 보관 및 유지의 의무를 도입하는 대신 온라인 프라이버시지침을 보완하여 감청 대상정보를 제한하고, 특히 통신의 내용을 알 수 있는 정보는 수집할 수 없다는 기본원칙을 규정하고 있는 통신데이터 보관에 관한 지침(2006년 5월 채택)을 비롯하여 새로운 기술이나 각 개별 영역에서의 개인정보보호에 관한 여러 규범들이 제정되고 있다. 이러한 규범들은 대체로 개별적이고 특수한 영역에서의 개인정보처리를 규율하기 위한 것으로서 대부분 개인정보보호지침과 온라인 프라이버시지침을 준용하여 그 대상 범위를 확대하는 규범들이라고 할 수 있다. 1 개인정보보호 관련 법률 1.1 개인정보보호지침 개인정보보호지침은 회원국에 직접 효력을 발생시키는 것이 아니라 회원국의 해당 사안의 입법과정에 있어 회원국이 준수해야 할 최소한의 제도적 기준을 제시하고 있다. 32) 회원국은 개인정보보호지침을 최소 기준으로 하여 회원국 자체 입법이 가능한데 개인정보보호지침이 기본적 기준이라면 회원국은 그 기준을 토대로 하여 자체적이며 독립적인 세부규정을 마련할 수 있으며, 일부 회원국의 경우 개인정보보호지침 기준을 상회하는 엄격한 체계를 도입한 경우도 있다. 일부 EU 회원국들은 개인정보보호지침이 마련되기 전부터 개별적인 개인정보보호에 관한 법률을 가지고 있었으며, 또 일부 회원국의 경우 개인정보보호에 관한 제도가 미비한 상황이었다. 그리하여 회원국 간의 제도적 32) 김일환, 홍석한, 유럽연합의 개인정보보호 집행체계에 관한 연구,

73 차이를 통합하여 개인정보보호에 관한 EU의 통일 법제 확립의 목적으로 지침이 채택되었다. 지침은 통신망을 통해서 데이터 전송이 이루어지는 경우 우연하거나 불법적 파괴, 우연한 소실 변경 허가받지 않은 공개 및 기타 불법적 형식의 개인정보 처리로부터 개인정보를 보호하도록 회원국들로 하여금 기술적이고 조직적인 조치 이행의무를 관리자에게 부과하도록 규정하고 있다. 이와 같이 관리자 의무를 마련함에 있어 회원국들은 개인정보보호 이행에 따른 기술상황과 비용을 고려하여 개인정보 처리의 위험 대비를 위한 적절한 보호 수준을 담보하여야 한다. 아울러 지침은 관리자를 대신하여 처리자가 개인정보보호를 수행하는 경우 관리자는 충분한 기술적 조직적 보안조치를 담보할 수 있는 처리자를 선택해야 한다. 관리자와 처리자는 정보 보호 수준에 관한 명확한 내용의 계약을 체결해야 하며, 처리자는 관리자의 지시에 따라야 하고, 관리자의 보안조치 의무는 처리자에게도 동일하게 적용될 것 등을 계약서에 명시해야 한다. 이러한 개인정보보호지침의 주요 내용은 [표 3-16]에서 보는 바와 같다. [표 3-16] 개인정보보호지침의 주요 내용 구분 적용법위 적용제외 영역 정보처리자의 의무 정보주체의 권리 내용 물적범위 : 자동 처리되는 개인정보 및 구조화된 파일링시스템에 포함되는 개인정보 국가안보, 공공의 안전 및 방위를 위한 개인정보 처리 형사법 영역에서의 개인정보 처리 서신왕래와 같은 지극히 개인적이고 사적인 목적의 개인정보 처리 언론보도, 문학, 예술적 표현을 위한 개인정보 처리 공정하고 적법한 개인정보의 처리 정보처리 목적의 명시 정보처리 목적과의 적절성과 관련성, 비례성 유지 개인정보의 정확성과 최신성 확보 기술적, 조직적 보안조치 확보 감독기구에 정보처리에 대하여 고지 정보처리의 전반적인 사항에 대하여 통지받을 권리 정보처리에 대하여 협의할 권리 자신의 개인정보에 대해 수정을 요구할 권리 특정 상황에서의 개인정보 처리에 대하여 반대할 권리

74 구분 제3국으로의 정보이전 금지 독립기구의 설치 내용 적절한 보호수준을 갖추지 않은 제3국으로 개인정보 이전 금지 회원국 내 독립적인 개인정보보호기구의 설치 출처 : 개인정보보호위원회, 해외 개인정보보호 집행체계 및 개인정보보호 주요 동향조사, 개인정보보호규칙안 EU는 개인정보보호지침을 대체하는 개인정보보호규칙안(General Data Protection Regulation)을 2012년 1월에 발표하였다. 이는 규칙(Regulation)의 형식으로 논의되고 있다는 점에서 기존의 지침(Directive)과는 차이가 있다. EU 제도상 최종 발효에 따라 모든 회원국에 직접적으로 적용되는 규범으로 개인정보보호지침과는 달리 회원국 국내법 전환을 위한 별도의 조치가 필요 없다는 것이다. 또한, 과거 개인정보보호지침에서 개인정보를 관리자에 의한 처리와 활용으로 정의한데 반해, 새로운 개인정보보호규칙안은 관리자뿐만 아니라 기타 제3자에 의한 처리와 활용으로 그 정의를 확장하였다. 이는 개인데이터 처리에 있어 투명성 원칙을 새롭게 도입하고 아울러 관리자로 하여금 데이터처리 모든 과정에 있어 규칙안을 준수하여야 할 의무와 쉽게 접근 가능하며 투명한 개인데이터 정책 공개 의무에 있어 쉽게 이해할 수 있는 형식으로 작성해야 하는 의무를 추가하였다. 이는 관련 서류 보관의무(document retention), 데이터보호 영향 평가, 데이터 보호 담당기관으로부터의 데이터 처리의 사전승인, 데이터보호담당자 지정, privacy by design 및 Privacy by default 이행, 규칙 준수 확인 절차로 감사 및 검증절차 도입의 새로운 관리자 책임이 명시되어 있다. 데이터 보안수준은 개인정보의 특성을 고려하여 위험 대비에 적절한 수준으로 결정되는데 이를 위하여 보안조치 시행 전에 위험 평가를 시행해야 한다. 개인정보침해에는 우연하거나 불법적인 데이터의 파괴, 손실, 변경, 공개 및 접속으로 이르는 보안 침해를 포함하며, 관리자는 그러한 침해 발생 24시간 내에 관할 감독기관에 침해사실과 아울러 상세한 침해경감 계획을 보고해야 한다. 만일 데이터 침해에 따라 데이터주체의 피해가 예견되는 경우 관리자는 정보주체에게 그 사실을 통보해야 한다. 그러나 관리자가 관할 감독기관에

75 해당 데이터가 암호화되었음을 증명하는 경우는 예외로 한다. 또한, 개인정보보호규칙안은 개인정보보호지침의 제3국으로의 개인정보 전송의 범위에 덧붙여 국제기구로의 개인정보 전송으로 그 범위를 확장하였다. 아울러 기존의 충분한 데이터보호 법제를 마련한 국가 리스트와 데이터보호 법제가 미비한 국가 및 국제기구 Blacklist를 공개하고 있다. EU 이외의 국가 혹은 국제기구로 개인정보 전송은 계약에 근거한 경우만 허용하며, 그러한 계약은 위원회 혹은 기타 국가 감독기관의 사전승인을 전제로 하였다. 2 개인정보보호 관련 기구 2.1 개인정보보호지침에 다른 기구 첫째, 집행위원회는 EU 조약 제17조 제1항에 따라 EU 조약 및 EU 기능조약 그리고 이들 조약에 따라 EU의 기관이 채택한 조치들의 적용을 보장하고, EU 사법 재판소(the Court of Justice of the European Union)의 통제 하에 EU 법의 적용을 감시하는 기능을 수행하는바, 개인정보보호와 관련하여서도 관련 규범의 준수를 위한 가장 핵심적인 집행기능을 담당한다. 특히, 개인정보의 역외 이전과 관련하여 집행위원회는 제3국이 적정한 수준의 보호를 제공하고 있는지 여부를 결정하고 개인정보의 역외 이전을 위하여 표준계약조항(standard contractual clauses)이 충분한 안전조치를 취하고 있는지를 결정하는 등 회원국의 제3국으로의 개인정보 이전을 통제하며, 개인정보보호작업반에 대표를 파견하고 안건을 제출하는 등 개인정보보호 작업반을 통하여서도 지침의 구체적인 적용에 대해 영향력을 행사할 수 있다. 둘째, 개인정보보호작업반은 조언자의 기능을 하는 자문을 위한 독립기구로서 회원국의 개인정보보호 감독기구 또는 회원국에 의해 지정된 기구의 대표, 공동체의 조직 및 기관을 위하여 설치된 기구 또는 기구들의 대표, 집행위원회의 대표로 구성된다. 작업반의 각 위원은 그를 대표로 하는 기관 또는 기관(들)에 의하여 임명되어야 하며, 한 회원국이 2 이상의 감독기구를 지정한 경우 하나의 대표를 지정하여야 한다. 작업반은 2년 임기의 연임이 가능한 의장을 선출하여야 하며, 감독기구 대표의 단순다수에 의하여 결정한다

76 셋째, 개인정보보호지침 제31조에 따라 설치되는 정보보호위원회(The Committee)는 집행위원회의 대표가 의장이 되고 회원국의 대표로 구성된다. 또한, 정보보호위원회는 집행위원회의 활동에 조력을 제공하는 기관으로서 집행위원회가 일정한 조치를 채택하고자 하는 경우 당해 안을 정보보호위원회에 제출해야 하며, 정보보호위원회는 그에 대한 의견(opinion)을 제출한다. 다만, 의장은 투표권이 없으며 집행위원회는 정보보호위원회의 의견에 따라 채택한 조치를 즉시 시행하여야 한다. 그러나 정보보호위원회와 집행위원회의 의견이 일치하지 않는 경우, 집행위원회는 이를 이사회에 통지하여야 하며, 이사회에 회부된 날로부터 3개월 동안 당해 조치의 집행이 연기되게 되는바, 이러한 측면에서 정보보호위원회는 집행위원회의 활동을 일정부분 통제하는 기능도 수행한다고 할 수 있다. 이밖에 이사회는 EU 의회와 연대하여 입법권을 행사하는 한편, 권고를 채택하거나 집행위원회의 제안에 따라 결정을 채택할 수 있으며, 개인정보보호작업반과 집행위원회로부터 보고서를 제출받으며, 집행위원회가 취하고자 하는 조치에 대해 집행위원회와 정보보호위원회의 의견이 일치하지 않는 경우에는 이를 통지받아 다른 결정을 할 수 있다. 2.2 개인정보보호규칙에 따른 기구 각 회원국은 개인정보의 처리에 관하여 자연인의 기본적 권리와 자유를 보호하고 EU 내에서 개인정보의 자유로운 흐름을 용이하도록 하기 위하여 이 규칙의 적용에 대한 감시와 EU 전체에 걸치는 일관된 적용에 기여해야 할 책임을 지는 하나 이상의 공공기관을 정해야하며, 이러한 목적을 위하여 감독기구들은 감독기구 상호간 및 EU 집행위원회와 협력해야 한다. 만약, 회원국이 둘 이상의 감독기구를 설치한 경우, 그 감독기구들의 효율적인 참여를 위하여 단일접촉기관으로 기능하는 감독기구를 지정해야 한다. 또한, 감독기구는 그에 부여된 의무와 권한을 행사함에 있어 완전한 독립성(complete independence)을 가져야 하며, 감독기구의 구성원들은 자신의 의무를 이행하는 경우에 어느 누구에게 지시를 구하여서도 안되고, 어느 누구로부터 지시를 받아서도 안된다. 그러나 규칙에서는 이처럼 감독기구의 완전한 독립성을

77 강조하고 있을 뿐, 이와 별도로 독립성을 위하여 그 소속이나 임면의 절차 방식에 대해서는 언급이 없다. 다만, 각 회원국은 그 의무와 권한을 효과적으로 행사하는데 필요한 적절한 인원, 기술적 및 재정적 자원, 사무실과 시설을 제공받을 수 있도록 하고, 감독기구가 감독기구의 장에 의해 임명되어 그 지시에 구속되는 내부 직원을 가질 수 있도록 보장해야 하며, 감독기구의 재정에 대한 통제가 감독기구의 독립성에 영향을 미치지 않도록 해야 한다. 3 최근 개인정보보호 정책 3.1 EU 개인정보 유출통지 요건 마련 EU 집행위원회는 프라이버시 및 전자통신에 관한 지침 (이하 e-privacy 지침 )에 따른 개인정보 유출통지에 관한 규정을 마련하여 2013년 8월부터 시행되었다. 2009년에 개정된 e-privacy 지침은 2011년 6월 25일부터 통신사 및 정보통신서비스제공자에게는 개인정보 유출 시 해당 국가의 감독기구 및 서비스이용자에게 유출 사실을 통지하도록 하였으나, 통지를 해야 하는 시간적 제한을 두지 않는 등 구체적인 통지요건을 규정하지는 않았다. 그러나 유출통지 규정은 회원국 내에서 별도의 입법조치 없이 바로 효력이 발생하므로, 표준화된 유출통지 절차 및 통지 내용 등이 EU 내의 개인정보처리자에게 적용되고 있으며, 주요 내용은 다음과 같다. 정보통신서비스제공자는 정보가 유출되었음을 알게 되었을 때 부터 24시간 이내에 정보유출통지 규정 의 제1부속서 제1조의 사항을 해당 국가의 관련 기관에 통지해야 한다. - 유출통지 접수 기관은 유출로 인해 영향을 받게 되는 서비스 이용자가 타국의 국민인 경우 해당 국가의 관련 기관에게도 정보유출에 관한 사항을 알려야 한다. - 제1차 통지 : 정보통신서비스제공자의 성명, 위반발생 일시, 유출된 정보 및 향후 정보통신서비스제공자가 취할 조치 등 개략적인 내용을 통지한다. - 제2차 통지 : 제1차 통지를 한 날로부터 3일 이내에 제1부속서 제2조에

78 규정된 정보보호 위반 사건 개요, 위반으로 영향을 받게 되는 자의 수 및 이들에게 발생할 수 있는 침해 등 상세내용을 통지한다. 서비스이용자에게 통지할지 여부를 판단할 때에는, 유출로 인해 개인정보 또는 프라이버시 침해가 발생할지에 대한 여부, 유출된 정보의 유형 등을 고려해야 한다. - 통지내용 : 정보통신서비스제공자의 성명, 유출에 관한 추가 정보를 얻을 수 있는 기관 및 연락처, 유출 사건의 개요, 유출발생 일자, 유출로 인해 발생 가능한 결과, 유출로 인한 침해를 최소화하기 위해 정보통신서비스제공자와 서비스이용자가 취하여야 할 조치 등 적절한 기술적 보호조치를 취했다는 것을 입증한 경우, 서비스 이용자에 대한 통지의무는 면제된다. 3.2 EU 의회, 강화된 개인정보보호 법안 승인 EU 행정위원회는 2012년 1월부터 개인의 온라인 정보보호를 강화하고 글로벌화 디지털화되어가는 EU 경제의 성장을 촉진하고자 1995년 제정 이후 19년 만에 포괄적으로 정보보호 규정을 개혁할 것을 제안 하고 법 규정안 및 지침서 마련을 진행해왔다. 개인정보 개혁 법안 마련에 주도적인 EU 시민자유위원회는 2013년 10월 21일에 EU 시민이 개인정보를 미국으로 전송하는 것을 제한하는 개인정보보호 법안을 통과시켰다. 그동안 정보보호 법률안을 강화하고자 하는 EU 위원회와 완화하고자 하는 EU 의회의 의견 불일치가 있었으나 위원회 상정안을 EU 의회가 받아들이면서 법제화되었다. 최근 EU 의회는 비 EU 국가로의 개인정보 이동에 대한 안전조치를 강화한 EU 데이터보호법 최종 법률안을 승인하였다. 개정 법안에서 강화된 분야는 크게 세 가지 분야이다. 첫째, 비 EU 국가로의 정보 이동이다. EU 시민의 보호를 위해 어떤 기업이라도 EU 시민의 개인정보를 제3국에 공개하기 전에 EU 각 국가 정보보호 기관의 사전승인을 받도록 한다. 둘째, 이 법을 위반한 기업은 최고 1억 유로 또는 연간 국제 매출의 5%까지 벌금을 부과하도록

79 벌금을 상향 조정하였다. 셋째, 인터넷상에서 정보보호 강화를 위해 개인정보의 삭제권, 정보수집(profiling) 제한 확대, 정보보호 정책에 대한 분명하고 평범한 언어를 사용하도록 하였다. 3.3 EU 정보보호 감독기구, EU 소속기관에 이한 개인정보의 제3국 및 국제기구로의 이전에 대한 의견서 발간 기업의 활동이 점차 글로벌화되고 클라우드 컴퓨팅 등 기술이용에 따라 정보의 흐름이 국경을 초월하게 되면서 개인정보의 국외 이전은 일상화되고 있다. 그러나 국가마다 개인정보보호의 수준과 집행체계가 달라 개인정보 국외 이전 문제는 쉽게 해결하기 어려운 과제로 여겨지고 있다. 정부 및 공공기관에서도 해외 정부나 국제기구 등과의 협력이 확대됨에 따라 국외 이전에 대한 문제가 더는 민간분야만의 문제라고 할 수는 없을 것이다. 특히 정부 및 공공기관이 보유하고 있는 개인정보가 많고, 고유식별번호나 민감정보를 상당수 포함하고 있으므로 국외 이전 시 주의가 요구된다. 이에 EU 정보보호 감독기구(European Data Protection Supervisor, EDPS)는 지난 2014년 7월 14일 EU 기관(EU 기관 및 소속기관)에 의한 개인정보의 제3국 및 국제기구로의 이전에 대한 의견서(position paper)를 발간하였다. 이 의견서는 EU 규정 제9조 EU 기관이 아닌 수령자로의 개인정보의 이전에 근거하여 이전에 대한 개념 설명과 함께 적정한 보호 수준에 대한 개념과 평가, 법 원칙 적용 예외사항 등을 설명하고 있다. 따라서 EDPS는 본 의견서를 통해 EU 기관들이 업무상 제3국 또는 국제기구로의 개인정보 이전에 대한 법규의 해석과 적용 방법에 대한 실질적인 기준을 제공하고자 하였다. 또한, EU 외의 국가에서도 개인정보 국외 이전에 대한 관심이 확대되고 있는 만큼, 정부 및 공공기관 등 공공부문이 가지는 특수성을 고려하여 개인정보의 국외 이전 문제를 다룰 수 있는 기반을 조성한 것으로 평가되고 있다. 3.4 EU, 사물인터넷 발전에 다른 개인정보보호 의견서 발표 EU의 대표적인 개인정보 감독기구이자 연구반인 개인정보보호작업반은 2014년 9월, 사물인터넷 발전에 따른 개인정보보호 의견서를 공식 발표하였다

