2022. 12. 5. 개인정보 보호법 일부개정법률안이 국회 정무위원회를 통과했습니다. 본 개정안은 이후 법제사법위원회 체계·자구 심사 등을 거쳐 본회의에 상정될 예정으로, 연내에 본회의를 통과할 가능성이 높을 것으로 예상됩니다.

본 개정안은 2021. 1. 6. 개인정보보호위원회에 의해 입법예고 된 개인정보 보호법 일부개정법률안(“정부안”)을 포함한 21건의 개정 법률안들에 대한 대안으로, (1) 개인정보 전송요구권, 자동화된 결정에 대한 설명요구권 및 거부권 등 정보주체의 권리를 확대하고, (2) 정보통신서비스 제공자 등에 대한 특례를 일반규정으로 일원화하는 한편, (3) 일부 법 위반행위에 대한 형사적 제재를 과징금 혹은 과태료 등의 경제적 제재로 전환하는 대신 과징금 부과 기준을 ‘전체 매출액’ 원칙으로 상향하는 등의 내용을 담고 있는바, 그 주요 내용은 다음과 같습니다.
 
정보주체의 권리 강화
 
본 개정안은 정보주체의 개인정보 통제권을 강화하기 위해 정보주체가 본인에 관한 개인정보를 자신 또는 제3자에게 전송할 것을 요구할 수 있는 권리인 개인정보 전송요구권을 도입했습니다. 전송 의무를 부담하는 개인정보처리자의 범위는 시행령으로 정해질 예정이며, 전송되는 정보를 수신하는 제3자는 안전조치의무를 이행하고 시행령으로 정해질 시설 및 기술 기준을 충족해야 합니다(제35조의2).
 
또한, 본 개정안은 완전히 자동화된 시스템(인공지능 기술을 적용한 시스템을 포함)으로 개인정보를 처리해 이루어지는 결정이 정보주체의 권리 또는 의무에 중대한 영향을 미치는 경우, 해당 결정에 대한 설명을 요구하거나 해당 결정을 거부할 수 있는 대응권을 도입했습니다. 개인정보처리자는 정당한 사유가 없는 한 자동화된 결정의 적용을 배제하거나, 인적 개입에 의한 재처리·설명 등 필요한 조치를 해야 합니다(제37조의2).
 
법체계 일원화: 정보통신서비스 제공자 등에 대한 특례 삭제
 
본 개정안은 정보통신서비스 제공자 등의 특례 규정을 삭제해 ‘개인정보처리자’와 ‘정보통신서비스 제공자 등’에 대해 이원화되어 있는 현행법의 체계를 일원화했습니다. 이에, 일반규정과 유사·중복되는 특례규정은 일반규정으로 통합·정비했고, 특례규정에만 있던 개인정보 이용내역 통지, 손해배상 보장 제도, 국내대리인 지정 제도, 노출된 개인정보 삭제·차단, 국외 이전 개인정보 보호 등은 일반규정으로 전환해 모든 개인정보처리자에게 확대 적용하도록 했습니다. 개인정보 유효기간 제도는 이용자와 기업의 불편함 해소를 위해 삭제했습니다. 또한, 과징금 및 벌칙 규정을 통합하고 과징금 부과 대상을 모든 개인정보처리자로 확대했습니다(제64조의2).
 
형사벌 중심의 제재에서 경제적 제재로의 전환
 
본 개정안은 개인정보 미동의 수집·이용, 개인정보 미파기, 안전조치 불이행에 따른 개인정보 유출 등 일부 법 위반행위에 대한 형사적 제재를 과징금 혹은 과태료 등의 경제적 제재로 전환하는 대신, 과징금 부과 기준을 기존 ‘관련 매출액’에서 ‘전체 매출액’으로 상향했습니다(제64조의2 제1항). 다만, 법 위반행위에 상응하는 비례성 확보를 위해 실제 과징금 산정 시 ‘전체 매출액에서 위반행위와 관련이 없는 매출액을 제외’하도록 했습니다(제64조의2 제2항). 한편, 정당한 사유 없이 매출액 산정자료의 제출을 거부하거나 거짓의 자료를 제출한 경우에는 ‘전체 매출액’을 기준으로 과징금을 산정하되, 해당 개인정보처리자 및 비슷한 규모의 개인정보처리자의 개인정보 보유 규모, 회계자료, 영업현황 자료에 근거해 매출액을 추정할 수 있도록 했습니다(제64조의2 제3항).
 
기타
 

• 개인정보 처리 요건 정비: 본 개정안은 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 ‘정보주체의 요청에 따른 조치를 이행하기 위해 필요한 경우’에는 정보주체의 동의 없이 개인정보를 이용 및 제공할 수 있도록 했고, 명백히 정보주체 또는 제3자의 급박한 생명‧신체‧재산의 이익을 위해 필요하다고 인정되는 경우에는 ‘사전 동의를 받을 수 없는 경우’가 아니더라도 개인정보를 이용 및 제공할 수 있도록 하는 등 동의 없이 개인정보를 처리할 수 있는 사유를 정비했습니다(제15조, 제17조, 제18조). 

