개인정보보호법

개인정보보호법

1.     개인정보보호법의  제정 및 2011년 9월 30일 전면 시행

가. 법제정의 배경이 된 개인정보 유출 사건

(1) 2011년 네이트 개인정보 유출사건

중국발 해킹으로 인해 2011. 7. 26. 네이트의 데이터베이스에 저장된 가입자 3,500만 명의 아이디, 비밀번호, 이름, 주민등록번호, 연락처 등 개인정보가 대량 유출된 사건 

(2) 2008년 GS칼텍스와 옥션의 개인정보 유출사건

 GS칼텍스 내부 직원이 판매목적으로 1,150만 명의 개인정보를 유출한 사건

정보통신망법의 적용대상이 아니었기 때문에 검찰은 불기소처분할 수 밖에 없었음

같은 해 옥션에서도 역시 1,080만 명의 개인정보가 유출되었으나 법원은 옥션에 1,000만원의 과태료를 부과하는데 그쳤음

아래는 2008년부터 최근까지 개인정보 유출 사례와 피해 건수

일시	위치 (기업)	유출 건수	비고
2008년 1월	옥션	1,863 만명	해킹
2008년 9월	GS 칼텍스	1,125 만명	내부 직원이 판매
2009년 4월	네이버	9 만명	유출
2010년 3월	인천 (조선족 해커)	2,000 만명	해커가 개인정보 판매
2010년 3월	대전 (중국 해커)	650 만명	해커가 개인정보 판매
2010년 4월	부산 (중국 해커)	1,300 만명	해커가 개인정보 판매
2011년 4월	현대 캐피탈	175 만명	해킹
2011년 7월	SK 컴즈, 네이트	3,500 만명	해킹
2011년 8월	한국 앱손	35 만명	해킹
	총 개인정보 유출 건수	1억 657만명

나. 개인정보 유출의 피해 정도, 피해규모가 심각함에도 기존의 개인정보보호 체계가 미흡했음

당시 공공기관의 개인정보보호에 관한 법률, 정보통신망법,  신용정보법 등 개별법 체계로 개인정보보호를 위한 일반법이 없었기 때문에 법 적용의 사각지대 발생

개별법간 보호원칙이나 처리기준도 상이하여 혼란스러울 뿐만 아니라 정부의 정책추진에도 한계

2.     개인정보보호법의 보호대상: 개인정보

가. 개인정보

살아있는 개인에 대한 정보로서 성명, 주민등록번호 및 영상 등을 통해 개인을 알아볼 수 있는 정보로서 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함(2조).  

이름, 주민등록번호, 운전면허번호, 주소, 전화번호, 생년월일, 이메일주소, 출생지, 성별, 가족의개인정보

학교성적과 학교 출석사항

부동산정보, 소득정보, 신용정보, 고용정보, 지문과 홍채지문을 호함한 의료정보

개인의 위치정보, 전자우편, 전화통화내용, 인터넷 로그파일, 쿠키 등도 개인정보에 포함

나. 개인정보는 정보화 사회에서 전자상거래, 고객관리, 금융거래 등 사회의 구성, 유지, 발전을 위한 필수적인 요소이자 기업의 수익 창출을 위한 자산

반면 악의적인 목적으로 이용하거나 유출될 경우 개인의 안전과 재산에 큰 피해를 줄 가능성.  스팸문자, 보이스 피싱, 메신저 금융사기 등은 모두가 개인정보 유출을 기반으로 한 범죄

3.     개인정보보호법 시행으로 달라진 점

가.  개인정보 보호의무 적용대상 및 보호범위의 확대  

(1) 개인정보 보호의무 적용대상(개인정보처리자)의 확대

법 시행 이전: 분야별 개별법이 있는 경우에 한해 개인정보 보호의무가 적용

공공기관은 공공기관 개인정보보호법, 정보통신서비스 제공자는 정보통신망법,  신용정보 제공 및 이용자는 신용정보법에 의해 개별법에 의해 보호

법 시행 이후: 적용대상의 확대

법 제2조(정의) 5. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다. 6. "공공기관"이란 다음 각 목의 기관을 말한다. 가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다) 및 그 소속 기관, 지방자치단체 나. 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관 4. "개인정보파일"이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다.