80 이 의견서는 EU의 개인정보보호 관련 법 체계에 맞춘 사물 인터넷 관련 가이드라인을 제공하기에 앞서 사물인터넷 환경에서의 개인정보보호 위협 요소를 살펴보기 위한 것이다. 사물인터넷 분야는 매우 광범위하므로 정보주체와 직접적인 교환을 하고 있으며, 실제 사용도가 높은 착용형 컴퓨팅(Wearable Computing), 자가 측정(Quantified Self), 도모틱스(Domotics)의 3가지 분야를 집중하여 검토하였다. 앞서 제시한 3대 사물 인터넷 분야에서 발생할 수 있는 다음의 6가지 개인정보보호 위협요소를 제시한다. 첫째, 통제권의 부족과 정보 불균형, 둘째, 동의 에 대한 품질, 셋째, 데이터로부터의 간섭(interference)과 최초 처리목적의 변경(repurposing), 넷째, 행위 패턴분석 및 프로파일링 등으로 인한 침해, 다섯째, 익명화 상태로의 존속 가능성 보장 미흡, 여섯째, 기기 및 네트워크 효율성 강화에 따른 보안 위험이다. 이러한 내용을 바탕으로 WP29(Article 29 Working Party, EU 제29조 작업반)는 관련 법 적용을 위하여 사물인터넷 환경에서의 개인정보 개념, 개인정보처리자 유형, 정보주체 등을 규명하였고 사물 인터넷 환경 참여 유형별 개인정보보호를 위한 권고 사항을 제시하고 있다. (4) 일본 일본은 1970년대 이후에 전산화된 개인정보 처리가 활발히 진행되면서 공공부문을 중심으로 이러한 전산화된 방법을 통한 개인정보처리를 규율할 필요성이 제기되기 시작되어 1980년 9월 23일에 채택된 OECD 가이드라인의 영향으로 더욱 강화되었다. 이에 따라 1988년 행정기관이 보유하는 전자 계산기처리에 의한 개인정보보호에 관한법률 이 제정되었다. 이는 행정기관이 보유하고 있는 개인정보를 PC 등 전자화된 방법에 의해 처리할 경우, 개인정보의 적정한 취급방법에 대해 규정하고 있다. 반면 민간분야에 관하여는 극히 일부의 사업법 등 개인정보보호와 관련한 규정을 두고 있는 정도였기 때문에 민간분야를 대상으로 하는 법제도의 정비가 요구되고 있다. 일본의 보호법은 그 집행기관으로서 독립된 포괄적인 감독기구를 별도로 설치하지 않고, 각 개인정보취급사업자가 수행하는 사업의

81 실태를 파악하고 있는 소관사업의 주무장관이 직접 집행 및 감독책임을 지고 있으므로 집행 및 감독기구가 단일화되지 못하고 여러 행정기관으로 분산되어 있다는 단점을 지니고 있다. 따라서 일본 정보처리개발센터 33) 는 일본의 통산성(Japanese Ministry of International Tirade & Industry)의 지원으로 설립된 공동단체들이 정부 주도하에 전자상거래 활성화 차원에서 개인정보보호에 관련한 업무를 수행하고 있다. 이들의 설립목적은 개인정보보호 가이드라인의 설정과 개인정보보호에 필요한 연구개발을 수행하기 위한 것이다. 이에 따라 일본은 민간부문에서 인정개인정보보호 단체를 설립하였으며, 개인정보피해 구제 및 고충 처리의 역할을 보강하고 있다. 인정개인정보보호단체는 민간 개인정보보호단체에 대해 정부가 적절한 역할을 담당하는 개인정보보호 기구임을 인정해줌으로써, 민간 자율규제와 정부의 적절한 감독을 함께 조화시킬 수 있다는 점에서 의미가 있다. 또한, 일본의 보호법은 전체 제6장 제59조 및 부칙으로 구성되어 있으며, 제1장은 총칙규정으로서 본 법률의 목적, 용어의 정의, 그리고 기본이념을 규정하고 있다. 제2장은 국가 및 지자체의 책무와 정부가 개인정보보호를 위하여 취해야 하는 법제상의 조치를 규정하고 있고, 제3장은 개인정보보호를 위한 기본방침에 관한 사항과 국가 또는 지자체의 시책과 협력에 관한 사항을 규정하고 있다. 제4장부터 제6장까지는 민간부문을 대상으로 하여 민간 사업자의 구체적인 권리 의무가 규정된 일반법 부분이다. 기본법 부분은 기본이념을 중심으로 공공기관과 민간사업자 모두에게 적용되는 내용을 규정하고 있다. 일반법 부분은 사업상 개인정보 DB를 이용하고 있는 민간 사업자를 개인정보취급사업자로 하여 구체적인 의무를 부과하는 방식을 택하고 있다. 1 개인정보보호 관련 법률 1.1 개인정보보호에 관한 법률 일본에서는 개인정보보호법 이 2003년 5월 23일 국회에서 의결되어 5월 33) 일본의 표준화 주무 관청인 공업 기술원의 위촉에 따라서 정보 처리 관련 일본 공업 규격(JIS) 원안을 작성하고 표준화 조사 연구를 수행하는 업계 단체

82 30일에 공포되었고, 2005년 4월 1일부터 시행되고 있다. 이는 사적인 단체에 대해서 강행적인 규정을 담고 있으며, 국가기관이나 지방단체 등 공공단체의 정책상 의무와는 구분하여 규정하였다. 또한, 일반적인 요건과 의무를 규정하고 있고, 세부적인 사항과 법률해석에 관해서는 시행령 등 하위법률에서 규정하고 있다. 관할권을 가진 관련 정부 부처에서는 지침을 통해 동법의 법적해석과 개인정보보호에 관한 최소한의 요건을 규정하며, 국가기관이 보유하고 있는 개인정보에 관해서는 행정기관이 보유하는 개인정보보호법 에서 규정하였다, 이는 일정 규모의 개인정보를 다루는 사적 단체에만 적용되고 공공기관에 대해서는 적용되지 않는다. 일본의 개인정보보호법 은 개인정보 DB를 사용하는 단체에 대해서만 규정하고 있으며, 다만, 국가기관, 지자체, 독립행정기관을 제외하며 이 기관들은 타 법령의 규제를 받는다. 또한, 정부명령에 따라 개인정보 사용과 관련된 개인의 권리 및 이익에 영향을 받는 단체 역시 제외된다. 아울러 동법의 시행령 제2조에 따르면 과거 6개월간의 기간 동안 5,000명 미만의 개인정보를 다루는 단체는 제외된다고 규정하고 있다. 1.2 행정기관이 보유하는 개인정보보호법 이 법률은 행정기관이 보유하는 전자계산기처리에 관한 개인정보의 보호에 관한 법률 을 개정한 것으로 국가의 모든 행정기관에 대하여 구법이 대상으로 한 전자계산기처리에 관한 개인정보뿐만 아니라, 행정문서에 기록된 모든 개인정보(보유개인정보)에 관한 취급을 규율하고 있다. 또한, 실효성을 확보하기 위하여 본인이 관여하는 장치가 마련되어 구법에서 인정되어 있던 본인정보에 관한 개시청구권과 더불어 정정청구권 및 이용정지청구권을 새롭게 인정하고 있다. 또한, 제3자 기관으로서의 정보공개 개인정보보호심의회에 의한 체크, 행정기관의 직원 등에 대한 벌칙 등을 신설하고 있다. 또한, 행정기관 등은 보유하는 개인정보파일(일정한 사무의 목적을 달성하기 위하여 특정한 보유개인정보를 검색할 수 있도록 체계적으로 구성한 것)에 관하여 그 존재 및 개요를 명확하게 함으로써 이용목적마다의 보유 개인정보의 적정한 관리에 이바지함과 더불어 개인정보 이용의 실태를 정확하게 인식하게 하기

83 위하여 행정기관 등은 개인정보파일 장부를 작성 및 공표 하여야 하며, 개인정보파일 장부 열람 제공, 전자정부종합 창구 등을 인터넷에 공표하도록 하고 있다. 2 개인정보보호법 상의 개인데이터보호를 위한 조치 일본 개인정보보호법 상에서 데이터 관리자의 보안 의무를 규정하고 있는데 경영자는 개인정보의 유출, 소실, 또는 손상의 예방과 기타 보안조치를 해야 하며, 피고용인이 개인정보를 취급할 시 경영자는 개인정보의 보안을 위해 필요하고 적절한 감독을 해야 한다고 규정하고 있다. 또한, 개인정보의 취급을 다른 개인이나 회사에 위탁한 경우에는 필적절한 감독을 해야 한다. 아울러 행정기관과 개인정보를 관리하도록 위임받은 개인이나 단체는 취득된 개인정보의 적절한 운영과 개인정보의 유출, 손실 또는 손해가 발생하지 않도록 필요한 조치를 취해야 한다. 일본에서는 개인정보보호와 관련된 법률들에서는 사적 및 공적 기관들이 개인정보의 유출을 방지할 의무가 있다고 규정하고 있으나 구체적으로 어떤 조치를 취해야 하는 지에 대해서는 구체적으로 규정하지 않는 실정이다. 이에 따라 일본의 정부기관들은 개인정보보호에 관련된 지침(가이드라인)을 통해 법률상 규정된 보안조치의 적절성에 관해 설명하고 있다. 필요한 보안 조치는 조직적인 보안조치, 인적 보안조치, 물리적 보안조치 및 기술적 보안조치 등을 포함하며 구체적인 보안조치는 다음과 같다. 새로운 프라이버시규칙과 보안 조치에 관한 직원 교육 직원이 기밀 엄수 동의서에 서명하도록 함 필요한 경우, 업무규칙의 검토 및 수정 개인정보관련 업무를 제3자에게 위임한 경우 계약서상 개인정보보호 규정이 삽입되도록 함 개인정보에 관한 문의, 불만, 요청 등을 담당할 부서나 인력을 설정 현재 데이터 보안실무 및 내부정책이나 규칙 등을 검토하고 필요한 보안조치를 취함

84 3 최근 개인정보보호 정책 3.1 클라우드 서비스 보안 가이드라인 발표 2014년 2월 21일 일본 총무성(Ministry of International Affairs and Communications, MIC)은 클라우드 산업 환경의 변화를 반영한 클라우드 서비스 사업자용 정보보호 대책 가이드라인 초안을 발표하고, 이에 대한 의견을 수렴하기 시작했다. 일본 경제 산업성은 2011년에 발표한 클라우드 서비스 이용을 위한 정보보안 가이드라인 을 기반으로 ISO/IEC 27002에 기반을 둔 클라우드 컴퓨터 서비스 보안 관리책의 실천규범 을 작성 중이며, 2015년에 발표할 예정이다. 따라서 이번 가이드라인이 기존의 유사 가이드라인의 내용과 중복되는 것을 방지하기 위해 클라우드 서비스 사업자와 이용자 간에 발생할 수 있는 보안 관련 이슈에 대한 실무상 대응책 제시에 중점을 두고, 실무 지침을 크게 다섯 가지로 상정하였다. 또한 ASP와 SaaS 사업자뿐만 아니라 IaaS, PaaS 등 사업자의 범위 또한 확대하였다. MIC는 이번 가이드라인을 통해 일본의 클라우드 서비스 사업자들이 클라우드 보안과 관련된 기초적 개념 및 정의를 이해하여 책임의식을 높이고, 가이드라인의 구성과 관련 표준 및 유사 가이드라인과의 관계를 숙지하여 ICT 산업의 공급체인 상에서 담당하는 역할을 숙지하는데 이바지할 것으로 기대하고 있다. 3.2 개인정보보호법 개정안 통과 일본 정부는 최근 IT 기술의 발달과 빅데이터 활성화로 개인 데이터 활용 빈도 및 방식의 변화가 발생함에 따라 법의 변화 요구에 직면 하였다. 따라서 일본 IT 종합전략본부(일본 정부 산하 고도정보통신 네트워크 사회추진 전략본부)는 2013년 6월 개인정보보호법 개정 작업을 착수하였다. 이후 11차례의 회의를 거쳐 2014년 6월 9일 개인정보보호법 개정 초안을 마련하였으며, 2015년 9월 3일 개정안을 중의원 본회의에서 통과시켰다. 개정안에는 정부가 개인정보보호위원회를 설치하여 일본의 개인정보보호 제도를 국제수준에 맞추는 것과 기업의 자율규제 규칙을 지지하고 기술이 발전함에 따라 확대된 개인정보의 회색 지대를 해소하는 것을 목표로 하였다. 또한, 개인 식별을 어렵게 한 후 그 데이터를 타사에 전달하여 활용할 수

85 있도록 규제를 완화하였으며, 개인정보에 성명, 생년월일뿐만 아니라 개인의 신체 일부의 특징을 전자적 이용에 제공하기 위해 변환한 부호와 연락처 및 여권 번호 등을 포함시켜 개인정보에 대한 정의를 명확화하였다. (5) 중국 중국은 최근 정보기술의 발전에 따라 정부행정관리 기구 및 금융, 통신, 교통, 의료 등 사회 공공서비스 영역에서 국민의 개인정보를 수집하고 저장하게 되었다. 따라서 정보를 규제하고 처리하는 능력이 큰 폭으로 향상되면서, 행정관리 및 각 공공서비스의 질과 효율성을 높이기 위한 편의 제공의 필요성이 커지게 되었다. 중국에는 개인정보에 관한 법률 법규의 수는 많지만, 내용을 보면 여러 법률에 산재되어 있을 뿐만 아니라 보호 수준도 낮은 편이어서 관련법의 제정이 필요한 실정이다. 지난 2011년 말 중국 내 사상 최대 규모의 인터넷 정보 유출 사고가 발생하여, 대형 인터넷 사이트에서 회원정보가 유출되는 사태가 발생했다. 그 수는 수천만 명에 달하여 이로 인한 사회 질서와 사용자 이익이 큰 위협을 받아 중국에서는 이를 해결하기 위한 입법 노력을 전개하였다. 중국 최고 국정 자문기구인 전국인민정치협상회의의 12기 2차 전체회의에서는 중국 인터넷과 모바일 환경에서 나날이 확산되고 있는 개인정보 불법 유출과 침해에 맞서 보호법의 신속한 완비와 시행을 요구하는 내용을 다뤘으며, 향후 보호법의 신속한 제정과 국민의 권리 및 개인정보 안전의 보장 그리고 정보 안전 업무와 관련된 부서 간 협조 합동 기제를 건립하고, 주관 부서는 정책과 보안 기준을 빨리 제정한다고 강조되었다. 이에 중국은 개인정보의 보호범위를 명확화하기 위하여 중국인민공화국에서 소비자권익보호법 을 개정하여 2014년 3월 시행하였다. 1 개인정보보호 관련 법률 1.1 개인정보보호법 중국의 개인정보보호법 은 다음과 같은 적용원칙을 규정하고 있다. 첫째, 제2조에서 적법원칙을 규정하고 있으며, 정부기관 또는 기타 개인정보처리자의

86 개인정보처리행위는 반드시 이 법안의 규정에 따라 개인정보를 처리하여야 한다고 규정하면서, 예외로 다른 법률이 달리 규정하고 있는 경우에는 그 법을 적용하도록 규정하고 있다. 둘째, 제3조는 권리보호원칙을 규정하고 있으며, 정보주체는 정부기관이나 기타 개인정보처리자에게 보유하고 있는 본인에 관한 개인정보를 공개하도록 요구할 권리가 있다고 규정하고 있다. 또한, 정보주체가 개인정보 기록의 내용이 부정확하거나 착오가 있다고 인정할 경우 정부기관이나 기타 개인정보처리자에게 시정하거나 사용을 정지하도록 요구할 수 있다고 규정하고 있다. 1.2 소비자권익보호법 중국의 소비자권익보호법 은 소비자의 개인정보를 불법으로 수집하거나 사용 및 누설 등 개인정보를 불법적인 방향으로 타인에게 제공하는 등 개인정보처리자에게 소비자의 합법적인 권익을 침해하지 않도록 하고 있다. 소비자 권익보호법은 4가지 분야로 정리될 수 있다. 첫째, 구매하거나 상품의 사용 또는 서비스를 제공 받을 때, 소비자는 개인정보보호로 얻을 수 있는 성명권, 초상권, 프라이버시권 등을 주장할 수 있다. 둘째, 개인정보처리자가 수집 사용한 소비자의 개인정보는 반드시 합법 정당 필요의 원칙에 따라야 하며, 정보의 수집 사용의 목적 방식과 범위 등을 명시하고 소비자의 동의를 거쳐야 한다. 셋째, 개인정보처리자는 소비자 개인정보의 수집에 대하여 반드시 엄격한 보안을 유지하여야 하며, 동시에 기술적 조치와 기타 필요한 조치를 하여 정보의 안전을 확보하여야 한다. 넷째, 소비자의 동의 또는 요구를 거치지 않았거나 소비자의 명백한 거절의 의사표시가 있었던 경우 상업적 전자 정보를 발송할 수 없다. 1.3 통신 및 인터넷 사용자의 개인정보보호에 관한 규칙 2013년 4월 중국 공업신식화부는 통신 및 인터넷 사용자의 개인정보보호에 관한 규칙을 발표하였다. 해당 규칙은 개인정보의 의미, 사용자 개인 식별 로그인 정보 등 개인정보 수집 시 사용자에게 고지할 사항들을 포함하고 있다. 이 규칙에 따르면 개인정보란 개인을 식별하기 위해 통신 및 인터넷서비스

87 제공자가 수집한 정보를 의미한다. 개인을 식별할 수 있는 정보로는 성명, 생년월일, 주소 및 주민등록번호 등이 있다. 개인정보를 수집할 경우 사용자에게 고지해야 할 사항으로는 수집 목적, 방법 및 범위, 보유기간, 정보사용 및 수정 과정, 개인정보 수집을 거절할 경우의 결과 등을 포함한다. 처벌 사항과 관련하여 통신서비스 및 인터넷 서비스 제공자는 개인정보를 유출하거나 불법 판매 및 유통 또는 파기할 경우 최대 3만 위안의 벌금을 부과하도록 규정하고 있다. 제2절 개인정보 오남용 유출 사례 1. 개인정보 오남용 사례 (1) 개요 개인정보 오남용이란 비권한자가 개인정보처리시스템에 접근하여 개인정보의 불법 조회 및 이용, 또는 개인정보를 목적 외 사용하는 경우를 말한다. 특정인의 개인정보 불법 열람 및 기록 변경, 경찰 및 연금취급자 등의 공공기관에서의 무단 조회 등으로 인한 피해 등 다양한 피해가 있을 수 있다. (2) 사례 2013년 9월 도심 속 차 안에서 창문을 열어 놓은 채 성행위를 하던 남녀를 촬영한 동영상이 SNS에 유포되었으며, 모자이크 처리가 제대로 되지 않아 차량번호가 노출되었다. 이를 통해 차적 조회가 가능한 자동차 정비소 직원이 해당 차량을 무단으로 조회하여 신상 파악이 가능하였다. 34) 홈플러스는 경품행사를 미끼로 수집한 약 712만 명의 고객 개인정보를 34) NEWS1 뉴스, 도심 한복판 차 안 성행위 영상, 카톡 급속도 유포중 부산일보, '거제도 마티즈' 사건, 신상확인 시도로 '발칵'