• 민감정보의 공개 가능성 고지 의무 도입: 본 개정안은 개인정보처리자가 재화 또는 서비스 제공 시 공개되는 정보에 정보주체에 의해 민감정보가 포함됨으로써 사생활 침해 위험이 있다고 판단하는 때, 그 공개 가능성 및 비공개를 선택하는 방법에 대해 사전 고지하도록 했습니다(제23조 제3항).

• 이동형 영상정보처리기기의 운영에 대한 규정 마련: 본 개정안은 드론, 자율주행차 등 이동형 영상정보처리기기에 대한 설치·운영 기준을 마련했습니다. 특히, 업무를 목적으로 공개된 장소에서 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하는 것을 원칙적으로 금지하되, 불빛, 소리, 안내판 등으로 촬영 사실을 명확히 표시해 정보주체가 촬영 사실을 알 수 있도록 했음에도 불구하고 촬영 거부 의사를 밝히지 않는 등 일정한 경우에는 예외적으로 촬영을 허용했습니다(제25조의2).

• 개인정보의 국외이전 방식 다양화 및 중지 명령권 신설: 본 개정안은 개인정보처리자가 정보주체로부터 별도의 동의를 받은 경우 외에도, 개인정보보호위원회가 적정한 개인정보 보호 수준을 갖추었다고 인정하는 국가 또는 국제기구로 이전하는 경우 등에는 개인정보를 국외로 제공·처리위탁·보관할 수 있도록 해, 국외이전 요건을 다양화 했습니다(제28조의8). 나아가, 정보주체에게 피해가 발생하거나 발생할 우려가 현저한 경우 등에는 개인정보보호위원회가 국외 이전 중지 명령을 할 수 있도록 했습니다(제28조의9).

• 개인정보 처리방침에 대한 관리 강화: 본 개정안은 개인정보보호위원회가 개인정보 처리방침에 관해 개선을 권고할 수 있도록 했습니다(제30조의2 제1항). 개인정보처리자는 개선권고를 이행하기 위해 성실하게 노력해야 하고, 그 조치 결과를 개인정보보호위원회에 알려야 하며, 개인정보보호위원회는 그 개선권고의 내용 및 결과에 대해 공표할 수 있게 되었습니다(개인정보 보호법 제61조 제2항, 제66조 제1항).

• 손해배상책임 한도 상향 및 자료제출명령, 비밀유지명령 등 신설: 현행법은 2015. 7. ‘징벌적 손해배상 제도’를 도입해 고의 또는 중대한 과실로 인해 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우 법원이 그 손해액의 3배를 넘지 않는 범위에서 손해배상액을 정할 수 있도록 하고 있는데, 본 개정안은 그 한도를 3배에서 5배로 상향했습니다(제39조 제3항). 또한, 법 위반행위로 인한 손해배상청구소송에서 법원으로 하여금 당사자의 신청에 따라 자료제출 및 제출된 자료에 대한 비밀유지 명령을 할 수 있도록 했습니다(제39조의3, 제39조의4).

• 분쟁조정 참여 의무 대상 확대 등: 본 개정안은 공공기관 뿐 아니라 민간 개인정보처리자도 분쟁조정에 의무적으로 응하도록 했고(제43조 제3항), 분쟁조정위원회에 사실조사권을 부여하여 정당한 사유가 없는 한 개인정보처리자가 분쟁조정위원회에 출입조사, 자료열람 등을 거부할 수 없도록 했습니다(제45조 제2항)

• 조사 거부 등 제재 강화: 본 개정안은 자료제출 또는 조사 거부 등에 대한 과태료를 상향 조정하고(최대 3천만 원, 제75조), 벌칙 조항(2년 이하의 징역 또는 2천만 원 이하의 벌금)을 신설했습니다(제73조).
   

본 개정안이 국회 본회의를 통과하게 될 경우 공포 후 6개월이 경과한 날부터 시행될 예정입니다. 다만, 완전히 자동화된 결정에 대한 설명요구권 및 거부권의 경우 공포된 후 1년이 경과한 날부터, 개인정보 전송요구권의 경우 공포된 후 1년이 경과한 날부터 공포 후 2년이 넘지 않는 범위에서 시행령으로 정하는 날부터 시행될 예정입니다(부칙 제1조).
 
본 개정안이 최종 확정되기까지는 아직 여러 절차들이 남아 있으나, 개인정보 보호 및 활용과 관련된 의무와 책임에 영향을 미칠 수 있는 내용들이 포함되어 있으므로, 이후의 경과에 주목하실 필요가 있습니다.

[영문] Proposed Amendment to PIPA Passed by the National Policy Committee of the National Assembly