개인정보 유출 관련 자료 보존과 조사 실효성 강화를 위한 법안

쉬운 요약

• 개인정보 유출 경위를 조사할 수 있도록 관련 자료를 일찍부터 보존하기 위한 법률 개정안이에요.
• 개인정보처리자가 유출 정황을 알게 된 때부터 관련 자료를 보존하도록 하려 해요. 정부의 조사가 시작되기 전에도 적용하려는 제안이에요.
• 시스템 복구가 불가피한 경우에는 관련 자료의 사본을 먼저 보존한 뒤 필요한 조치를 할 수 있도록 하려 해요.
• 유출을 숨길 목적으로 자료를 숨기거나 없애거나, 자료 보존의무를 이행하지 않으면 과징금을 부과하도록 제안해요.
• 관련 자료를 보존해야 하는 시점과 자료의 범위, 과징금과 불리한 자료 추정의 적용 조건은 최종 법안에서 확인해야 해요.

주요 내용

• 자료 보존 시점: 개인정보처리자가 유출 정황을 알게 된 때부터 관련 자료를 보존하도록 하려 해요.
• 복구 시 사본 보존: 시스템 복구가 불가피할 때는 자료의 사본을 보존한 뒤 조치할 수 있도록 해요.
• 자료 은폐 등에 대한 제재: 은폐할 목적으로 자료를 숨기거나 폐기하는 경우와 보존의무를 이행하지 않는 경우에 과징금을 부과하려 해요.
• 불리한 자료 추정: 관련 자료가 은닉·폐기되거나 보존되지 않은 경우 해당 자료를 불리한 자료로 추정하는 방안을 제안해요.
• 조사 전 공백 대응: 조사나 자료 제출 요구가 시작되기 전의 자료 훼손에도 대응할 근거를 마련하려는 취지예요.

왜 나왔나

법안 제안 이유는 은행과 온라인플랫폼, 통신사 등에서 발생하는 개인정보 유출 사고를 배경으로 들어요. 일부 사업자가 정부 조사 전에 서버나 로그 기록을 삭제하거나 재설치해 유출 경위를 덮는 사례가 있다는 문제의식이에요. 제안자는 현행 조사방해 제재가 조사나 자료 제출 요구가 시작된 뒤의 증거 은닉·폐기에 한정돼 있다고 설명해요. 이에 조사 착수 전부터 자료를 보존하도록 해 사고 경위를 확인할 수 있게 하려는 거예요.

무엇이 달라지나

1) 유출 정황을 안 때부터 자료 보존

개정안은 개인정보처리자가 개인정보 유출 정황을 알게 된 때부터 관련 자료를 보존하도록 제안해요. 개인정보 보호 당국의 조사나 자료 제출 요구가 시작되기 전에도 자료를 남겨두도록 하려는 내용이에요.

• 유출이 의심되는 시점부터 관련 기록이 유지되면 사고가 어떻게 발생했는지 확인하는 데 도움이 될 수 있어요.
• 제안 이유는 주요 서버와 로그 기록의 삭제·재설치를 문제 사례로 들고 있어요. 다만 제공된 요약만으로 보존 대상 자료의 전체 범위를 확정할 수는 없어요.
• 어떤 상황을 유출 정황을 알게 된 때로 보는지, 얼마나 오래 자료를 보존해야 하는지는 최종 법안과 구체적인 기준을 확인해야 해요.

2) 복구가 불가피할 때의 사본 보존

개정안은 복구가 불가피한 경우 관련 자료의 사본을 보존한 뒤 조치할 수 있도록 제안해요. 사고 대응 과정에서 시스템을 복구할 필요와 유출 경위를 확인할 자료를 남길 필요를 함께 고려한 내용이에요.