88 7개의 보험사에 231억 7천만 원에 판매하였다. 판매한 항목으로는 성명, 주민등록번호, 휴대폰번호, 가족관계 등으로 조사되었다. 검찰에 기소된 시점은 2015년 2월이지만 실제 2011년부터 2014년까지 지속적으로 불법 판매가 이루어지고 있었던 것으로 밝혀졌다. 이에 홈플러스는 보호법, 정보통신망법을 위반한 불법행위에 대해 고객 한 명당 30만 원의 손해배상을 지급하였다. 35) 민감한 개인정보를 보유한 건강보험공단 일부 직원의 개인정보 무단 열람이 매년 끊이지 않고 있다. 2014년 국민건강보험공단 직원 31명이 97차례에 걸쳐 가입자 개인정보를 무단 열람한 것으로 나타났다. 개인정보 무단열람 이유는 건보공단 임직원의 특정요양기관에 가입자 알선, 고교동창생의 연락처 파악, 배우자가 운영하는 노래방 도우미에 대한 개인정보 열람 등으로 조사되었다. 또 열람 건수와 별도로 외부에 가입자 정보를 유출한 사례도 160여 건에 이르는 것으로 밝혀졌다. 하지만 개인정보를 건넨 직원은 공단에 27년간 재직했다는 등 이유로 파면이나 해임이 아닌 정직 처분만 받았다. 36) 2014년 지자체 공무원이 개인적 호기심으로 국가의 사회보장 정보시스템을 통해 연예인 및 운동선수 등의 개인정보 1천 122건을 무단 열람하다 적발된 것으로 조사되었다. 한편, 광역단체별로 보면 개인정보를 무단 열람한 지자체 공무원의 수가 경기도가 231건으로 가장 많았으며, 서울특별시 111건, 부산광역시 85건, 경상남도 83건, 인천광역이 78건 등의 순으로 밝혀졌다. 무단 열람 행위에 대해 138건은 해당 지자체 감사실에 징계가 이루어졌고, 나머지 984건에 대해서는 해당 지자체 부서장에게 서면경고 882건, 구두경고 72건, 재발방지 교육지시 25건, 기관경고 5건 등의 조치를 하도록 하였다. 그러나 무단 열람자에 대한 징계조치는 사실상 흐지부지된 것으로 나타났다. 37) 2014년 개인정보를 사적으로 조회하거나 유출해 징계를 받은 경찰관이 300명에 육박한 것으로 조사되었다. 이사건도 2015년 개인정보 유출 사실이 알려졌지만 2011년부터 2014년 까지 지속적으로 사적 조회가 이루어졌다. 35) slownews, 이젠 소송이다! 홈플러스 회원 모여라 ) ChosunBiz, 노래방 도우미 찾으려...건보공단 직원들, 개인정보 무단열람 27건 ) 국가기간뉴스통신사 연합뉴스, 국가망으로 연예인 정보 엿본 공무원 3년간 1천 122건

89 개인정보 침해로 적발된 경찰관 중 정직 이상의 중징계를 받은 이는 전체의 12%인 37명에 불과했다. 나머지 252명은 감봉 또는 견책을 받은 것으로 조사되었다. 38) 2. 개인정보 유출 사례 (1) 개요 개인정보 유출이란 법령이나 처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 처리자가 통제를 상실하거나 또한, 권한 없는 자의 접근을 허용한 것을 말한다. 또한, 악의적인 사용자가 온 오프라인 상에서 정상적으로 수집된 개인정보를 비정상 및 불법적인 방식으로 탈취하는 경우를 말하며, 개인정보가 유출되는 유형은 다음 (그림 3-3)에서 보는 바와 같다. (그림 3-3) 개인정보 유출 유형 38) 서울경제TVSEN, 최근 3년간 개인정보 유출 경찰 300명 육박

90 1 외부 외부자가 메모리, 스마트폰, 홈페이지, 등을 대상으로 해킹 및 악성코드 감염을 통해 개인정보가 유출되거나 개인정보를 악의적인 목적으로 불법 탈취하는 경우를 말한다. 1.1 해킹 해킹을 통한 개인정보 유출은 특정 시스템을 공격하여 개인정보를 유출하는 방법으로 패스워드 공격, 원격 제어 프로그램 이용, 운영체제 취약점 이용 등의 다양한 방법이 있다. 39) o 패스워드 공격 가장 쉽게 공격 시스템에 접근할 수 있는 방법으로 해당 시스템의 사용자나 관리자의 계정 및 패스워드를 통해 권한을 획득하는 방법이다. 내부자일 경우, 해당 시스템의 계정 및 패스워드를 손쉽게 획득할 수 있다. 반면, 해커는 외부에서 공격 대상 시스템을 알아내기 위해 그 시스템의 IP 주소를 알아내는 것이 가장 중요하다. 해커는 먼저 해당 시스템의 IP 주소를 알아내기 인터넷 게시판 및 을 활용하기도 하는데 해킹하고자 하는 시스템 소유자에게 접속을 유도할 만한 웹페이지가 담긴 을 전송하여 접속한 사용자 시스템의 IP 주소를 획득하게 된다. 공격 대상 시스템의 IP 주소를 획득한 해커는 Administrator 또는 Admin 등의 관리자 계정을 기반으로 패스워드를 알아내는 공격이다. o 원격 제어 프로그램 이용 해커는 원격 제어 프로그램을 공격 대상 시스템의 인터넷 게시판 및 로 전송하여 쉽게 배포할 수 있다. 인터넷 게시판을 통해 배포할 경우 대부분 보안 경고창이 나타나지만 사용자의 인터넷 익스플로러 옵션 설정에 문제가 있거나 사용자가 보안경고 창에서 예 를 선택할 경우 원격 제어 프로그램이 설치될 수 있다. 39) 한국인터넷진흥원, 개인정보 유출 공격 탐지 방안,

91 o 취약점 이용 해커는 운영체제, 애플리케이션, 웹페이지 등의 취약점을 이용하여 개인정보를 유출한다. 취약점을 이용한 해킹으로 인해 기업 기관 등에서 개인정보가 유출되는 사고는 증가하고 있으며, 이를 차단하고 방어하기 위해 보안에 대한 관심 또한 높아지고 있다. 1.2 악성코드 웜 바이러스 스파이웨어 애드웨어 등 다양한 악성코드는 , USB, 메신저 프로그램, Active X 등을 통해 전파되어 개인정보 유출이 발생하게 된다. 사용자가 내 악성코드가 첨부된 파일을 확인하여 감염되는 방식과 USB 사용 부주의로 감염되는 방식이 있다. 또한, 공격자가 웹페이지를 해킹한 후 자동으로 악성코드가 다운로드 되도록 하여 해당 웹페이지를 방문한 사용자들이 모두 감염되는 방식이 있다. 마지막으로 스마트폰에 악성코드로 연결되는 주소가 포함된 SMS를 전송하고, 이에 접속할 경우 악성코드에 감염되어 개인정보가 유출되는 경우도 있다. 40) 1.3 피싱 피싱(Phishing)은 개인정보(Private data)를 낚는다(Fishing)라는 의미의 합성어로 온라인상에서 사용자의 개인정보를 탈취하는 사기 범죄이다. 보이스피싱부터 문자, 메신저 등을 통해 가짜 홈페이지로 접속하도록 유도하여 개인정보를 탈취하는 수법이나 스마트폰에 악성코드로 연결되는 주소가 포함된 SMS를 전송하여 개인정보를 탈취하는 수법이 있다. 2 내부 내부자에 의한 개인정보 유출은 기관 및 기업의 내부자(처리자, 취급자, 협력업체)가 처리하고 있는 개인정보 자산이 외부로 유출되는 경우를 말하며, 내부자가 업무 외에 개인정보처리시스템에 접근하여 개인정보 자산을 온 오프라인을 통해 유출하는 경우를 말한다. 이는 내부자가 악의를 품고 행한 40) 금융보안연구원, 정보유출 위협 및 대응방안 연구보고서,

92 행위일 수 있지만, 단순히 업무의 연장 차원에서 내부로부터 개인정보를 가지고 나온 것일 수도 있다. 후자의 경우 또한, 개인정보에 대한 중요도를 인식하지 못하는 경우이기 때문에 큰 위험이 될 수 있다. 2.1 P2P, FTP, 메신저, 등 P2P, FTP, 메신저, 등은 인터넷 환경에서 사용자들에게 많은 서비스를 제공하고 있지만 개인정보의 유출 위험성 또한 내포하고 있다. P2P 서비스는 초기에 단순히 음악파일, 동영상, 이미지파일 등을 주고받는데 사용되었지만, 실행 파일을 포함한 모든 파일에 대한 공유가 가능해짐에 따라 개인정보가 포함된 자산이 공유되어 사용자가 원하지 않은 개인정보가 유출될 가능성이 존재한다. FTP의 경우에는 우회접속을 통해 개인정보가 유출될 수 있으며, 메신저의 경우 고유한 채팅 기능 이외에 많은 부가적인 기능으로 인해 개인정보가 유출될 위험성이 있다. 마지막으로 이 교환되는 과정에서 텍스트 형태나 첨부파일을 통해 개인정보가 유출될 가능성 또한 높다. 2.2 USB 등의 이동식 저장매체 USB와 같은 이동식 저장매체는 손쉬운 데이터 저장 및 휴대의 장점을 가지며, USB와 같은 이동식 저장매체이 사용이 보편화되었다. 그러나 내부자의 통제가 이루어지지 않는다면 이동식 저장매체를 사용하여 손쉽게 개인정보를 외부로 유출할 위험성이 존재한다. 2.3 PC, 노트북 등의 기기 내부자는 업무의 목적으로 PC, 노트북 등의 기기를 외부로 반출하는 경우가 있다. 이렇게 기관 및 기업의 업무를 위해 사용하는 기기의 경우 내 외부로의 이동이 자유롭기 때문에 허가받은 기기를 사용하여 개인정보를 유출한다면 통제하기 어렵다. 따라서 이미 외부로 유출된 개인정보에 대해서 사용자가 접근하지 못하도록 하는 방법을 고려해야 한다

93 2.4 개인정보가 포함된 문서 내부자는 효율적인 업무를 위해 개인정보가 포함된 파일을 열람하여 문서로 출력할 수 있다. 문서는 파일과 달리 누구라도 쉽게 볼 수 있도록 노출된 상태이기 때문에 유출에 대한 위험성이 크다. 3 관리 부주의 관리 부주의로 인한 개인정보 유출은 웹페이지, 정보주체 및 내부자의 개인정보 자산 관리 부주의로 인해 발생할 수 있다. 3.1 웹페이지 웹페이지 관리 부주의로 인한 유출은 해킹 등 외부자에 의한 방법을 이용하지 않고 정상적으로 웹페이지 환경에서 타인의 개인정보를 취득할 수 있도록 방치되어 노출된 것을 말한다. 이러한 노출이 발생하는 원인은 크게 관리적인 원인과 기술적인 원인으로 나눌 수 있다. 관리적인 원인은 웹페이지 관리자가 사용자의 개인정보에 대한 중요성 인식 부족 및 관리 소홀로 발생하는 것을 의미하며, 기술적인 원인은 홈페이지 설계 및 구축에서 개인정보 노출이나 보안 취약점을 고려하지 않아 발생하는 것을 의미한다. 41) o 웹페이지에서의 노출 웹페이지의 게시물, 파일, 소스코드 및 URL에 개인정보가 포함되어 노출되는 경우를 말한다. 악의적인 목적을 가진 사람이 노출된 개인정보를 이용하여 사용자들에게 피해를 줄 수 있기 때문에 관리자는 웹페이지에 개인정보 노출을 차단하거나 검색할 수 있는 도구를 이용하여 운영 중인 웹페이지에 대해서 지속적으로 관리하여야 한다. o 외부 검색엔진을 통한 개인정보 노출 검색엔진을 사용하는 검색사이트는 웹페이지에 대한 정보를 바탕으로 검색 서비스를 지원하게 되는데 이로 인해 개인정보가 노출되어 있는 웹페이지의 41) 행정자치부 개인정보보호과, 홈페이지 개인정보 노출방지 가이드라인,

94 정보가 손쉽게 노출될 수 있으며, 검색엔진의 취약점을 이용한 DB 유출이 위험성도 존재한다. 3.2 내부자 및 정보주체의 부주의 내부자 및 정보주체가 개인정보가 포함된 자산(서류, 사진, 영상, 전자파일, 저장매체, 기기)을 분실하거나 도난당하였을 경우, 개인정보가 유출되는 것을 말한다. 따라서 분실 및 도난 등의 부주의로 인해 정보주체가 피해를 입지 않도록 개인정보 자산에 대해서 지속적으로 관리하여야 한다. (2) 사례 1 외부 2014년 2월 대한의사협회, 대한치과의사협회 홈페이지 등 의료계 사이트를 비롯해 이름이 널리 알려진 단체나 업체의 사이트들이 해킹을 당하였다. 이를 통해 의사협회 8만 명, 치과의사협회 5만 6천 명, 한의사협회 2만 명 등 총 15만 6천 명의 개인정보가 유출되었으며, 유출된 개인정보는 아이디, 비밀번호, 주민등록번호, 연락처, 주소, 의사면허 번호, 근무지 및 졸업학교 등이었다. 2014년 3월에 TM 업체에 고용된 해커가 자신의 아이디로 통신사 홈페이지에 로그인한 후, 파로스 해킹 프로그램을 이용하여 개인정보를 수집하였다. 무단 수집은 3개월간 약 1,300만 번이 이루어졌지만 통신사 측은 전혀 알지 못했으며, 해커는 이렇게 수집된 개인정보를 TM 업체에 판매하는 등 금전적 수단으로 악용하였다. 42) 2 내부 카드 3사 고객정보 유출 사고가 언론에 발표된 것은 2014년 1월이었지만 실제 유출은 2012년 12월부터 2013년 12월까지 지속적으로 이루어졌다. 이는 국내에서 발생한 개인정보 유출 사건 중에서 2011년 7월에 발생했던 네이트 및 싸이월드 해킹(3,500만 건)을 뛰어넘는 엄청난 규모의 사고이며, 개인 42) 한국정보화진흥원, 개인정보보호 주간동향,

95 신상에 관한 상당한 정보가 고스란히 유출되는 큰 피해였다. 개인정보 유출자는 신용평가 업체에서 근무하는 직원이었으며, 각 카드사의 분실 위변조 탐지 시스템 개발 프로젝트의 담당자로 각 카드사에 파견돼 시스템을 테스트하기 위해 받은 개인정보를 USB에 복사하여 유출하였다. 금융감독원(이하 금감원 )이 확인한 결과, 정보유출 건수는 3개사 합계 약 8,500만 건(사망자, 기업, 가맹점 등은 제외, 카드사 간 중복 포함)이며, 3개 카드사의 신용카드와 체크카드 고객뿐 아니라 은행고객 정보, 탈퇴고객 정보 및 심지어 이미 사망한 사람의 개인정보 등도 다수 포함되어 있었다. 유출된 정보는 성명, 주민등록번호, 주소, 연락처, 직장명 등의 기본적인 개인정보뿐만 아니라 연봉, 결혼 여부, 자동차 소유 여부와 같은 세부 개인정보와 결제일, 신용한도 금액, 신용등급과 같은 금융정보까지 포함되어 있었다. 3 관리 부주의 2014년 4월 보험사 직원과 고객과의 상담 통화내용이 녹음된 10,695개 음성파일이 웹사이트에 노출되는 사고가 발생하였다. 유출된 음성파일에는 팩스번호, 연락처, 보험증권 번호 등 개인정보가 포함되어 있었으며, 저장서버 관리 부실에 의한 것이었다. 이처럼 개인정보 유출 사고는 특정 분야가 아닌 전 분야로 확산되어, 이를 위해 각종 규제방안 및 대응책이 제시되고 있지만 개인정보 유출 사고는 줄어들지 않고 있으며, 2014년에 발생한 개인정보 유출 사고는 [표 3-17]과 같다. [표 3-17] 개인정보 유출 사고(2014년) 보도 시점 기관 및 기업 유출 내용 (규모) 유출된 개인정보 항목 유출 유형 세티즌 회원정보 성명, 아이디, 주소, 비밀번호 외부 (홈페이지 해킹)

96 보도 시점 기관 및 기업 유출 내용 (규모) 유출된 개인정보 항목 유출 유형 한국수력원자력 직원정보 (1만 800여 명) 성명, 사번, 소속, 직급, 입직날짜, 퇴직날짜, 주소, 연락처 외부 ( 통한 악성코드 감염) 에바중 회원정보 성명, 연락처, 주소 외부(해킹) 롯데마트 회원정보 (250만 건) 성명, 연락처, 집 주소, 카드번호 등 내부 (개인정보 불법유통) 판도라tv 외원정보 (11만 명) 아이디, 비밀번호, 성명, 생년월일, 주소, 주소, 연락처 등 외부 (홈페이지 해킹) 모닝글로리 회원정보 아이디, 비밀번호, 주소, 주민등록번호, 연락처 등 외부 (홈페이지 해킹) 에듀스파 회원정보 아이디, 비밀번호, 성명, 주민등록번호, 주소, 연락처 등 외부 (홈페이지 해킹) 인터넷 서점 리브로 회원정보 주민등록번호, 주소, 연락처, 아이디, 비밀번호 등 외부 (홈페이지 해킹) 박문각 회원정보 주민등록번호, 주소, 연락처, 아이디, 비밀번호 등 외부 (홈페이지 해킹) 능률교육 회원정보 (104만 8576건) 성명, 아이디, 비밀번호, 주민등록번호, 주소 주소, 연락처 외부 (홈페이지 해킹)

97 보도 시점 기관 및 기업 유출 내용 (규모) 유출된 개인정보 항목 유출 유형 아프리카tv 회원정보 아이디, 성명, 가입일, 암호화된 비밀번호, 생년월일, 주소, 연락처 등 외부 (특정서버 외부 해킹 발견) 두원공과대학교 학생 및 교수정보 (130명) 성명, 주민등록번호, 여권번호, 여권만료일, 연락처 등 관리 부주의 (FTP 서버 관리 미흡) 토니모리 회원정보 (50만 명) 성명, 연락처, 아이디, 비밀번호, 주소 등 외부 (홈페이지 해킹) 성명, 주민등록번호, 스킨푸드 회원정보 (55만 건) 연락처, 주소, 주소, 아이디, 비밀번호, 회원가입일 등 외부 (홈페이지 해킹) 농협생명 회원정보 (35만 건) 주민등록번호 등 내부 (외부업체직원 에 의한 유출) KDB생명 녹취정보 (1만 700개) 통화내용이 녹음된 음성파일 (팩스번호, 연락처, 보험증권 번호 등) 관리 부주의 (녹취파일 웹사이트에 공개) 성명, 아이디, 비밀번호, 천재교육 회원정보 (350만 명) 주민등록번호, 주소, 주소, 집 연락처 등 외부 (서버해킹 추정)

98 보도 시점 기관 및 기업 유출 내용 (규모) 유출된 개인정보 항목 유출 유형 포스단말기 해킹 (신한,국민, 농협, BC 등 카드사 10곳, 기업은행, 씨티은행) 회원정보 (20만 건) 성명, 연락처, 카드번호, 카드 유효기간 외부 (해킹) 국방과학연구소 군사기밀정보 (50여장~ 200여 장) 군사기밀 2급 3급 보고서 외부 (해킹) BBQ 회원정보 (51만 건) 아이디, 비밀번호, 주소 외부 (해킹) 한화생명, 알리안츠생명, AIA생명, 동부생명, KDB생명, 미래에셋생명, 동부화재, LIG손해보험, 한화손해보험 등 14개 보험사 회원정보 (1만 3000여 건) 고객 성명, 주민등록번호, 연락처 등 내부 (판매대리점 직원에 의한 유출 및 불법유통) 재향군인회 회원정보 (1만 3900여 명) 성명, 아이디, 비밀번호, 주소, 연락처, 회사 연락처 등 관리부주의 (외부 검색엔진을 통한 노출)

99 보도 시점 기관 및 기업 유출 내용 (규모) 유출된 개인정보 항목 유출 유형 SK브로드밴드, LG 유플러스, 여행사, 인터넷 쇼핑몰 등 회원정보 (1230만 건) 발급일자를 포함한 주민등록번호, 연락처, 주소, 계좌번호 등 외부 (홈페이지 해킹) 티켓몬스터 회원정보 (113만 명) 성명, 아이디, 성별, 생년월일, 연락처 등 외부 (홈페이지 해킹) 성명, 주소, 연락처, KT 회원정보 (1천200만 건) 주민등록번호, 계좌번호, 주소, 카드번호 및 카드유효기간 외부 (홈페이지 해킹) 대한의사협회, 치과의사협회, 한의사 협회 의사 및 회원정보 (1700만여 명) 아이디, 비밀번호, 주민등록번호, 연락처, 주소, 의사 면허번호, 근무지 및 졸업학교 등 외부 (홈페이지 해킹) KB국민, 롯데, NH농협 3사 카드사 회원정보 (1억 400만 건) 성명, 주소, 연락처, 주소, 직장정보, 결혼여부, 차량보유여부, 카드이용실적금액, 결제계좌, 결제일, 신용한도금액, 신용등급 내부 (KCB협력사 내부직원이 대출광고업자와 대출모집인에게 판매)

