개인정보 보호법

제안이유 및 주요내용

현행법에는 기술적 안전성 확보에 필요한 조치가 미흡하여 개인정보가 유출되었을 경우 개인정보보호 담당자를 형사처벌까지 할 수 있도록 규정하고 있음.

최근 정보통신 기술의 발달로 보안기술 수준이 향상되고 있으나 해커에 의한 사이버 공격 또한 치밀해 지고 있고, 그 수도 급격하고 증가하고 있음. 국가정보자원관리원에 따르면, 정보유출, 비인가접근시도, 정보수집, 악성코드 등을 통한 해킹시도 차단건수는 2014년 18,160건에서 2018년 94,980건으로 423% 증가하고 있음. 특히 핵심시스템 보안 취약점이 발견된 뒤 이를 막을 수 있는 대비책인 패치를 마련하기도 전에 그 취약점을 이용한 악성코드나 프로그램을 제작하여 공격을 감행하는 ‘제로데이 공격’의 경우에는 보안전문가들도 가장 우려하는 위협으로 속수무책으로 당할 수밖에 없음.

개인정보 보호책임자는 이러한 해킹 등에 대응하기 위해 정보시스템에 방화벽을 구축하는 등 개인정보 유출 방지를 위한 기술적 안전성 확보조치를 취하고 있지만 기술적으로 진보해 가는 해커에 의한 사이버 공격을 막지 못하여 개인정보 보호업무 담당직원이 기소되는 사례가 발생하고 있음. 이로 인해 우수한 정보보호인력이 개인정보보호 업무를 회피하는 결과가 초래되고 있으며, 이는 장기적으로 국가적인 개인정보 보호수준 하락이 예상됨.

유럽의 GDPR와 주요 국가에서는 중대한 고의적인 침해행위에 대해서는 형사처벌을 규정하고 있지만, 개인정보보호에 대한 기술적·관리적·물리적 안전성 확보 조치를 취하지 않아 개인정보가 유출되었을 경우에는 과징금을 부과하고 있음.

특히 고의성이 없는 단순한 기술적·관리적·물리적 안전성 확보 조치 위반의 경우 고의적인 침해행위에 비하여 가벌성이 낮고, 기술적·관리적 조치의 경우 기업 차원에서의 대비가 필요한 측면이 큼.

이에 안전성 확보에 필요한 조치를 하지 아니하여 개인정보를 분실·도난·유출·위조·변조 또는 훼손당한 경우에 적용하는 형사처벌의 벌칙은 삭제하고 법인에게 과징금을 부과하게 함으로써 개인정보 보호책임자와 실무자에 대한 법적 보호조치를 마련하고 기업의 책임을 강화하려는 것임(안 제73조제1호 삭제, 제73조의2 신설).