• 서버를 복구해야 하는 상황이라도 관련 자료의 사본을 먼저 남겨두는 방식이 제안돼 있어요.
• 어떤 경우를 복구가 불가피한 상황으로 보는지, 사본에 어떤 자료를 담아야 하는지는 제공된 요약에 구체적으로 나와 있지 않아요.
• 실제 적용을 위해서는 사고 대응 과정에서 복구 전 자료를 어떻게 확보하고 보관할지 확인할 필요가 있어요.

3) 자료 은폐와 보존의무 위반 제재

개정안은 은폐 목적으로 관련 자료를 숨기거나 폐기하는 경우 과징금을 부과하도록 제안해요. 관련 자료의 보존의무를 이행하지 않는 경우에도 과징금 부과를 제안해요.

• 조사 전에 자료를 없애 유출 경위를 확인하기 어려워지는 상황에 대응하려는 취지예요.
• 제공된 요약에서는 은폐 목적의 은닉·폐기와 보존의무 미이행을 제재 대상으로 설명해요. 과징금의 액수나 산정 기준, 구체적인 적용 요건은 확인되지 않아요.
• 자료가 보존되지 않은 경위와 은폐 목적의 판단 기준이 최종적으로 어떻게 규정되는지 살펴봐야 해요.

4) 보존되지 않은 자료의 불리한 추정

개정안은 관련 자료를 불리한 자료로 추정하는 방안도 제안해요. 자료를 숨기거나 없애 사고 경위를 확인하기 어려워지는 상황에 대응하려는 내용이에요.

• 자료가 남아 있지 않아 조사에 필요한 내용을 직접 확인하기 어려운 경우를 고려한 제안이에요.
• 제공된 요약에는 추정이 적용되는 구체적인 요건과 범위, 이를 다투는 절차가 자세히 나와 있지 않아요.
• 어떤 사실을 누구에게 불리하게 추정하는지와 반대 자료를 제시할 수 있는 방식은 최종 조문을 확인해야 해요.

누구에게 영향이 있나

• 개인정보처리자: 유출 정황을 알게 된 시점부터 관련 자료를 보존해야 할 수 있어요. 사고를 인지하고 자료를 확보하는 절차가 중요해져요.
• 은행·온라인플랫폼·통신사 등: 제안 이유에서 대규모 개인정보 유출 사고와 관련해 언급한 사업자예요. 실제 의무 대상 범위는 최종 법안을 확인해야 해요.
• 개인정보 보호와 시스템 운영 담당자: 사고 대응과 복구 과정에서 자료를 보존하고 사본을 남기는 업무가 생길 수 있어요.
• 개인정보가 유출된 사람: 관련 기록이 보존되면 유출 경위를 확인하는 데 도움이 될 수 있어요. 다만 이 법안 요약만으로 개인에 대한 별도 보상이나 지급이 정해진 것은 아니에요.
• 개인정보 보호 당국: 조사 착수 전의 자료 보존 여부와 은폐 여부를 확인하고, 제안된 제재와 추정 규정을 적용할 수 있게 될 가능성이 있어요.

봐야 할 점

• 유출 정황을 알게 된 시점과 보존해야 할 자료의 범위·기간이 어떻게 정해지는지 확인해야 해요.
• 복구가 불가피한 경우의 판단 기준과 사본의 보존 방법을 살펴봐야 해요.
• 과징금의 부과 요건과 액수·산정 기준, 은폐 목적을 판단하는 기준은 제공된 요약에서 확인되지 않아요.
• 불리한 자료 추정이 어떤 요건에서 적용되고 반박할 기회가 어떻게 보장되는지 최종 조문을 확인해야 해요.
• 개인정보 처리 업무를 다른 곳에 맡긴 경우 자료 보존 책임이 어떻게 적용되는지도 살펴볼 필요가 있어요. 현행법 제26조는 업무를 맡긴 자의 안전한 처리 감독 등에 관해 규정하지만, 제공된 개정안 요약만으로 구체적인 책임 변경은 확인하기 어려워요.