100 2014년 개인정보 유출 사고를 기반으로 유출된 개인정보 항목의 빈도수를 측정해보았으며, 그 결과는 (그림 3-4)에서 보는 바와 같다. 43) (그림 3-4) 개인정보 유출 사례에서 유출된 개인정보 항목 빈도수 측정 결과 연락처가 가장 많은 빈도수를 보였으며, 성별이 가장 적은 빈도수를 보였다. 이와 같은 결과에 따라 다음과 같은 사항을 예측할 수 있다. 첫째, 가장 많은 빈도수를 보인 연락처를 악용하여 무작위 보이스피싱 및 43) 직장정보(근무지, 사번, 소속, 직급, 입직날짜, 퇴직날짜), 여권정보(여권번호, 여권만료일), 카드 정보(카드번호, 카드유효기간, 카드이용실적금액), 신용정보(신용한도금액, 신용등급)

101 스미싱 등의 2차 피해가 발생할 수 있다. 둘째, 동일한 계정을 즐겨 사용하는 정보주체의 특성을 이용하여 아이디 및 비밀번호를 도용한 피해가 발생할 수 있다. 셋째, 본인확인이 부실한 서비스 위주로 성명, 주민등록번호를 도용한 피해가 발생할 수 있다. 넷째, 유출된 주소로 악성 URL이 포함된 스팸 메일 및 불법 스팸광고 전송 등의 피해를 줄 수 있다. 따라서 추론한 사항을 통해 유출된 개인정보 항목 빈도수가 많을수록 이를 악용한 2차 피해 발생 가능성이 크다는 것을 추론할 수 있다

102 제4장 개인정보 항목 분석 및 분류 제1절 개인정보 항목 개요 본 연구에서는 개인정보를 (그림 4-1)에서 보는 바와 같이 개인정보 처리방법에 따라 정보주체로부터 받은 정보, 자동으로 생성되는 정보, 가공 재생산된 정보로 분류하였으며, 다양한 개인정보 항목이 조합 및 결합되어 수집될 수 있다. (그림 4-1) 개인정보 처리방법에 따른 개인정보 항목 및 수집 가능한 개인정보 항목 제2절 개인정보처리자의 개인정보 처리방법에 따른 항목 1. 정보주체로부터 받은 개인정보 정보주체로부터 받은 정보(제공정보, P1)란 정보주체가 온 오프라인의 다양한 서비스 가입 또는 이용을 위해 자발적으로 제공한 개인정보를 말한다. 제공정보 항목은 다양한 분야(웹, 이동통신사, 은행, 보험, 병원, 도서관, 학교 등)의 대표적인 서비스를 중심으로 조사하였으며, 이에 해당하는 개인정보 항목은 [표 4-1]에서 보는 바와 같다

103 [표 4-1] 다양한 분야의 서비스 이용 시 정보주체로부터 받은 개인정보 구분 서비스 항목 웹 APP 이동 통신사 회원가입 본인확인 회원가입 상품구입 휴대폰 개통 아이디, 비밀번호, 성명, 주민등록번호, 생년월일, 성별, 주소, 주소, 연락처 등 성명, 주민등록번호, 생년월일, 성별, 연락처, 이동통신사 정보, 내/외국인 정보, 공인인증서 비밀번호, I-PIN 비밀번호 등 아이디, 비밀번호, 성명, 생년월일, 성별, 연락처, 스마트폰 내 주소록, 닉네임 등 배송정보(성명, 연락처, 주소), 결제정보(신용카드 정보, 통신사 정보, 상품권 번호) 등 성명, 주민등록번호, 사업자등록번호, 주소, 연락처, 은행명, 주소, 법인등록번호, 외국인등록번호, 대리인 성명, 신용정보, 요금납부 정보(예금주 및 납부자 성명, 계좌번호, 카드번호 등) 등 은행 병원 보험 통장 및 카드 개설 진료예약 건강검진예약 상담신청 상품가입 (통장 및 계좌개설) 성명, 사업자등록번호, 주민등록번호, 주소, 연락처, 직업, 업종, 직장주소, 외국인등록번호, 주소, 통장 및 계좌 비밀번호 등 (카드 가입) 성명(한글/영문), 주민등록번호, 주소, 연락처, 은행명, 직장주소, 직장연락처, , 개인사진, 직장명, 부서명, 직위, 배우자 성명, 배우자 연락처, 결제계좌정보(결제계좌은행명, 결제계좌번호, 결제일 등) 성명, 주민등록번호, 주소, 연락처, 진료과목 등 성명, 주민등록번호, 성별, 연락처, 주소, 건강검진 신청항목, 검진예약일 등 성명, 성별, 생년월일, 연락처 성명, 주민등록번호, 연락처, 주소, 은행계좌 및 신용카드 정보, 주소 등

104 구분 서비스 항목 영화 예매 (회원예매) 아이디, 카드종류, 카드사, 카드번호, 카드유효기간, 카드비밀번호, 생년월일, 은행 계좌정보, 신용카드 정보 등 (비회원 예매) 성명, 법정생년월일(6자리), 연락처, 비밀번호 등 멤버십 카드 발급 이력서 성명, 아이디, 비밀번호, 생년월일, 성별, 연락처, 주소 등 사진, 성명(한글, 한자), 주민등록번호, 주소, 연락처, 주소, 학력사항, 성적, 병역사항, 경력사항, 자격증정보, 면허정보, 어학능력, 가족정보, SNS 주소, 교육이수 정보, 해외연수 및 해외경험 등 민원 자동차 부동산 회원가입 민원신청 구매 계약서 아이디, 비밀번호, 성명(법인명), 주민등록번호, 외국인등록번호, 법인번호, 주소, 연락처, 주소 아이디, 성명(법인명), 주민등록번호, 외국인등록번호, 법인번호, 주소, 연락처, 성명, 주민등록번호, 상호, 사업자번호, 주소, 연락처, 주소 등 소재지, 토지면적, 지목, 건물면적, 구조, 전세부분, 전세금, 계약금, 중도금, 환금, 임대인 주소, 임대인 주민등록번호, 임대인 연락처, 임대인 성명, 임차인 주소, 임차인 주민등록번호, 임차인 연락처, 임차인 성명, 중개업자 소재지, 중개업자 허가번호, 중개업자 상호, 중개업자 대표 성명 2. 자동으로 생성되는 개인정보 자동으로 생성되는 개인정보(자동수집정보, P2)란 인터넷, 공공기관(행정서비스), 스마트 기기 (스마트폰, 사물인터넷 기기) 등과 관련하여 다양한 서비스를 제공받는 과정 또는 그의 결과 자동으로 생성되거나 수집되는 개인정보를 말한다

105 (1) 인터넷 환경 PC 및 스마트폰 상에서 자동으로 생성되어 수집될 수 있는 개인정보는 [표 4-2]에서 보는 바와 같다. [표 4-2] 인터넷 환경에서의 자동수집정보 구분 PC 및 스마트폰 항목 기기정보 : 하드웨어 모델, 운영체제 버전, 고유 기기 식별자, 모바일 네트 워크 정보(전화번호 포함) 등 로그 정보 : 검색어, 서비스 이용시간/이용기록(전화번호, 발신자 번호, 착신전환 번호, 통화 일시, 통화 시간, SMS 라우팅 정보 및 통화 유형 포함), 인터넷 프로토콜 주소, 브라우저 유형 및 언어, 요청 날짜 및 시간, 참조 URL 등 쿠키정보 : 방문한 서비스 정보, 서비스 접속 시간 및 빈도 위치 정보 : IP주소, GPS 주소 고유한 애플리케이션 번호(번호 및 운영체제 종류, 애플리케이션 버전 번호 등 설치 관련 정보) 사진, 동영상, 음성, 문서, 일정, 이동통신사 정보, 방화벽 설정 정보, 백신 프로그램 사용 정보 등 사물인터넷 서비스 정보(아이디/비밀번호 등) (2) 공공기관 및 행정 분야 의료, 교육, 병역, 금융 등의 공공기관 및 행정 분야에서 자동으로 생성되어 수집될 수 있는 개인정보는 [표 4-3]에서 보는 바와 같다. [표 4-3] 공공기관 및 행정 분야에서의 자동수집정보 구분 의료정보 항목 진료정보(진료기록-진단명, 진료기관명, 진료과목, 주치의명, 진료날짜 및 기간, 입퇴원 일자, 소견서 등), 신체정보(키, 몸무게, 혈액형) 장애정보(장애여부, 장애명, 장애유형, 장애등록일) 약물테스트 정보(약물복용 여부, 이상약물반응 여부 등)

106 구분 교육정보 병역정보 법적정보 소득정보 항목 생활기록부 및 건강기록부, 시험성적, 등록금납부이력 정보, 도서대출 정보, 장학금수혜내역 정보, 자격증 정보, 표창기록 및 수상정보 등 병역정보(입대일, 제대일, 부대, 계급, 복무기간, 주특기번호 등), 병역처분 정보(처분사유, 입영연기 및 면제사실) 등 교통단속 정보, 과태료 부과 정보, 범죄 및 수사기록 정보, 운전면허 발급 및 취소 정보 등 소득정보(종류 및 총액), 재산 및 채무 정보 등 금융정보 계좌번호, 계좌비밀번호, 카드번호, 카드비밀번호, 보안카드 번호, 계좌잔액, 거래내역(주거래은행, 거래 날짜 및 시간, 거래금액 및 이체금액 등), 포인트 적립 및 사용내역, 현금서비스 사용유무, 공인인증서, 인증문자 등 신용정보 부동산 정보 재산정보 기타정보 납세 및 과세정보, 신용등급, 연체기록(카드, 공과금 등), 대출정보(대출기간, 대출금액, 대출이자율) 등 소유 건물 및 토지 정보 등 보험정보(보험사명, 보험기간, 보험종목, 보험가입금액 등), 주식정보(소유주 식수, 주식보유명 등) 등 전기/가스/수도 사용량 및 요금, 민원정보(민원 신청 및 처리 정보) (3) 사물인터넷 사물인터넷은 네트워크를 기반으로 모든 사물이 연결되어 정보를 주고받으며 사람과 사물, 사물과 사물 간의 상호 소통이 가능한 지능형 기술 및 서비스로 대표적인 홈/가전, 의료, 자동차, 에너지 분야의 기기에 대해 조사하였다. 1 스마트 홈/가전(Smart Home/Appliance) 스마트 홈/가전은 유 무선 네트워크를 기반으로 스마트 가전이 홈 게이트웨이에 연결되어 다양한 서비스를 제공받을 수 있는 환경으로 대표적인 기기에는 스마트 TV, 스마트 냉장고, 스마트 청소기가 있다. 스마트 TV는 기존의 TV와 달리 인터넷을 기반으로 기기에서 검색, 블로그

107 및 SNS 활동 등 다양한 서비스를 이용할 수 있다. 또한, 스마트폰과 연동하여 스마트폰에 저장된 사진 및 동영상을 TV 화면에서 볼 수 있으며, 음성인식으로 TV 제어가 가능하다. 스마트 냉장고는 스마트폰과 연동되어 소비자가 구입하는 물품에 대한 리스트 및 유통기한 정보의 저장이 가능하며, 냉장고에 탑재되어 있는 스크린을 통해 각종 요리 레시피를 제공해준다. 또한, 소비자는 간편하게 식재료를 주문하여 구입할 수 있으며, 이외에도 날씨, 뉴스, 메모 등의 다양한 기능을 제공한다. 스마트 청소기는 음성인식을 통해 원격제어가 가능하며, 청소기 내에 내장되어 있는 영상인식 기술로 집 구조 및 장애물의 위치 파악 등이 가능하다. 이러한 스마트 TV/냉장고/세탁기에서 자동으로 생성되어 수집될 수 있는 개인정보는 [표 4-4]에서 보는 바와 같다. [표 4-4] 스마트 TV/냉장고/세탁기에서의 자동수집정보 구분 스마트 TV 스마트 냉장고 스마트 청소기 항목 기기 정보(모델명, 일련번호), IP주소, 운영체제 정보(종류 및 버전), 시청정 보(실시간 방송채널 및 VOD 시청 이력), 검색기록, 로그기록, APP 사용 내 역, 사물인터넷 서비스 계정 정보 등 기기 정보(모델명, 일련번호), IP주소, 운영체제 정보(종류 및 버전), 일정정 보, 필터정보 및 절전모드 사용 정보, 식재료 구입 목록(식재료 구매일자, 유통기한), 저장된 식재료 리스트 및 저장 위치정보, 메모, 사물인터넷 서비 스 계정 정보 등 기기 정보(모델명, 일련번호), IP주소, 운영체제 정보(종류 및 버전), 청소시 간 예약설정 정보, 기기장애 이력 정보, 청소 이력 정보, 사물인터넷 서비스 계정 정보 등 2 스마트 헬스케어(Smart Health Care) 의료 분야의 대표적인 서비스 중 스마트 헬스케어에서의 제품으로는 휴대형, 부착형, 이식/복용형 기기 등이 있다. 휴대형은 스마트폰과 같이 휴대하는 형태의 제품으로 안경 및 시계, 팔찌 형태의 기기가 있으며, 부착형은 패치(patch)와 같이 피부에 직접 부착할 수 있는 형태이며, 이식/복용형은

108 인체에 직접 이식하거나 복용할 수 있게 연결된 기기를 말한다. 44) 이러한 기기에서 자동으로 생성되어 수집될 수 있는 개인정보는 [표 4-5]에서 보는 바와 같다. [표 4-5] 스마트 헬스케어 기기에서의 자동수집정보 휴대형 구분 밴드 의류 항목 기기 정보(모델명, 일련번호), 칼로리 소모량/섭취량, 영양성분, 심박동수, 활동량 및 강도, 이동거리, 기상시간/취침시간, 사물인터 넷 서비스 계정 정보 등 기기 정보(모델명, 일련번호), 심박동수 및 발한정도, 심전도, 호흡, 운동량 측정 정보, 사물인터넷 서비스 계정 정보 등 부착형 기기 정보(모델명, 일련번호), 심전도, 심박동수, 심장질환 정보, 사물 인터넷 서비스 계정 정보 등 이식/ 복용형 알약 이식칩 기기 정보(모델명, 일련번호), 악물 투여 및 복용 여부 정보, 사물인 터넷 서비스 계정 정보 등 기기 정보(모델명, 일련번호), 혈당 정보, 의료진 정보, 사물인터넷 서비스 계정 정보 등 3 스마트 자동차(Smart Car) 사물인터넷 자동차 분야의 대표적인 서비스인 스마트 카는 기존 자동차 기술에 전기 전자, 정보통신, 지능제어 기술을 접목하여 자동차의 내 외부 상황을 실시간으로 인식함으로써 운전자에게 서비스를 제공해준다. 45) 이러한 스마트 카에서 자동으로 생성되어 수집될 수 있는 개인정보는 [표 4-6]에서 보는 바와 같다. [표 4-6] 스마트 카에서의 자동수집정보 구분 스마트 카 항목 자동차 암호화 설정 정보, 위치정보, 주행일자, 주행거리, 운행시간, 평균 속도, 최고속도, 자동차 상태 정보(소모품 교환(점검), 배터리전압/냉각수 온도/자동변속기오일온도/엔진오일온도,이상시간, 타이어 공기압, 연비, 시 동 ON/OFF, 안전벨트 사용), 고장 코드, 사물인터넷 서비스 계정 정보 등 44) 한국보건산업진흥원, 헬스케어 웨어러블 디바이스의 동향과 전망, ) 국토교통부, 교통안전혁신과 신시장창출을 위한 스마트카 상용화 기반 구축 방안,

109 4 스마트 그리드(Smart Grid) 스마트그리드는 기존의 전력망에 ICT 기술을 접목하여 전력생산 및 소비정보를 실시간 교환함으로써 전력의 안정적이고 효율적인 공급 및 관리가 가능한 전력망으로 대표적인 기기로 스마트 미터(Smart Meter)가 있다. 스마트 미터는 사용자의 전력 사용량을 실시간으로 계측하며, 통신망을 통한 계랑 정보 제공으로 가격 정보에 대응하여 사용자의 전력 사용량을 제어해주는 디지털 전자식 계량기이다. 이러한 스마트 미터에서 자동으로 생성되어 수집될 수 있는 개인정보는 [표 4-7]에서 보는 바와 같다. [표 4-7] 스마트 미터에서의 자동수집정보 구분 스마트 미터 항목 기기 정보(모델명, 일련번호), 전력사용 및 상태, 부하 및 장치 제어 정보, 고객번호, 전력 사용량 및 요금, 관리번호, 수용가 번호, 스마트 미터 고장 정보, 사물인터넷 서비스 계정 정보 등 3. 가공 재생산된 개인정보 가공 재생산된 개인정보(가공 재생산 정보, P3)란 앞서 조사한 P1, P2, P1+P2, P1+P2+(P3) 46) 을 기반으로 가공 재생산하여 분석한 개인정보를 말한다. 본 연구에서는 [표 4-8]에서 보는 바와 같이 가공 재생산된 개인정보 항목을 도출하였으며, 공공 및 민간 영역에서 다양하게 생성될 수 있다. [표 4-8] 가공 재생산 정보 구분 항목 공공영역 도서대출 현황, 전기/가스/수도 사용현황, 진료인원(지역별, 연령별), 유행 성 질병의 위험도(지역별, 연령별), 연령대별 발생 가능한 질병정보, 교육 환경, 도서 대출 현황, 직업선택 영향요인 및 선호하는 직업(연령별, 학력 별, 성별), 연령별 성별 보험 통계, 업종별 추정매출 및 평점, 토지 및 건 46) P1 + P2 + (P3) 의 의미는 정보주체 제공정보(P1), 자동수집정보(P2), 또 다른 가공 재생산 정 보를 결합(+)하는 것을 말한다. 이 정보는 빅데이터 분석, 통계분석 등을 위한 자료로 활용된다

110 구분 항목 물 등의 부동산 임대시세, 의사의 진료 현황 민간영역 질병여부 및 건강상태, 유전질병 발병 가능성, 질병(전염병, 유행성 질병) 에 대한 관심도 및 인식 상태, 근무태도(출퇴근 시간 및 근무시간), 조직 내에서의 호칭 및 명칭, 직원들과의 관계, 학창시절 교우관계, 진로 계획, 주로 이용하는 도서관 정보, 매달 잔고의 흐름, 교통수단이용 행태, 인터 넷 이용 패턴, 생활 패턴(수면량, TV 시청량, 운동량, 식사량 등), 운전패 턴(운전스타일, 차량사용시간대), 소비행태, 애인유무, 성적취향, 이상형, 심리상태, 스트레스 정도, 외국어 구사 능력, 자주 사용하는 아이디/비밀 번호, 관심 및 선호하는 분야(음악, TV 채널, 연예인, 영화, 책, 게임, 색깔, 스포츠종류 및 팀, 스포츠 선수, 음식, 인용구, 종교관, 정치관), 구입하려 고하는 물품, 성격, 가족(부모, 형제자매, 조부모, 친척 등)과의 관계 등 이러한 가공 재생산된 정보는 특정 개인의 과거 또는 현재의 상황이나 상태를 나타낼 수 있으며, 개인을 식별할 수 있는 모든 개인정보가 될 수 있다. 또한, 개인과의 관련성 및 다른 정보와의 결합을 통해 형태나 종류 또는 특성 등이 일정한 기준에 의해 제한받지 않으며, 모든 종류 및 형태의 개인정보가 될 수 있다