적용대상이 공공∙민간 부문의 모든 개인정보처리자로 확대

공공부문의 경우 국회나 법원, 헌법재판소, 중앙선거관리위원회의 행정사무 처리기관까지 확대

민간부문의 경우 오프라인 사업자, 비영리단체까지 포함됨 

동창회, 부동산 중개소, 쇼핑센터, 택배사, 여행사 등 업무를 목적으로 개인정보를 처리하는 모든 사업자(350만 추산)까지

(2) 보호범위 확대

컴퓨터 등에 의해 처리되는 정보 외 수기문서도 개인정보 보호대상에 포함

동사무소 민원신청 서류 등 공공기관의 종이문서에 기록된 개인정보도 보호대상이 됨

나. 고유식별정보의 처리제한 강화(신설) 

고유식별정보란 주민등록번호 등 법령에 따라 개인을 고유하게 구별하기 위해 부여된 정보로서 원칙적으로 처리를 금지시킴

법 제2조(정의) 2. "처리"란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.

개인정보보호법 제24조(고유식별정보의 처리 제한)

(1) 법령에서 규정하거나 별도로 동의를 받은 경우에만 처리 가능(제1항)

고유식별정보의 처리를 위한 관행적 수집은 불가능

위반시 5년 이하 징역 또는 5천만원 이하 벌금

(2) 인터넷 본인확인을 위한 대체수단 강구 의무화 (제2항) 

주민번호를 사용하지 않고 회원으로 가입할 수 있는 방법 제공해야

전자서명, I-PIN, 휴대전화인증 등  

(3) 암호화 등 분실·도난·유출 등 방지를 위해 안전성 확보조치 의무화 (제3항)

암호화, 보관 장소에 대한 접근제한, 잠금장치 등

·         (2), (3) 위반시 3천만원 이하 과태료

다. 영상정보 처리기기 규제: 공개된 장소에서는 영상정보처리기기 설치, 운영을 원칙적으로 금지

(1) 공개된 장소에 영상정보처리기기 설치운영 제한(제24조 제3항)

(2) 목욕탕, 화장실, 탈의실 등 개인사생활 침해 우려가 현저한 장소에 영상처리기기 설치, 운영 금지(제25조 제2항)

라. 개인정보 수집, 이용 제공 기준

공공기관 통일된 처리원칙과 기준 적용 개인정보 수집, 이용가능 요건 확대

·         위반시 5년 이하 징역 또는 5천만원 이하 벌금

마. 개인정보 유출 통지 및 신고제도: 개인정보 유출 사실 인지 시 지체 없이 해당 정보주체에게 관련 사실 통지 및 전문기관에 신고하는 등의 조치를 취해야 함(제34조)

(1) 개인정보 유출 시 정보주체에게 유출사실을 고지(제1항)

(2) 대규모 유출 시에는 행정안전부 또는 전문기관에 지체 없이 신고(제3항)

바. 정보주체의 권리 보장: 정보주체에게 개인정보 열람청구권, 정정∙삭제 청구권, 처리정지 요구권 등 부여하고 권리행사 방법 등을 규정

법 제2조(정의) 3. "정보주체"란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

(1) 정보주체의 개인정보에 대한 열람∙정정∙삭제 요구권(제35조, 제36조)

(2) 정보주체의 개인정보에 대한 처리 정지 요구권(제37조)

백화점 경품 이벤트에 참여한 후 광고성 메시지나 스팸 메일 등이 급격히 늘어났다면

·         백화점측에 개인정보에 대한 열람을 요구하고 열람 후 그 개인정보의 정정 또는 삭제를 요구 할 수 있음

·         만약 이를 이행하지 않을 경우 3,000만 원 이하의 과태료가 부과됨

·         그 구체적인 절차(제38조):  한국인터넷진흥원 개인정보침해신고센터 (http://privacy.kisa.or.kr) 에 신고, 접수된 신고사항은 정부의 조사계획에 의거해 먼저 당사자 조사를 하고 법규위반 여부 결정 및 위반사항 정도에 따라 과태료 부과 및 수사를 의뢰한 후 조치 결과를 신고자에게 통보하게 됨

 사. 손해배상책임

법 제39조(손해배상책임)

① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. ② 개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리하지 아니한 경우에는 개인정보의 분실·도난·유출·변조 또는 훼손으로 인한 손해배상책임을 감경받을 수 있다.

아. 개인정보 분쟁조정위원회 설치∙운영(제40조) 등 정보주체의 권리구제 실효성 확보

개인정보 분쟁조정 절차: 개인정보보호 종합지원시스템 (http://www.privacy.go.kr) 

단체소송제도(제51조-제57조)

개인정보 유출사실의 통지·신고제도(제62조) 등