111 제5장 개인정보 2차 피해 제1절 개인정보 2차 피해 개요 개인정보 2차 피해란 (그림 5-1)에서 보는 바와 같이 개인정보 오남용 유출에 의한 개인정보를 불법적으로 악용하여 정보주체 및 제3자에게 정신적 피해, 금전적 피해, 신체적 피해 등을 가한 경우를 말하며, 이뿐만 아니라 이후 발생한 모든 피해를 포함하여 2차 피해로 정의한다. 본 장에서는 개인정보 2차 피해를 유발하는 유형을 분류하여 피해절차를 기반으로 분석을 수행하고, 개인정보 항목별 위험도를 평가한다. (그림 5-1) 개인정보 2차 피해 제2절 개인정보 2차 피해 유형 개인정보 2차 피해를 유발시킬 수 있는 유형을 보이스피싱, 스미싱, 파밍, 큐싱, 명의도용으로 분류하였으며, 각각의 유형에 따른 피해 사례를 조사하였다

112 1. 보이스피싱(Voice Phishing) 47) (1) 대출금 편취 사례 1 (그림 5-2) 보이스피싱을 통한 대출금 편취 사례 1의 절차 (그힌 5-2)와 같이 은행을 사칭한 범죄자는 피해자에게 저금리 대출로 전환이 가능하다며 고금리 대출 실적을 쌓으라는 전화를 하였다. 피해자들은 금융사에서 유출된 개인정보의 정보주체들로 모두 은행 거래실적이 없어 고금리 대출을 받아야 했던 사람들이었다. 또한, 범죄자가 자신의 개인 및 대출 정보를 정확하게 알고 은행 직원을 사칭하였기에 사기를 당할 수밖에 없었다. 이후 피해자는 대부업체를 통해 추가 대출을 받았으며, 범죄자는 상환을 도와주겠다며 자신들의 대포통장으로 돈을 입금하도록 유도하였다. 범죄자는 돈이 입금되면 10분 내로 인출하였으며, 이를 통해 피해자 10여 명은 3,700여만 원의 피해를 입었다. 48) 47) 보이스피싱이란 음성(voice)' + '개인정보(private data)' + 낚시(fishing)'를 합성한 신조어로 신원확인이 어려운 음성 통화를 이용하여 개인정보나 금융정보를 요구하거나 송금을 요구하는 수법이다. 피해가 알려짐에 따라 피해자들의 신뢰를 얻기 위해 발신번호를 검찰 경찰과 같은 수 사기관이나 은행과 같은 금융기관, 우체국과 같은 공공기관 전화번호로 변작하여 해당기관을 사 칭하면서 금전을 편취하거나 자녀납치, 사고빙자 등 피해자 환경의 약점을 노려 금전을 편취하는 수법 등으로 발전하고 있다. 48) 아이티투데이, 개인정보 유출 첫 2차 피해 발생

113 (2) 대출금 편취 사례 2 (그림 5-3) 보이스피싱을 통한 대출금 편취 사례 2의 절차 (그림 5-3)과 같이 은행을 사칭한 범죄자는 피해자에게 전화를 하여 주민등록번호, 계좌번호, 주소를 말하면서 본인 확인을 하였다. 또한, 범죄자는 기대출 외에 대출이 가능하다며, 추가로 대출을 받으면 고금리 통장 개설이 가능하다고 피해자를 속였다. 이후 피해자는 타사 카드론을 통해 1,300만 원을 대출받았으며, 범죄자의 대포통장 계좌에 입금해 피해를 입었다. 49) (3) 금품 편취 사례 1 (그림 5-4) 보이스피싱을 통한 금품 편취 사례 1의 절차 49) 개인정보유출 2차피해 의심사례 속출... 대책 강구해야

114 (그림 5-4)와 같이 은행을 사칭한 범죄자는 피해자에게 저금리 전환대출을 해준다며 전화를 하였다. 피해자는 범죄자가 신용등급부터 신용평점, 신용조회 건수, 대출 정보를 전부 알고 있어 별 의심 없이 속임을 당하였다. 또한, 범죄자는 피해자에게 신용등급을 올려야 대출이 가능하기 때문에 기대출금을 일시상환 해야 하고, 대출을 받기 위해 보증서를 발급받아야 하는데 신용조회 건수가 많기 때문에 이를 처리하려면 비용이 든다는 등의 이유로 돈을 요구하여 피해자는 총 6,500만 원의 피해를 입었다. (4) 금품 편취 사례 2 (그림 5-5) 보이스피싱을 통한 금품 편취 사례 2의 절차 (그림 5-5)와 같이 은행 직원을 사칭한 범죄자가 피해자의 성명, 주민등록번호, 주소, 연락처를 먼저 말하면서 본인 맞으시죠? 지금 어떤 사람이 고객님 신분증과 통장을 갖고 예금을 인출하러 왔는데 대리인 보낸 것 맞나요?, 경찰에 신고했더니 낌새가 이상한 걸 눈치 채고 도망쳤다 고 말했다. 잠시 후 보유한 카드종류, 결제계좌, 전세 사는 것까지 알고 있는 수사관을 사칭한 범죄자가 피해자에게 전화를 걸어 신분증이 위조를 당한 것 같다며 검찰청에서 출국금지, 체포영장 팩스가 왔다고 담당검사가 전화를 한다고 하였다. 잠시 후 검사를 사칭한 범죄자가 금융다단계 사기사건에 피해자 명의 통장이 연루돼 당장 구속하겠다며 호통 및 협박을 하고, 협조만 잘하면 하루 만에 조사가 끝나고 도주차단, 자금출처 조사, 임시자산동결을 위해 돈을 요구하였다. 이후 피해자는 범죄자의 대포통장으로 3,347만 원을 입금하여

115 피해를 입었다. 50) 2. 스미싱(Smishing) 51) (그림 5-6) 스미싱을 통한 앱 카드 발급 사례의 절차 (그림 5-6)과 같이 중국에서 스미싱 등 신용금융사기 범죄의 조직원으로 활동하는 범죄자는 세월호 사고현장 동영상보기 등의 사회적 이슈를 이용하여 스마트폰 사용자들에게 무작위 스미싱(악성코드 포함) 문자를 전송하였다. 이를 통해 범죄자는 공인인증서 및 본인확인 인증문자를 탈취하여 피해자들 명의로 앱 카드를 발급받았으며, 인터넷 쇼핑몰에서 약 1억 3,400만 원(피해자 108명) 상당의 모바일 상품권을 결제하였다. 범죄자는 결제한 모바일상품권을 인터넷 중고장터 및 상품권 전문 매매업자 등을 통해 정상가 보다 15% 가량 싼 가격에 처분하여 현금화하였다. 이 사건은 모바일결제 어플리케이션들이 카드를 등록할 때 카드번호를 몰라도 공인인증서와 인증문자만 있으면 앱 카드를 발급해준다는 허점을 노려 범행한 것으로 밝혀졌다. 또한, 인터넷 쇼핑몰에서 타인의 아이디로 결제를 하였으며, VPN 서비스를 이용하여 마치 국내에서 결제한 것처럼 접속지역을 숨긴 것으로 확인되었다. 52) 50) 세종이코노미, CCTV NEWS, 개인정보유출 2차 피해 의심사례 속출 ) 스미싱이란 문자메시지(SMS)와 피싱(Phishing)의 합성어로 이용자가 문자메시지에 포함된 인터넷주소 (URL)를 클릭하면 이용자의 스마트폰에 악성앱 및 악성코드가 설치되어 이용자도 모르는 사이에 소액결제 피해가 발생하거나 이용자의 개인 금융 정보 등을 탈취하는 수법이다 52) 서울지방경찰청브리핑, 앱카드 명의도용 결제 사기사건 수사결과,

116 3. 파밍(Pharming) 53) (1) 공인인증서 탈취 및 금품 편취 사례 (그림 5-7) 파밍을 통한 공인인증서 탈취 및 금품 편취 사례의 절차 (그림 5-7)과 같이 범죄자는 보안이 취약한 피해자의 PC에 악성코드를 감염시켜 저장되어 있는 총 37,175건의 공인인증서를 탈취하고, 피해자들이 포털사이트나 인터넷뱅킹 접속 시 각 은행별 파밍 사이트로 유도하여 보안카드번호 등 금융정보를 추가로 입력받아 총 198명의 금융정보를 탈취였다. 탈취한 개인정보를 악용하여 인터넷뱅킹으로 피해자 12명의 금융계좌에서 대포통장 계좌로 2억 원 상당의 돈을 이체하였다. 54) 53) 파밍이란 악성코드에 감염된 PC를 조작하여 이용자가 인터넷 즐겨찾기 또는 포털사이트 검색을 통하여 금융회사 등의 정상적인 홈페이지 주소로 접속하여도 피싱(가짜)사이트로 유도되어 범죄 자가 개인 금융 정보 등을 몰래 빼가는 수법이다. 54) 경찰청, 파밍수법, 공인인증서 대량 인출조직 적발,

117 (2) 공인인증서 재발급 및 금품 편취 사례 1 (그림 5-8) 파밍을 통한 공인인증서 재발급 및 금품 편취 사례 1의 절차 (그림 5-8)과 같이 피해자는 자신이 사용하는 PC로 인터넷 포털 사이트 검색을 통해 은행 사이트에 접속하였으나, 동 은행을 가장한 파밍 사이트로 접속되었다. 접속 후 인터넷뱅킹에 필요한 정보를 입력하는 팝업창이 나타나 개인정보(주민등록번호 등) 및 금융정보(계좌번호, 계좌비밀번호, 보안 카드번호 전체 등)를 입력하였다. 범죄자는 피해자가 입력한 개인정보를 악용하여 피해자 명의의 공인인증서를 재발급 받았으며, 인터넷뱅킹으로 피해자의 계좌에서 2,000만 원을 인출하였다

118 (2) 공인인증서 재발급 및 금품 편취 사례 2 (그림 5-9) 파밍을 통한 공인인증서 재발급 및 금품 편취 사례 2의 절차 (그림 5-9)와 같이 피해자는 자신이 사용하는 PC로 인터넷 주소 즐겨찾기를 이용하여 은행 사이트에 접속하였으나, 동 은행을 가장한 파밍 사이트로 접속이 되었다. 접속 후 인터넷뱅킹에 필요한 정보를 입력하는 팝업창이 나타나 개인정보(주민등록번호 등) 및 금융정보(계좌번호, 계좌비밀번호, 보안카드번호 전체 등)를 입력하였다. 범죄자는 피해자가 입력한 개인정보를 악용하여 피해자 명의의 공인인증서를 재발급 받았으며, 인터넷뱅킹으로 피해자의 계좌에서 5,000만 원을 인출하였다

119 4. 큐싱(Qshing) 55) (그림 5-10) 큐싱을 통한 금품 편취 사례의 절차 (그림 5-10)과 같이 피해자는 스마트뱅킹을 이용하던 중 보안프로그램 강화를 위해 앱을 설치하라 는 악성 앱 설치 유도 메시지를 받아 해당 앱을 설치하였다. 이후 QR 코드 인식을 통해 보안카드 전 후면 정보를 제공하였다. 범죄자는 악성 앱과 QR 코드를 통해 탈취한 개인정보 및 보안카드 정보를 이용하여 대포통장 계좌로 피해자의 예금을 이체하였으며, 피해자는 170만 원의 피해를 입었다. 56) 55) 큐싱이란 QR코드와 피싱(Phishing)의 합성어로 QR코드에 악성 애플리케이션을 삽입 시켜서 이 용자들에게 다운로드를 유도함으로써 스마트폰을 감염시키는 신종 사기수법이다. 56) 노컷뉴스, 스마트폰 악성 앱 통해 소액결제 피해... 큐싱 사기 주의

120 5. 명의 도용 (1) 소액대출 사례 (그림 5-11) 명의도용을 통한 소액대출 사례의 절차 (그림 5-11)과 같이 범죄자는 법무법인 사무장으로 근무하던 직원으로 파산신청을 위해 사무실을 찾은 채무불이행자 80명의 인감을 도용해 은행으로부터 1억 6,000만 원을 대출받았다. 범죄자는 소액대출에 특별한 담보가 필요 없다는 점을 악용해 파산신청자들의 명의 서류를 은행에 제출하고 1인당 평균 200만 원을 대출받았다. 57) 57) KBS NEWS, 법무법인 사무장, 파산신청 의뢰인 명의 도용해 억대 대출

121 (2) 차량렌트 사례 (그림 5-12) 명의도용을 통한 차량렌트 사례의 절차 (그림 5-12)와 같이 피해자는 지갑 속에 든 운전면허증을 분실하였는데 당분간 운전할 일이 없어 운전면허증에 대해서 조치를 취하지 않았다. 분실한 운전면허증을 습득한 청소년은 렌트카 대여업체에서 운전면허증을 도용하여 차량을 빌리고, 주택가 주차장에 세워진 차를 들이받은 뒤 주차장 출입차단시설을 부수고 달아났다. 또한, 주차장 인근 길가에 세워진 전동휠체어를 들이받는 바람에 옆에서 폐지를 모으던 70대 노인이 이 휠체어에 부딪혀 전치 2주의 상처를 입었다. 이와 같이 개인정보 유출에 따른 명의도용으로 인해 정보주체뿐만 아니라 제3자도 피해를 입을 수 있다. 58) 58) 뉴스 zum, 타인 면허증 도용 렌트카 빌려 사고내고 달아난 무면허 10대

122 (3) 대포폰 불법 개통 사례 (그림 5-13) 명의도용을 통한 대포폰 불법 개통 사례의 절차 (그림 5-13)과 같이 범죄자들은 서울과 울산 등 5곳에 알뜰폰 통신사 판매 대리점(업체)을 개설하고, 개인정보 판매상으로부터 외국인 개인정보를 구매하여 확보하였다. 구매한 개인정보는 국내로 입국하는 여행객 및 근로자들의 여권 사본이나 외국인등록으로 중국 소재 여행사에서 수집된 개인정보였으며, 중국 소재 여행사는 이렇게 제공 받은 개인정보를 개인정보 판매상에게 개당 1만 ~ 4만 원에 판매한 것이다. 또한, 범죄자들은 대형 통신사가 아닌 알뜰폰 업체의 경우 가입자 본인확인 절차가 엄격하지 않다는 점을 노렸으며, 한 사람 명의로 최대 50대까지 휴대폰을 개통하였다. 개통한 대포폰은 SNS나 인터넷 사이트에 글을 올리거나 유흥업소 인근에 전단을 배포하는 방식으로 홍보를 하였으며, 구매 의사를 밝혀 온 사람들에게 대당 15만~25만 원에 판매하였다. 이렇게 판매된 대포폰 상당수는 사채업 유흥업 종사자들에게 판매되거나 보이스피싱이나 사채업, 성매매, 도박 등 각종 범죄에 이용되었다. 59) 59) 머니투데이 뉴스, 외국인 명의 대포폰 8000여대 팔아 10억 원 챙긴 일당

123 (4) 신분위장 사례 (그림 5-14) 명의도용을 통한 신분위장 사례의 절차 (그림 5-14)와 같이 피해자의 지갑을 주운 범죄자는 피해자 주민등록증으로 30년간 피해자로 신분을 위장하여 살아왔다. 범죄자는 30년간 마약, 절도, 폭행, 강도 등 범죄를 일삼았고, 피해자 명의로 된 차량구매, 범죄, 휴대폰 개통 등으로 각종 범칙금과 요금미납으로 피해자에게 신용불량자금 체납자 등의 물질적, 정신적 피해를 입혔다. 60) 60) 궁금한 이야기Y' 부산 명문대 학생 김춘삼씨, 자신도 모르는 사이 마약ㆍ절도ㆍ폭행 전과 혐의...왜?!

124 (5) 임야 매물 및 매입 사례 (그림 5-15) 명의도용을 통한 임야 매물 및 매입 사례의 절차 (그림 5-15)와 같이 범죄자는 부동산등기부등본을 열람하면 임야 소유자의 주민등록번호 앞자리 번호와 성명이 표시된다는 점을 이용하여 임야 소유자의 개인정보를 취득하였다. 이를 통해 범죄자는 임야 소유자의 성명과 주민등록번호 앞자리 번호가 적힌 가짜 운전면허증을 만들어 부동산 중개업자에게 임야를 팔아달라고 요청하였다. 이후 임야를 매입하려고 하는 피해자가 나타나자 범죄자는 40억 원짜리 임야를 22억 원에 급매하겠다고 속여 피해자는 계약금 3억 원의 피해를 입었다. 61) 61) 경향신문, 40억 토지 소유자 사칭 매매계약금 3웍원 꿀꺽

125 (6) 가짜 명품 밀수 사례 (그림 5-16) 명의도용을 통한 가짜 명품 밀수 사례의 절차 (그림 5-16)과 같이 범죄자(가짜 명품 위조업자)는 가짜 명품을 제작한 후 구매한 개인정보를 악용하여 운송장에 기재한 뒤 범죄자(택배 대리점주)를 통해 실제로는 판매업자에게 배송되도록 하였다. 이렇게 악용된 개인정보를 통해 개인이 직접 구매한 것처럼 하여 4개월 간 약 3만 5,000여 점(시가 447억 원)의 물품을 밀수하였다. 유출된 개인정보 1만 6,000여 건은 은행 및 카드사 등에서 유출된 것일 가능성이 있다고 보고 있다. 62) (7) I-PIN 부정발급 사례 (그림 5-17) 명의도용을 통한 I-PIN 부정발급 사례의 절차 (그림 5-17)과 같이 범죄자(해커)는 중국어로 된 SW를 사용한 서버를 연결하여 국내 IP 주소 변조를 통해 공공 I-PIN 센터를 해킹하였다. 이후 62) MBC NEWS, 유출된 개인정보로 가짜 명품 밀수해온 일당 적발

126 유출된 개인정보(성명, 주민등록번호)를 입력하여 I-PIN 75만 2,130개를 부정 발급받았다. 개인이 공공 I-PIN을 발급받으려면 공인인증서를 통해 본인인증을 거쳐야하는데, 범죄자는 이 과정이 정상적으로 이뤄진 것으로 시스템이 오인하도록 파라미터(매개변수) 값을 변조하여 본인인증 절차를 우회하였다. 이렇게 발급된 I-PIN 중 약 12만 개는 게임업체 사이트에서 사용되었으며, 신규 회원가입 및 이용자 계정 찾기 변경 수정 등에 쓰였다. 63) (8) 불법 스팸광고 전송 사례 (그림 5-18) 명의도용을 통한 불법 스팸광고 전송 사례의 절차 (그림 5-18)과 같이 범죄자는 각종 웹 사이트에서 유출된 아이디, 비밀번호, 성명, 주민등록번호 등 2500만 여명의 개인정보 약 1만 건을 불법으로 구매한 뒤 악성프로그램을 사용하여 종합 포털 사이트 이용자의 아이디와 비밀번호를 추출하였다. 악성프로그램은 아이디와 비밀번호를 입력하면, 동일한 아이디 및 비밀번호를 사용하는 사용자 계정을 자동으로 추출해주는 프로그램이다. 이를 통해 추출한 아이디 및 비밀번호를 도용하여 각종 카페에 가입하였으며, 카페 회원들에게 불법 스팸광고 쪽지를 대량으로 발송하였다. 64) 63) 중앙일보, 아이핀도 뚫렸다... 75만 개 부정발급

127 (9) 영화예매 사례 (그림 5-19) 명의도용을 통한 영화예매 사례의 절차 (그림 5-19)와 같이 범죄자는 불법으로 사들인 인터넷 게임 사이트의 아이디와 비밀번호를 도용하여 신용카드사 홈페이지에서도 똑같은 아이디와 비밀번호를 사용하는 피해자들의 카드 정보를 알아내었다. 이를 통해 범죄자는 영화 예매 사이트에 접속하여 영화표 1,000여 장을 예매한 뒤 싼값에 되팔았으며, 피해자들은 900만 원의 피해를 입었다. 이는 영화 예매 시 본인인증 절차를 강화한 안전결제시스템을 갖추지 않았던 것으로 확인되었다. 65) 6. 향후 발생 가능한 2차 피해 앞서 살펴본 바와 같이 이미 발생되었거나 알려진 2차 피해는 주로 정보주체 제공정보(P1)에 해당하는 개인정보 항목을 범죄자들이 악용하여 발생되었음을 알 수 있었다. 그러나 이와 같이 범죄자들에 의한 피해뿐만 아니라 피해대상 및 환경 등이 지능화된 피해의 발생 가능성이 높아질 것으로 예상된다. 예를 들어, 64) 유출된 개인정보 이용 스팸 프로그램 개발자 덜미 ) YTN, 신용카드 도용 40대 구속 CGV, 롯데시네마 보안 구멍

128 기관 및 기업의 입장에서 자신들의 사회적 및 경제적 이익을 위해 정보주체 모르게 정보주체의 개인정보를 악용하는 등 다양한 피해가 발생될 수 있다. 또한, 제공정보뿐만 아니라 자동수집정보(P2) 및 가공 재생산된 정보(P3)를 악용한 피해의 발생 가능성이 충분히 존재한다. 이에 향후 발생 가능한 2차 피해 유형에 따라 예상되는 시나리오를 다음과 같이 도출하였다. (1) 시나리오 1 (그림 5-20) 발생 가능한 2차 피해 시나리오(주거 침입)의 절차 범죄자는 정보주체의 인적정보(주소, 가족 구성원 정보), 사물인터넷 기기를 통해 수집된 영상 및 음성 정보, 스마트 헬스케어 정보(기상 및 취침시간), 스마트 미터 정보(전력사용 및 상태정보) 등을 통해 정보주체의 외출시간이나 생활패턴 등을 파악하여 자택 침입의 범죄를 저지를 수 있다. (2) 시나리오 2 (그림 5-21) 발생 가능한 2차 피해 시나리오(보험해지 유도)의 절차

129 보험회사는 정보주체의 인적정보(성명, 나이 등), 의료정보(질병여부 및 병명, 진료기록 등), 보험정보(기간, 종목, 가입금액 등), 스마트 헬스케어 정보(약물 투여 및 복용 정보) 등을 통해 정보주체의 건강상태나 질병의 발생 가능성을 파악하여 기업의 이익을 위해 의도적인 보험해지 유도 및 보험가입 거부의 악의적인 행위를 할 수 있다. (3) 시나리오 3 (그림 5-22) 발생 가능한 2차 피해 시나리오(불법 임상시험)의 절차 병원은 정보주체의 인적정보(성명, 성별, 나이 등), 의료정보(질병여부 및 병명, 스마트 헬스케어 정보 등)를 통해 건강상태를 파악하여 인체실험 및 연구실적을 위해 무료 진료로 위장한 임상시험 등의 악의적인 행위를 할 수 있다. (4) 시나리오 4 (그림 5-23) 발생 가능한 2차 피해 시나리오(거짓 만남 주선)의 절차 결혼대행업체는 정보주체의 인적정보(성명, 성별, 나이, 결혼여부 등), 애인유무, 성적취향, 이상형 등을 파악하여 업체의 이익을 위해 거짓 만남 주선의

130 악의적인 행위를 할 수 있다. (5) 시나리오 5 (그림 5-24) 발생 가능한 2차 피해 시나리오(불법 스팸광고 전송)의 절차 광고회사는 정보주체의 인적정보(성명, 연락처, 주소 등), 로그 기록 및 쿠키 정보, 인터넷 이용 패턴 등을 파악하여 SMS 및 을 통해 정보주체에게 맞춤형 스팸광고를 전송할 수 있다. 제3절 개인정보 2차 피해 유형 분석 본 절에서는 2차 피해 절차에 따를 대응방안을 기반으로 분석을 수행하고, 앞서 살펴본 유출된 개인정보 항목 빈도수 측정 결과와 2차 피해에 사용된 개인정보 항목별 빈도수 측정 결과를 바탕으로 개인정보 항목별 위험도를 평가하고자 한다. 1. 개인정보 2차 피해 절차에 따른 분석 개인정보 2차 피해 중 이미 발생된 피해만을 기반으로 하여 각각의 피해절차에 따라 대응방안을 도출하여 분석을 수행하였으며, [표 5-1]에서 보는 바와 같다

131 [표 5-1] 2차 피해 분석 결과 피해 절차 대응방안 보이스피싱을 통한 대출금 편취 - (그림 5-2), (그림 5-3) 1. 개인정보 유출 1차 유출 최소화 및 유출통지 강화 - 현행 정책 제도의 체계적 이행을 통해 2차 피해 요인 을 사전에 차단 2. 은행을 사칭한 전화 발신번호 변작 방지 등 제도 운영 강화 - 전기통신사업자의 발신번호 변작 방지를 위한 기술적 조치 이행여부 확인 등 관리감독 강화 - 변작번호로 의심되는 전화 수신 시 신고 의무화 발신번호 식별 앱 등 도구 사용 의무화 제도 도입 - 수신되는 전화번호의 정보를 식별해주는 앱 사용 의무 화(스마트폰에 기본 앱으로 탑재) 3. 개인정보를 악용한 범죄자 에게 속임을 당해 추가 대 출 신청 대출 시 대출절차 강화 - 대출절차가 간편한 대출업체들을 대상으로 대출절차 강 화방안 마련 보이스피싱 대응요령 교육 강화 - 일반 국민 대상 보이스피싱 등에 대한 대응요령 교육 (유인수법, 의심전화 검증방법 및 사후조치 등) 4. 대포통장으로 대출금 입금 대포통장 근절을 위한 기술/제도적 조치 강화 - 의심계좌 탐지 시 신속한 조치 수행(의심계좌 모니터링 시스템, 신속지급정지제도 이용) - 대포통장 발급 등에 대한 단속 및 형벌 강화 - 통장 양도 대여의 불법성 및 위험성에 대한 인식 제고 - 대포통장에 대한 신고 활성화

132 피해 절차 대응방안 보이스피싱을 통한 금품 편취 - (그림 5-4), (그림 5-5) 1. 개인정보 유출 1차 유출 최소화 및 유출통지 강화 - 현행 정책 제도의 체계적 이행을 통해 2차 피해 요인 을 사전에 차단 2. 은행 및 수시기관을 사칭한 전화 발신번호 변작 방지 등 제도 운영 강화 - 전기통신사업자의 발신번호 변작 방지를 위한 기술적 조치 이행여부 확인 등 관리감독 강화 - 변작번호로 의심되는 전화 수신 시 신고 의무화 발신번호 식별 앱 등 도구 사용 의무화 제도 도입 - 수신되는 전화번호의 정보를 식별해주는 앱 사용 의무 화(스마트폰에 기본 앱으로 탑재) 3. 개인정보를 악용한 범죄자 에게 속임을 당함 보이스피싱 대응요령 교육 강화 - 일반 국민 대상 보이스피싱 등에 대한 대응요령 교육 (유인수법, 의심전화 검증방법 및 사후조치 등) 4. 대포통장으로 기대출금 일 시상환 및 신용조회 건수 처리 비용 및 돈 입금 대포통장 근절을 위한 기술/제도적 조치 강화 - 의심계좌 탐지 시 신속한 조치 수행(의심계좌 모니터링 시스템, 신속지급정지제도 이용) - 대포통장 발급 등에 대한 단속 및 형벌 강화 - 통장 양도 대여의 불법성 및 위험성에 대한 인식 제고 - 대포통장에 대한 신고 활성화 스미싱을 통한 앱 카드 발급 - (그림 5-6) 1. 악성 URL이 포함된 무작위 문자 전송 2. URL 클릭 후 악성 앱 설치 3. 개인정보 유출 발신번호 변작 방지 등 제도 운영 강화 - 인터넷 문자 서비스 사업자의 발신번호 사전 등록제 사 용여부 확인 등 관리감독 강화 - 변작번호로 의심되는 문자 수신 시 신고 의무화 발신번호 식별 앱 등 도구 사용 의무화 제도 도입 - 수신되는 전화번호의 정보를 식별해주는 앱 사용 의무 화(스마트폰에 기본 앱으로 탑재) 악성 앱 유포 근절을 위한 단속 강화 - 단속 대상(국내 주요 앱 마켓, 블랙마켓 등) 확대 스마트폰 사용 환경에 대한 안내 강화

133 피해 절차 대응방안 - 안드로이드 버전 업그레이드(앱 권한 설정 기능 신설) 보급 확대 4. 피해자 개인정보 악용하여 앱 카드 발급 앱 카드 발급 시 본인확인 강화 - 공인인증서 외 본인확인 대체 수단 마련 - 본인확인 문자 전송 시 본인확인 강화방안 마련 5. 발급한 앱 카드로 모바일 상품권 구매 앱 카드 사용 시 본인확인 강화 - 비밀번호(앱카드 발급시 설정) 외 대체 수단 마련 파밍을 통한 공인인증서 탈취 및 금품 편취 - (그림5-7) 1. 악성코드 유포 후 공인인증서 탈취 1차 유출 최소화 - PC 보안설정 강화 및백신 프로그램을 통한 주기적인 검 사 실시 공인인증서 발급 시 보안성이 높은 저장매체 사용 2. 접속시도 - 3. 파밍 사이트로 이동 - 4. 개인정보 입력 요구 - 5. 개인정보 입력 2차 피해 예방 교육 강화 - 일반 국민 대상 무분별/무차별적인 개인정보 제공의 위 험성에 대한 인식 제고 6. 개인정보 유출 - 입출금 알림 앱 등 도구 사용 의무화 - 입출금 내역 정보를 알려주는 앱 사용(스마트폰에 기본 앱으로 탑재) 7. 개인정보 악용하여 피해자 예금을 대포통장으로 이체 대포통장 근절을 위한 기술/제도적 조치 강화 - 의심계좌 탐지 시 신속한 조치 수행(의심계좌 모니터링 시스템, 신속지급정지제도 이용) - 대포통장 발급 등에 대한 단속 및 형벌 강화 - 통장 양도 대여의 불법성 및 위험성에 대한 인식 제고 - 대포통장에 대한 신고 활성화

134 피해 절차 대응방안 파밍을 통한 공인인증서 재발급 및 금품 편취 - (그림5-8), (그림 5-9) 1. 포털사이트 검색 및 즐겨 찾기를 통한 접속시도 - 2. 파밍 사이트로 이동 - 3. 개인정보 입력 요구 - 2차 피해 예방 교육 강화 4. 개인정보 입력 - 일반 국민 대상 무분별/무차별적인 개인정보 제공의 위 험성에 대한 인식 제고 5. 개인정보 유출 - 입출금 알림 앱 등 도구 사용 의무화 - 입출금 내역 정보를 알려주는 앱 사용(스마트폰에 기본 앱으로 탑재) 6. 개인정보 악용하여 공인인 증서 재발급 및 피해자 예금 을 대포통장으로 이체 대포통장 근절을 위한 기술/제도적 조치 강화 - 의심계좌 탐지 시 신속한 조치 수행(의심계좌 모니터링 시스템, 신속지급정지제도 이용) - 대포통장 발급 등에 대한 단속 및 형벌 강화 - 통장 양도 대여의 불법성 및 위험성에 대한 인식 제고 - 대포통장에 대한 신고 활성화 명의도용을 통한 소액대출 (그림 5-11) 1. 파산신청 위해 개인정보 제공 - 2. 피해자 명의 도용하여 소액 대출 받음 대출 시 대출절차 강화 - 대출절차가 간편한 대출업체들을 대상으로 대출절차 강 화방안 마련 명의도용을 통한 차량렌트 (그림 5-12) 1. 지갑 분실로 인한 개인정보 유출 2. 운전면허증 도용하여 차량 렌트 3. 주차된 차량 훼손 및 행인 부상 신분증 분실에 따른 대응요령 교육 및 2차 피해예방 홍보 - 일반 국민 대상 신분증 분실 시 대응요령 교육(신고방법 및 사후조치 등) - 개인정보노출자 사고예방시스템, 명의도용방지서비스 사용의 홍보 활동 차량렌트 시 본인확인 강화 - 신분증의 진위여부 확인 시스템 도입 등 본인확인 의무화

135 피해 절차 대응방안 명의도용을 통한 대포폰 불법 개통 (그림 5-13) 1. 개인정보 구매 개인정보 불법유통 차단을 위한 기술/제도적 조치 강화 - 온라인상에 노출된 개인정보 검색 탐지 기능 강화 - 개인정보 불법유통 업자에 대한 단속 및 형벌 강화 - 불법유통 개인정보 신고 활성화 3. 구매한 개인정보로 USIM 개통 4. 대포폰 판매 휴대폰 개통 시 본인확인 강화 - 휴대폰 부정가입방지시스템 도입 의무화 - 외국인 명의로 휴대폰 개통 시 서류심사 및 본인확인 강화 대포폰 근절을 위한 제도적 조치 강화 - 대포폰 개통(휴대폰 가입신청서 위조)에 대한 형벌 강화 - 대포폰 유통에 대한 단속 및 형벌 강화 명의도용을 통한 신분위장 (그림 5-14) 1. 지갑 분실로 인한 개인정보 유출 2. 신분위장을 통해 각종 범죄 범함 3. 각종 범죄, 위반사항 출석 및 조사 요구 신분증 분실에 따른 대응요령 교육 및 2차 피해예방 홍보 - 일반 국민 대상 신분증 분실 시 대응요령 교육(신고방법 및 사후조치 등) - 개인정보노출자 사고예방시스템, 명의도용방지서비스 사용의 홍보 활동 본인확인 부실한 서비스 대상 본인확인 강화 - 신분증의 진위여부 확인 시스템 도입 등 본인확인 의무화 - 명의도용을 통한 임야 매물 및 매입 (그림 5-15) 1. 열람을 통한 개인정보 취득 - 2. 임야 소유자의 개인정보를 악용하여 신분증 위조 후 사칭하여 임야 매물 임야 매물 시 본인확인 강화 - 신분증의 진위여부 확인 시스템 도입 등 본인확인 의무화 3. 임야 매입 요청 - 4. 급매하겠다고 속임

136 피해 절차 대응방안 명의도용을 통한 가짜 명품 밀수 (그림 5-16) 1. 개인정보 유출 2. 개인정보 불법 구매 3. 운송장에 구매한 개인정보 악용 1차 유출 최소화 및 유출통지 강화 - 현행 정책 제도의 체계적 이행을 통해 2차 피해 요인 을 사전에 차단 개인정보 불법유통 차단을 위한 기술/제도적 조치 강화 - 온라인상에 노출된 개인정보 검색 탐지 기능 강화 - 개인정보 불법유통 업자에 대한 단속 및 형벌 강화 - 불법유통 개인정보 신고 활성화 - 4. 가짜 명품 배송 - 명의도용을 통한 I-PIN 부정발급 (그림 5-17) 1. 개인정보 유출 2. I-PIN 부정발급 1차 유출 최소화 및 유출통지 강화 - 현행 정책 제도의 체계적 이행을 통해 2차 피해 요인 을 사전에 차단 악성프로그램에 대한 보안 조치 강화 - 내부 보안 시스템 점검 실시 의무화 - 공공기관 대상 보안 점검 강화 명의도용을 통한 불법 스팸광고 전송 (그림 5-18) 1. 개인정보 유출 2. 개인정보 불법 구매 1차 유출 최소화 및 유출통지 강화 - 현행 정책 제도의 체계적 이행을 통해 2차 피해 요인 을 사전에 차단 개인정보 불법유통 차단을 위한 기술/제도적 조치 강화 - 온라인상에 노출된 개인정보 검색 탐지 기능 강화 - 개인정보 불법유통 업자에 대한 단속 및 형벌 강화 - 불법유통 개인정보 신고 활성화 3. 악성프로그램 사용 - 4. 추출한 사용자 계정으로 가입 및 로그인 후 불법 스팸광고 전송 주기적인 비밀번호 변경 의무화 제도 도입(미변경 시 서 비스 이용 제한) - 일반 국민 대상 주기적인 비밀번호 변경을 위한 홍보 활동

137 피해 절차 대응방안 명의도용을 통한 영화예매 (그림 5-19) 1. 개인정보 구매 2. 구매한 개인정보 악용하여 로그인 시도 3. 로그인 성공시 카드정보 탈취 4. 탈취한 카드정보로 영화표 예매 개인정보 불법유통 차단을 위한 기술/제도적 조치 강화 - 온라인상에 노출된 개인정보 검색 탐지 기능 강화 - 개인정보 불법유통 업자에 대한 단속 및 형벌 강화 - 불법유통 개인정보 신고 활성화 주기적인 비밀번호 변경 의무화 제도 도입(미변경 시 서 비스 이용 제한) - 일반 국민 대상 주기적인 비밀번호 변경을 위한 홍보 활동 1차 유출 최소화 - 개인정보 및 카드정보에 대한 보호 조치 강화 영화 예매 시 본인확인 강화 - 본인확인 절차를 강화한 결제 시스템 도입 의무화 5. 저렴한 가격에 영화표 판매 - 본 절에서 분석한 내용을 통해 다음과 같은 결과를 얻을 수 있다. 첫째, 개인정보 1차 피해로 인한 2차 피해의 대다수는 사용자가 서비스를 이용하는 과정에서 본인확인이 부실하거나 발신번호가 변작되어 발생하였기 때문에 서비스업체 측면에서의 피해 최소화 대책이 필요하다. 둘째, 개인정보 2차 피해에 주로 대포폰 및 대포통장이 사용되었으며, 악성 앱 및 프로그램으로 인한 2차 피해가 증가하고 있기에 이를 근절하기 위한 단속 및 형벌 강화가 필요하다. 셋째, 2차 피해를 최소화하기 위해서는 1차 피해(유출)의 사전 예방이 중요하기 때문에 이와 관련된 개인정보보호 정책 제도 개선이 필요하다. 마지막으로 피해자 즉, 정보주체 부주의로 인해 다양한 2차 피해가 발생되었기에 정보주체 측면에서의 개인정보보호 인식제고와 현행 정책 제도의 실효성 확보를 위한 교육 및 홍보활동이 필요하다. 이에 따라 제6장에서는 이와 같은 결과를 반영하여 2차 피해 최소화 방안을 제시하고자 한다

138 2. 개인정보 항목별 위험도 평가 (1) 개인정보 2차 피해에 사용된 개인정보 항목 빈도수 측정 개인정보 항목별 위험도 평가에 앞서 2차 피해 유형에서 사용된 개인정보 항목의 빈도수를 측정하였으며, 측정 결과는 (그림 5-25)에서 보는 바와 같다. (그림 5-25) 2차 피해에 사용된 개인정보 항목 빈도수

139 빈도수 측정은 본 연구에서 조사한 실제 피해를 기반으로 하였으며, 보고서에 작성된 피해 외에 실제 피해를 반영한다면 개인정보 항목 빈도수는 더 많을 수 있다. 또한, 빈도수 측정 결과 성명이 가장 많은 빈도수를 보였으며, 주민등록번호, 계좌번호, 주소, 계좌비밀번호 및 공인인증서 순으로 빈도수가 많음을 알 수 있었다. (2) 개인정보 항목별 위험도 평가 개인정보 항목별 위험도 평가에 앞서 2차 피해에 사용된 개인정보가 유출로 인해 발생한 것인지의 유출 여부 및 유출 경로를 추적하는 데는 한계가 있다. 그러나 개인정보 유출의 빈도수가 많을수록 해당 개인정보로 인한 2차 피해 발생 가능성이 높고, 2차 피해에 사용된 개인정보의 빈도수가 많을수록 유사 2차 피해의 발생 가능성이 높다고 할 수 있다. 따라서 개인정보 항목별 위험도는 유출된 개인정보 항목 빈도수와 2차 피해에 사용된 개인정보 항목 빈도수와 연관이 있다고 할 수 있다. 이에 본 연구에서는 개인정보 항목별 위험도를 [표 5-2]에서 보는 바와 같이 측정된 빈도수들을 기반으로 개인정보 항목을 개인정보 유형에 따라 분류하고, 유형에 해당하는 개인정보 항목의 개수와 빈도수의 합을 통해 상, 중, 하로 평가하였다. [표 5-2] 개인정보 항목별 위험도 평가 결과 개인정보 유출 개인정보 2차 피해 구분 개인정보 항목 항목 수 (빈도수) 개인정보 항목 항목 수 (빈도수) 위험도 성명, 주민등록번호, 인적 정보 성명, 주민등록번호, 생년월일, 성별, 연락처, 주소, 직장정보, 졸업학교, 여권, 의사면허번호, 결혼여부, 아이디, 비밀번호 13개 (110) 나이, 연락처, 주거형태, 주소, 직업, 직장명, 운전면허증, 외국인등록증, 공인인증서, 여권, 신분증, 인감증명서, 아이디, 비밀번호 16개 (50) 상

140 개인정보 유출 개인정보 2차 피해 구분 개인정보 항목 항목 수 (빈도수) 개인정보 항목 항목 수 (빈도수) 위험도 카드정보, 계좌번호, 금융 정보 카드정보, 계좌번호, 카드이용실적정보, 결제계좌 및 결제일, 신용정보 5개 (8) 계좌 비밀번호, 대출정보, 신용조회 건수, 신용평점, 신용등급 보안카드 번호, 8개 (22) 중 통신 정보 통화내용, 주소 2개 (16) 인증문자 1개 (2) 재산 정보 차량보유여부 1개 (1) 임야면적 1개 (1) 하 기타 회원가입일, 군사정보 2개 (2) 개인정보 항목별 위험도 평가 결과, 개인정보 항목의 유출 빈도수가 많고, 2차 피해에 사용된 빈도수가 많을수록 개인정보 항목의 위험도가 높다는 것을 알 수 있었다. 또한, 앞서 살펴본 2차 피해는 주로 유출된 개인정보 내에 정보주체를 식별하거나 파악이 가능한 개인정보가 포함되어 있음을 알 수 있었다. 따라서 정보주체를 쉽게 식별할 수 있는 개인정보일수록 위험도가 높으며, 정보주체를 식별하기 어려운 개인정보일수록 위험도가 상대적으로 낮다는 결과를 얻을 수 있다

141 제6장 개인정보 2차 피해 최소화 방안 본 장에서는 현행 정책 제도 개선의 시급성 및 필요성에 대해 살펴보고, 선행 연구 및 분석 내용을 바탕으로 네 가지 측면에서의 2차 피해 최소화 방안을 제시하고자 한다. 제1절 현행 정책 제도 개선의 시급성 및 필요성 첫째, 2014년 개인정보보호 수준 실태조사 보고서 66) 에 따르면 정보통신망법 적용 대상 사업자가 가장 많이 사용하고 있는 본인확인 수단은 (그림 6-1)에서 보는 바와 같이 휴대폰이며, 본인확인 수단이 없는 사업자가 무려 23.4%로 나타났다. (그림 6-1) 사용하고 있는 본인확인 수단 출처 : 방송통신위원회, 한국인터넷진흥원, 개인정보보호 수준 실태조사 보고서, 이는 전반적으로 홈페이지 방문자 수가 많고 규모가 클수록 다양한 본인확인 수단을 사용하고 있는 반면, 홈페이지 방문자 수가 499명 이하 사업자 및 소기업은 본인확인 수단을 사용하지 않는 비율이 상대적으로 높은 것으로 나타났다. 그러나 2차 피해 분석 결과, 본인확인이 부실한 서비스가 다수 66) 방송통신위원회, 한국인터넷진흥원, 개인정보보호 수준 실태조사 보고서(기업부문),

142 존재함을 알 수 있었다. 예를 들어, 앱 카드 발급 및 영화예매 등의 온라인 서비스뿐만 아니라 휴대폰 개통 및 대출 진행 등의 오프라인 서비스 등이 다양한 서비스를 제공하는 과정에서 본인확인이 부실하여 2차 피해가 발생되었다. 또한, 앞서 살펴본 바와 같이 보이스피싱 및 스미싱 관련 2차 피해는 주로 발신번호가 변작되어 발생되었음을 알 수 있었다. 이에 국내에서는 전기통신사업법을 개정( 시행)하여 발신번호에 대한 변작 을 불법으로 규정하여 조치하도록 하였다. 법 개정과 함께 발신번호 변작 방지를 위한 기술적 조치의 이행여부를 확인하기 위해 1차례의 현장점검이 수행되었다. 그러나 이후 주기적인 현장점검이 이루어지지 않았으며, 아울러 비용 및 기술적인 한계로 조치를 취하지 않는 통신사업자가 다수 생겨나 이러한 허점을 이용하여 피해가 발생되고 있다. 이 밖에 금감원은 대포통장 근절을 위해 예금계좌 개설절차 등에 대한 내부통제 및 의심계좌에 대한 모니터링 강화 등의 대책을 마련하였으나 수년째 거래 없이 방치 중인 미사용 및 휴먼계좌가 대포통장으로 연결됨에 따라 각종 범죄에 대포통장이 사용되고 있다. 따라서 온 오프라인 서비스업체 측면에서 현행 정책 제도 개선 및 활성화 등 2차 피해를 최소화하기 위해 다양한 대책을 마련하여야 한다. 둘째, 국내 전자금융거래법에 따라 통장 양도 및 매매를 통해 대포통장 명의인으로 등록된 경우, 금융 거래가 제한이 되며, 3년 이하의 징역 또는 2천만 원 이하의 벌금에 해당하는 형벌을 받게 된다. 또한, 전기통신사업법에 따라 자금 제공, 융통 조건으로 타인 명의 휴대폰을 개통하여 이용하거나 이를 알선 중개 권유 광고하는 행위에 대해서는 3년 이하의 징역 또는 1억 원 이하의 벌금에 해당하는 형벌을 받게 된다. 반면, 미국에서는 대포통장 및 대포폰을 범죄 등에 이용할 경우 최고 30년 징역 선고 등 무거운 형벌을 규정하고 있는데 국내의 집행유예 및 벌금 선고는 미국과 확연한 차이를 보이고 있다. 67) 이러한 형벌 규정과 함께 각종 강력범죄, 금융범죄 등에 악용되고 있는 대포물건에 대해 단속을 전개하고 있음에도 불구하고, 2차 피해에 대포통장 및 67) 조선일보, 대포폰 대포통장 美 선 징역 30년, 한국은 벌금형

143 대포폰 등의 사용이 끊이질 않고 있다. 또한, 대포물건 외에 악성 앱으로 인한 2차 피해도 증가되고 있는 추세이기에 대포통장 및 대포폰, 악성 앱 유포 등 개인정보 2차 피해를 유발하는 행위에 대한 형벌 및 단속을 강화하여야 한다. 셋째, 개인정보 2차 피해를 최소화하기 위해서는 1차 피해의 사전 예방이 이루어져야 하며, 이에 개인정보보호 관련 정책 제도 개선이 필요하다. 먼저 앞서 살펴본 바와 같이 유출된 개인정보는 피싱, 스미싱 등 각종 범죄에 악용됨으로써 실제 2차 피해로 이어지고 있음을 알 수 있었다. 이에 개인정보 유출 시 유출된 개인정보로 정보주체 식별 및 특징 파악이 불가능하도록 개인정보를 보호하여야 한다. 따라서 개인정보를 처리함에 있어 개인정보의 안전성을 확보하기 위한 대책이 마련되어야 한다. 또한, 현재 보호법 및 정보통신망법에 의해 유출통지 및 신고 제도가 존재하지만 정보주체 입장에서는 관련 제도와 무관하게 2차 피해가 발생되고 있다. 유출 사고 시 정보주체가 인지하지 못하는 경우가 대다수이며, 피해가 발생하기 전까지는 조치를 취하지 못하는 경우도 많다. 따라서 개인정보 안전성 확보와 함께 유출 사고에 대한 피해 대응 및 확산 방지가 이루어질 수 있도록 개선방안이 마련되어야 한다. 이 외에 다양한 2차 피해가 발생하는 과정에서 스마트폰이 주로 사용되었는데 사용자들은 스마트폰 사용 환경이 안전하다고 판단하여 보안 도구를 사용하지 않거나, 이에 대해 인지하지 못하는 경우가 많다. 이에 스마트폰 사용 환경에 있어 개인정보보호를 위한 제도 개선과 더불어 미래 신ICT 기술 및 서비스의 등장과 신산업의 발전에 따른 개인정보보호를 위해 대책이 마련되어야 한다. 넷째, 이와 같이 다양한 정책 제도에도 불구하고, 국민(정보주체)들이 제대로 이해하지 못한다면 정책 제도의 효과가 나타나기 어려울 것이다. 따라서 추진하는 정책 제도를 국민에게 전달하여 정책 제도의 실효성 확보를 위해 다양한 교육 및 홍보 활동을 강화하여야 한다

144 제2절 2차 피해 최소화 방안 제시 1. 서비스업체 측면에서의 정책 제도 개선방안 검토 (1) 본인확인 강화 다양한 온 오프라인 서비스 상에 본인확인이 부실한 서비스가 다수 존재함을 알 수 있었다. 이에 첫째, 대포폰의 생성을 차단하기 위해 통신사에 휴대폰 부정가입방지시스템 도입을 의무화하고, 외국인 명의로 휴대폰 개통 시에는 서류심사 절차 및 본인확인을 강화한다. 둘째, 제2금융권 및 제3금융권에서 대출 진행 시 제1금융권과 동일한 방식으로 본인확인을 하고, 대출명의자에게 대출의사 및 대출사유 등을 추가로 확인한 후 대출을 진행하도록 의무화한다. 셋째, 일본의 경우 은행 자동화기기에 손바닥이나 손가락 정맥으로 본인확인을 하는 장치가 설치되어 보이스피싱 피해 사례가 국내보다 훨씬 적었으며, 호주 은행의 경우는 모바일뱅킹으로 1천 달러 이상을 송금할 때 음성인증을 거치도록 하여 금융범죄를 예방하고 있다. 68) 생체인식 기술이 적용된다면, 금융서비스의 편의성을 높일 수 있으며, 타인 명의의 통장에서 돈을 인출하기 어렵기 때문에 개인정보 2차 피해를 예방할 수 있을 것이다. 이와 같이 국내 금융사에서도 은행 자동화기기에 지문, 정맥, 홍채 등을 활용하고, 온라인뱅킹으로 일정 금액 이상 금융거래 시 지문 및 음성 인증을 활용하는 등 본인확인을 강화한다. 넷째, 오프라인 서비스업체들은 신분증 검사기 및 감별기 등 신분증의 진위여부를 확인하는 시스템 도입을 의무화한다. 반면, 이러한 시스템 도입이 어려운 서비스 업체 및 민간 사업자의 경우는 전화( 1382) 및 홈페이지(민원 24)를 통해 신분증 정보(성명, 주민등록번호, 발급일자 등)의 진위여부를 68) MIDAS, 홍채 은성 결제 생체인증 시대 활짝

145 반드시 확인한 후 서비스를 제공할 수 있도록 의무화한다. 다섯째, 온라인 서비스업체들은 생체정보(지문, 음성, 홍채 등)를 활용한 본인확인 등 기존에 사용하는 비밀번호를 대체하기 위한 수단을 마련하여야 한다. 더불어 앞에서 측정한 빈도수 결과, 상위 5개 항목에 해당하는 공인인증서 발급 시 보안성이 높은 저장매체의 사용을 의무화하는 제도의 도입과 공인인증서 외에 본인확인을 대체할 수단을 마련하는 방안을 고려해 볼 만하다. (2) 발신번호 변작 대응 강화 최근 보이스피싱에 대한 예방 및 주의가 강화됨에 따라 범죄자들은 전화번호를 변작하여 은행, 검찰 등의 공공기관을 사칭하는 등 피해자들을 현혹시키고 있다. 이에 첫째, 전기통신사업법 개정에 따라 전기통신사업자 및 인터넷 문자 서비스 사업자를 대상으로 주기적인 현장점검과 점검 대상의 범위를 확대하는 등 관리 감독을 강화한다. 이를 통해 승인서류 없이 특정인에 대해 수차례 발신번호를 변경해주는 등과 같은 허점이 발생하지 않도록 한다. 이 외에 비용 및 기술적인 한계가 있는 통신사업자들을 대상으로 예산지원을 고려해 볼 만하다. 둘째, 현재 한국인터넷진흥원에서는 대국민 변작번호 신고접수센터 69) 를 구축 운영하고 있는데 이는 신고자가 발신번호가 변작된 것으로 의심되는 번호를 신고할 경우, 발신번호의 경로를 추적하여 변작한 자의 통신서비스 이용을 정지한다. 따라서 이러한 제도의 활성화를 위해 신고자가 신고한 번호가 변작번호일 경우, 신고자에게 포상금을 지급하는 등 포상 제도를 운영한다. (3) 대포통장 대응 강화 첫째, 미국의 경우, 모든 금융사들은 2008년부터 FDS(Fraud Detection System) 70) 를 필수 적용하여 운영하고 있으며, 무엇보다 사용자가 번거롭지 69) 한국인터넷진흥원, KISA 보호나라(

146 않으면서도 금융거래를 보호할 수 있다는 점에서 FDS에 적극 투자하고 있다. 71) 예를 들어, FDS는 폰뱅킹 장기 미사용 계좌가 부활되거나 공인인증서 재발급 이후 이체 거래가 진행될 경우 가동되어 사용자들의 금융거래를 보호할 수 있다. 그러나 국내의 경우는 아직 자율적으로 FDS를 도입하고 있어 구축 실적이 미흡한 실정이다. 따라서 국내 모든 금융사가 FDS 도입 및 운영을 의무화하도록 하고, 이상금융거래 탐지 시 신속 지급정지제도를 활용함으로써 대포통장에 대한 식별 능력을 높여 2차 피해를 최소화할 수 있도록 한다. 이를 위해 전문조직 및 인력 강화와 함께 금융사간 우수사례와 시행착오 및 문제점 등을 신속히 전파하여 공유할 수 있도록 공유채널을 확보해야 한다. 더불어 FDS의 도입 및 효과적인 운영을 위한 공통기준 마련을 고려해 볼 만하다. 둘째, 금감원의 브리핑 자료 72) 에 따르면 [표 6-1]에서 보는 바와 같이 대다수 선진국에서는 이미 재래식(종이) 통장 발행이 사라졌음을 알 수 있다. [표 6-1] 주요국의 종이통장 발행 현황 구분 은 행 보 험 증 권 미국 미발행(1990년대~) 미발행 미발행 영국 미발행(2000년대~) 미발행 미발행 독일 미발행 미발행 미발행 일본 발 행 미발행 미발행 중국 요청 시 발행(2010년대~) 미발행 미발행 출처 : 금융감독원, 통장기반 금융거래 관행 등 혁신방안, 미국, 영국, 독일 등은 금융거래 시 종이통장을 발행하지 않고 있으며, 미국은 1990년대, 영국은 2000년대, 독일의 경우 오래전부터 미발행을 추진하고 있다. 다만 일부 저축은행(미국), 일부 주택대부조합(영국), 저소득층 장려예금(독일) 등 예외적으로 종이통장을 발행하고 있다. 일본은 은행거래 시 종이통장을 발행하고 있으나, 인터넷거래 증가로 종이통장 발행이 감소 추세이며, 중국은 70) FDS는 전자금융거래 접속정보, 거래내역 등을 종합 분석하여 이상금융거래를 탐지 차단하는 시스 템을 말한다. 71) KB금융지주경영연구소, KB 지식 비타민 : 국내외 금융권의 정보보안 최근 동향과 전망, ) 금융감독원, 통장기반 금융거래 관행 등 혁신방안,

147 직불카드(Debit Card)를 우선적으로 발행하되 고객이 요청하는 경우 종이통장을 발행하는 등 발행비율이 약 20%정도이다. 이와 같이 금감원에서도 2017년까지 종이통장 발급을 단계적으로 축소하여 폐지하겠다는 정책을 발표하였다. 이에 따라 금융사에서는 종이통장 미 발행 고객을 대상으로 인센티브를 부여하거나 종이통장 미 발행 금융상품을 확대하는 등 다양한 방안을 제시하고 있다. 73) 따라서 금융사들이 다양한 인센티브 부여제도를 마련하고, 종이통장을 발행하지 않는 금융상품을 적극 출시하도록 함과 동시에 사용자들이 자연스럽게 무통장 거래에 익숙해질 수 있는 여건을 조성하도록 한다. 2. 형벌 및 단속 강화 대포통장 및 대포폰, 악성 앱 유포 등 개인정보 2차 피해를 유발하는 행위에 대한 형벌과 단속을 강화하여 개인정보보호 제도와 문화가 사회에 정착될 수 있도록 해야 한다. 이에 첫째, 대포통장 및 대포폰을 차단하기 위해 국외와 같이 이에 대한 형벌을 강화한다. 둘째, 대포통장 및 대포폰 유통에 대한 단속 대상(범위)을 인터넷 벼룩시장, 페이스북 및 트위터 등의 SNS로 확대하고, 악성 앱 유포지에 대한 단속 대상을 해외 全 블랙마켓, 인터넷 카페 및 블로그, P2P 사이트 등으로 확대하여 단속의 사각지대를 해소한다. 3. 개인정보보호 관련 정책 제도 개선방안 (1) 개인정보 관리의 개선방안 첫째, 개인정보 유출로 인한 피해를 예방하기 위해 보호법 시행령이 개정( 시행)되어, 주민등록번호를 처리하는 모든 기관 및 사업자들을 73) ZDNet Korea, 2020년 8월까지 종이통장 발급 폐지

148 대상으로 주민등록번호의 암호화 조치가 의무화되었다. 개정안은 기관 및 사업자들이 전자적 방법으로 주민등록번호를 보관할 경우 암호화를 적용하도록 하였으며, 100만 명 미만의 주민등록번호를 보관할 경우는 2017년 1월 1일까지, 100만 명 이상인 경우는 2018년 1월 1일까지 암호화 조치를 완료하도록 하였다. 이는 주민등록번호 보관 규모별로 암호화에 따른 시스템 개선과 안전성 확보 필요기간 및 소요비용 등을 충분히 고려한 것이며, 관련 이해관계자와 전문가들의 의견을 수렴하여 마련된 것으로 주민등록번호 보호를 더욱 강화하고자 하는 취지이다. 74) 이에 따라 모든 기관 및 사업자들은 완료시기 전까지 주민등록번호 암호화 조치를 이행해야 하지만 완료시기 이후 암호화 조치를 이행하지 않는 기관 및 사업자가 생겨날 수 있다. 따라서 기관 및 사업자들을 대상으로 암호화 조치 여부나 안전한 암호화 방식 사용 여부 등을 파악하기 위해 주기적인 실태조사를 통한 관리 감독이 이루어져야 한다. 둘째, 정보통신망법 및 보호법에 의해 개인정보의 안전성 확보를 위한 기술적 관리적 보호조치 등의 세부기준이 제공되고 있다. 정보통신망법에 근거한 기준은 정보통신서비스제공자가 적용하여야 하고, 보호법에 근거한 기준은 공공과 민간 모두를 포괄하고 있다. 그러나 양 기준 모두 개인정보의 보유건수 및 중요성과 무관하게 모든 처리자가 준수해야 할 기준을 제공하고 있다. 또한, 양 기준이 중복되어 모두 준수 가능한 사업자에게는 무리가 없을 수 있으나, 소규모 사업자의 경우 포괄적으로 일관된 기준을 적용하여 준수하기에는 어려움이 따를 수 있고 업무상의 부담이 과중될 수 있다. 따라서 준수해야 할 기준에 대한 대상을 명확하게 구분하여 적용할 수 있도록 한다. 예를 들어, 소규모의 개인정보처리시스템을 운영하거나 중요하지 않은 개인정보를 처리하는 사업자의 경우에는 최소한의 기술적인 조치만 취하도록 하고, 이후 관리적인 조치를 통해 안전성을 확보하도록 하는 대책이 있을 수 있다. 셋째, 보호법 제31조 제1항에 따라 처리자는 개인정보 처리에 관한 업무를 총괄해서 책임질 책임자를 지정하여야 하며, 같은법 시행령 제32조 제2항에서ss 책임자의 지정요건에 대해 규정하고 있다. 그러나 이는 직급으로 책임자의 지정요건을 규정하고 있을 뿐 전문성에 대한 자격기준을 규정하고 있지는 않다. 74) 행정자치부 보도자료, 이제부터 주민등록번호 보관 시 반드시 암호화 해야!,

149 따라서 책임자의 경력 학력 또는 관련 자격증의 보유여부 등 전문성을 판단하는 명확한 자격기준을 규정하여 전문성을 확보하도록 한다. (2) 개인정보 유출통지 및 신고 제도의 개선 첫째, 현재 보호법은 유출 사고 발생 시 피해의 확산 및 확대를 신속하게 방지하기 위하여 선 보호조치 후 결과보고를 하도록 하고 있으며, 처리자들이 보고에 필요한 조치를 준비하기 위해 개인정보보호지침에 의하여 5일간의 신고유예기간을 주고 있다. 그러나 이와 같은 선조치 후 보고를 악용하여 책임을 회피하기 위한 구실을 마련하는데 시간을 보내는 사업자들이 생겨날 수 있다. 따라서 [표 6-2]에서 보는 바와 같이 보호법을 개정하여 개인정보 유출통지 및 신고 제도를 강화하여야 한다. [표 6-2] 개인정보보호법 개정안 현행 개정안 제34조(개인정보 유출 통지 등) 1 개인정 보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에 게 다음 각 호의 사실을 알려야 한다. 1. 유출된 개인정보의 항목 2. 유출된 시점과 그 경위 3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 4. 개인정보처리자의 대응조치 및 피해 구제절차 5. 정보주체에게 피해가 발생한 경우 신 고 등을 접수할 수 있는 담당부서 및 연락처 2 개인정보처리자는 개인정보가 유출된 경 우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다. 제34조(개인정보 유출 통지 등) 1 개인정 보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에 게 다음 각 호의 사실을 알려야 한다. 1. 유출된 개인정보의 항목 2. 유출된 시점과 그 경위 3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 4. 개인정보처리자의 대응조치 및 피해 구제절차 5. 정보주체에게 피해가 발생한 경우 신 고 등을 접수할 수 있는 담당부서 및 연락처 2 개인정보처리자는 개인정보가 유출된 경 우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 하며, 행정자치부장관의 요구가 있는 경우 조

150 현행 3 개인정보처리자는 대통령령으로 정한 규 모 이상의 개인정보가 유출된 경우에는 제1항에 따른 통지 및 제2항에 따른 조 치 결과를 지체 없이 행정자치부장관 또 는 대통령령으로 정하는 전문기관에 신 고하여야 한다. 이 경우 행정자치부장관 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기 술을 지원할 수 있다. 4 제1항에 따른 통지의 시기, 방법 및 절 차 등에 관하여 필요한 사항은 대통령 령으로 정한다. 개정안 치결과를 제출하여야 한다. 3 개인정보처리자는 대통령령으로 정한 규 모 이상의 개인정보가 유출된 경우에는 제1항 각 호의 모든 사항을 24시간 내 에 행정자치부장관 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 행정자치부장관 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다. 4 제1항 및 제3항에 따른 통지 및 신고의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다. 먼저 처리자는 유출 사고가 발생한 경우 전문기관에 24시간 내에 신고하고, 사고조사 및 조치가 동시에 이루어지도록 한다. 이때 있는 사실만을 그대로 신고하고, 확인되지 아니한 사항에 대해서는 추후 신고할 수 있게 함으로써 피해예방 및 확산 방지를 소홀히 하지 못하도록 한다. 또한, 보호법 제34조 제3항에서 처리자는 대통령령으로 정한 규모 이상(1만 명)의 개인정보가 유출된 경우에 제1항에 따른 통지 및 제2항에 따른 조치 결과를 지체 없이 행자부장관 또는 대통령령으로 정하는 전문기관에 신고하도록 하고 있으나 1만 명 이하의 유출에 대해서는 신고의무를 규정하고 있지 않다. 이에 1만 명 이하의 유출에 대해서는 정부가 관련 정보를 알아야 할 필요가 있을 수 있으므로 행자부장관이 요구한 경우에 조치 결과를 제출하도록 한다. 둘째, (그림 6-2)에서 보는 바와 같이 전문기관은 처리자가 신고한 개인정보 유출 정보를 기반으로 DB를 운영하여 유출된 개인정보를 분석한다. 이를 통해 정보주체의 위험성을 평가하여 처리자에게 정보를 제공하고, 정보를 제공받은 처리자는 정보주체별로 2차 피해 예방안내 및 강제조치를 수행한다. 2차 피해의 위험성이 낮은 정보주체를 대상으로는 2차 피해에 노출될 수 있으므로 사전 안내를 통해 위험성을 인지하도록 하고, 위험성이 높은 정보주체를 대상으로는 강제적으로 조치를 수행함으로써 처리자의 역할을 강화하도록 한다

151 (그림 6-2) 개인정보 유출 정보 분석 및 평가 예를 들어, 위험성이 낮은 정보주체를 대상으로는 일정기간 내에 자발적으로 비밀번호를 변경하도록 안내하고, 일정기간 내에 변경하지 않을 시 강제적으로 부여하거나 변경한다. 반면, 위험성이 높은 정보주체를 대상으로는 임시 비밀번호를 강제적으로 부여하거나 변경하는 등의 조치를 수행한다. 또한, 이러한 제도를 마련하기 위해서는 유출된 개인정보의 수집 이용 제공에 대한 정보주체의 동의가 필요하다. 따라서 이와 관련된 조항의 추가가 요구될 수 있을 것이며, 보다 적극적인 기능을 수행 할 수 있도록 정보보호 관련 국가 및 민간 기관들과의 협력이 필요하다. 마지막으로 금융 통신 분야의 기관 및 사업자들이 유출된 개인정보 DB와 자사 DB를 대조하여 자사 DB에 유출된 개인정보가 있다면, 해당 정보주체의 휴대폰 및 계좌이용 현황을 파악할 수 있도록 DB 공유를 고려해 볼 만하다. (3) 스마트폰 사용 환경에 있어 개인정보보호를 위한 제도 개선 스마트폰을 통해 발생되는 2차 피해를 예방하고 최소화하기 위해 스마트폰이 안전하지 않다는 가정하에 기본 사양에 모든 보안기능을 설정하여 출고하도록 하고, 사용자가 추후에 상시변경 가능하도록 해야 한다. 예를 들어, 발신번호에

152 대한 정보를 제공해주는 앱 및 입출금 내역을 알려주는 앱 등을 기본으로 탑재하는 방법이 있을 수 있다. 이처럼 보안기능 및 도구 사용을 의무화하는 제도를 도입하는 등 스마트폰 사용 환경에 대한 개선이 필요하다. 더불어 사용자들이 스마트폰 사용 환경에 대해 명확히 인지할 수 있도록 구체적인 안내 및 가이드라인을 마련한다. (4) 의견서 제시 추진 앞서 살펴본 바와 같이 EU WP29에서는 개인정보보호 관련법 체계에 맞춘 사물인터넷 관련 가이드라인 제공에 앞서 사물인터넷 환경에서 개인정보보호 위협 요소를 살펴보기 위한 의견서를 발표하였다. 이와 같이 국내에서도 신 ICT 기술 및 서비스(사물인터넷 및 무인자동차, 드론 등) 관련 가이드라인을 마련하기 전에 보호위에서 의견서 발표 및 발간을 추진한다면, 개인정보보호에 대한 국가적인 정책방향 및 권고사항을 제시하는 좋은 수단이 될 것이다. 4. 교육 및 홍보 강화 개인정보 오남용 유출로 인한 2차 피해의 피해자는 전국민이 될 수 있으며, 피해 예방 및 최소화를 위해서는 정책 제도의 실효성 확보와 함께 전국민의 인식과 참여가 우선되어야 한다. 따라서 다음과 같이 대국민 인식 전환을 위한 교육 및 정책 제도의 홍보 활동이 필요하다. (1) 교육 활동 첫째, 2차 피해에 대한 관심을 유발하기 위해 동영상, 웹툰, 애니메이션, 2차 피해 사례집 등의 형태로 2차 피해 사전 예방 및 사후 대응에 대한 교육자료를 마련한다. 이를 교과과정 운영 75) 시에 활용하고, 초 중 고교 교육과정에 75) 제2차(2015년~2017년) 개인정보보호 기본계획(안)에 따르면 초 중 고교 교육과정에 개인정 보보호 교육 실시를 위해 정규 교과과정이 운영될 예정이다

153 다양한 교과과정 편성 및 교육 의무화를 통해 유 소년기부터 개인정보보호 의식을 함양 할 수 있도록 한다. 둘째, 보이스피싱의 유인수법, 의심전화 검증방법 및 사후조치 등 보이스피싱 대응요령에 관한 교육을 실시하여 예방하도록 한다. 셋째, 현재 신분증 분실 시에는 오프라인(가까운 관할 관청) 및 온라인(정부민원 포털사이트 민원24)을 통해 신고 가능하나 국민 다수가 신분증 분실 시 즉시 대처를 하지 않는 경우가 많다. 따라서 신분증 분실 시 신고방법 및 사후조치 등에 관한 교육을 실시하여 신속한 대처를 할 수 있도록 한다. 넷째, 무분별 무차별적인 개인정보 제공에 따른 위험성과 통장 양도 대여의 불법성에 대한 인식 제고를 위한 교육을 실시한다. 이를 통해 발생되는 2차 피해의 위험성을 인지하고, 피해를 예방할 수 있도록 신중하게 확인하는 자세를 갖추도록 한다. (2) 홍보 활동 리플릿, 팝업 및 배너, 전광판 등을 활용하여 다음과 같은 내용의 언론광고 및 지자체 홍보를 실시한다. 입출금 알림 앱 및 발신번호 식별 앱 등의 도구 사용 2차 피해 예방을 돕는 명의도용 방지서비스 및 개인정보노출자 사고예방 시스템 76) 등의 사용 한국인터넷진흥원의 대국민 변작번호 신고접수센터 (변작번호 신고) 금감원의 대포통장 신고전용사이트 (대포통장 신고) 한국인터넷진흥원의 국민신고센터, 금감원의 개인정보 불법유통 신고 센터 (개인정보 불법유통 신고) 주기적인 비밀번호 변경 실천화 공인인증서 발급 시 보안성이 높은 저장매체의 사용 76) 개인정보노출자 사고예방시스템이란 은행 및 금감원에 본인의 개인정보가 노출되었다는 것을 알 리는 서비스로 신청자의 개인정보가 전산 등록되어 은행, 증권사, 보험사, 카드사, 우체국 등 모 든 금융기관에 실시간으로 정보가 공유되어 명의도용으로부터 개인정보를 지킬 수 있다. 만약, 개인정보 노출자 신고를 한 정보주체의 명의로 새로운 금융거래가 이루어진 경우에는 영업점 모 니터에 개인정보 노출자 임이 표시돼 거래 신청자의 본인 여부를 다시 확인하게 된다

154 제7장 결론 본 보고서는 개인정보 오남용 유출에 따라 발생 할 수 있는 다양한 유형의 2차 피해를 예방하고 최소화하기 위한 방안을 제시하는 것을 목적으로 하였다. 이를 위해 연구에서는 첫째, 개인정보보호 관련 국내/외 정책 제도 현황과 개인정보 오남용 유출 사례에 대해 분석하였다. 둘째, 개인정보를 개인정보처리자의 처리방법으로 분류하였으며, 이에 해당하는 다양한 개인정보 항목을 조사하였다. 셋째, 이러한 개인정보가 오남용 유출되어 발생된 2차 피해를 조사하였으며, 피해 절차에 따른 대응방안을 기반으로 분석을 수행하였다. 또한, 유출된 개인정보 항목 및 2차 피해에 사용된 개인정보 항목의 빈도수를 기반으로 위험도를 평가하였으며, 새롭게 발생 가능한 2차 피해 유형을 도출하였다. 마지막으로 선행 연구를 바탕으로 현행 정책 제도 개선의 시급성 및 필요성과 네 가지 측면에서의 2차 피해 최소화 방안을 제시하였다. 본 연구를 통해 크게 두 가지의 연구 결과를 얻을 수 있었다. 첫째는 2차 피해 조사 및 도출을 통해 개인정보 2차 피해를 유형화하였으며, 그에 따른 개인정보 항목별 위험의 정도를 알 수 있었다. 둘째는 현행 정책 제도 개선의 시급성 및 필요성과 2차 피해 최소화를 위한 정책 제도 개선방안을 제시할 수 있었다. 개인정보는 온 오프라인 상의 서비스와 함께 ICT 산업 등장으로 다양한 분야에서 폭넓게 생성 및 활용되고 있다. 더불어 개인정보 사용의 증가와 함께 개인정보 오남용 유출 사고 또한 빈번하게 발생되고 있어, 국내에서는 개인정보보호와 관련된 법률과 다양한 정책 및 제도가 시행되고 있다. 그러나 오남용 유출된 개인정보는 걷잡을 수 없는 확산력을 가지고 있으며, 이를 악용한 2차 피해가 발생되어 정보주체뿐만 아닌 제3자까지 정신적, 금전적, 신체적 피해 등을 입게 된다. 따라서 개인정보 오남용 유출에 따른 2차 피해 최소화를 위해 본 보고서에 제시한 2차 피해 유형과 정책 제도 개선방안을 바탕으로 피해 예방과 함께 피해를 조금이나마 최소화할 수 있을 것으로 예상할

155 수 있다. 또한, 정부 차원의 정책 제도 개선방안 제시와 함께 전국민 교육 및 홍보 활동을 통해 정책 제도의 실효성을 확보할 수 있을 것이다. 현재 보호법을 비롯하여 다양한 정책 제도가 추진 중이지만 본 보고서에서 조사된 2차 피해 외에 실질적 피해는 더 많을 것으로 판단하여 이러한 피해를 최소화하기 위해 대책 마련이 필요한 상황이었다. 이러한 상황에서 수행된 본 연구는 개인정보 오남용 유출로 발생 가능한 2차 피해 측면의 문제를 검토하고, 피해를 최소화하기 위한 방안을 제시하였다는 점에서 의의가 있다고 할 수 있다. 더불어 증가하고 지능화되는 피해를 예방하고 최소화하면서 다양한 서비스의 활성화를 극대화할 수 있도록 정책 제도를 추진하여야 한다

156 참 고 문 헌 1) 개인정보보호위원회, 개인정보보호 연차보고서, ) 개인정보보호위원회, 개인정보보호 연차보고서, ) 개인정보보호위원회, 개인정보보호 연차보고서, ) kt경제경영연구소 선임연구원, 개인정보보호 관련 규제체계와 주요 이슈, ) 행정안전부, 개인정보보호법령 및 지침 고시 해설, ) KISA, 개인정보보호 포털 개인정보보호소개 7) 방송통신위원회, 한국인터넷진흥원, 정보통신서비스 제공자를 위한 개인정보보호 법령 해설서, ) 한국정보화진흥원, 개인정보보호 트렌드전망, ) 데이터 전문가 지식포털, DB 보안 가이드라인 10) 한국침해사고대응팀협의회, CONCERT Security Consumer Report, ) 행정자치부, 제2차 개인정보 보호 기본계획(15년~17년), ) 관계부처합동, 개인정보보호 정상화 대책, ) 한국정보화진흥원, OECD 프라이버시 프레임워크, ) 정효진, 윤재석, 개정 OECD 프라이버시 가이드라인 주요 내용 및 향후 전망, ) 개인정보보호위원회, 해외 개인정보보호 집행체계 및 개인정보보호 주요 동향조사, ) 권현호, 미국의 개인정보보호 관련 법 정책의 변화와 시사점, ) 방송통신위원회, 개인정보 유출 사고에 따른 개인정보 보호조치 등 개선방안 연구, ) 한국정보화진흥원, 개인정보보호 해외 법제 동향 VOL.6, ) 김일환, 홍석한, 유럽연합의 개인정보보호 집행체계에 관한 연구, ) 한국인터넷진흥원, 개인정보 유출 공격 탐지 방안, ) 금융보안연구원, 정보유출 위협 및 대응방안 연구보고서, ) 행정안전부 개인정보보호과, 홈페이지 개인정보 노출방지 가이드라인, ) 한국정보화진흥원, 개인정보보호 주간동향, ) 한국보건산업진흥원, 헬스케어 웨어러블 디바이스의 동향과 전망, ) 국토교통부, 교통안전혁신과 신시장창출을 위한 스마트카 상용화 기반 구축 방안, ) 서울지방경찰청브리핑, 앱카드 명의도용 결제 사기사건 수사결과, ) 경찰청, 파밍수법, 공인인증서 대량 인출조직 적발, ) 금융위원회, 경찰청, 금융감독원 보이스피싱(파밍) 합동 경보 발령!, ) 방송통신위원회, 한국인터넷진흥원, 개인정보보호 수준 실태조사 보고서(기업부문),

157 30) 금융감독원, 통장기반 금융거래 관행 등 혁신방안, ) 경찰청, 휴대전화 부정가입(대포폰) 방지를 위한 운전면허증 진위확인서비스 시행, ) KB금융지주경영연구소, KB 지식 비타민 : 국내외 금융권의 정보보안 최근 동향과 전망, ) 방송통신위원회, (고시제2015-3호) 개인정보의 기술적 관리적 보호조치 기준(일부개정), ) 방송통신위원회, EU 및 일본의 개인정보보호 법제 및 감독체계 개편내용 분석, ) 프라이버시 정책연구 포럼, 개인정보보호법제 개선을 위한 정책연구보고서, ) 한국인터넷법학회, 개인정보보호법 정비방안 연구, ) 개인정보보호위원회, 스마트기기 보급 확대에 따른 개인정보보호방안 연구, ) 행정자치부 보도자료, 이제부터 주민등록번호 보관 시 반드시 암호화 해야!, ) 미래창조과학부, 한국정보화진흥원, 빅데이터전략센터, 빅데이터 활용을 위한 개인정보 비식별화 기술 활용 안내서, ) 41) The OECD Privacy Framework, OECD, ) 43) 44) 45) 46) 47) 48) 49) 50) 51) 52) 53) 54) 55) 56) 57) 58) 59) -

158 60) 61) 62) 63) 64) 65) 66) 67) -