플랫폼·금융·공공기관 등 고위험군 집중관리… PbD·CPO 체계도 확대
유심 해킹 관련 CG. 연합뉴스
[서울이코노미뉴스 박희만 기자] 정부가 하반기부터 산업별 위험도에 따라 개인정보 처리실태를 차등 점검하는 예방중심 관리체계로 전환한다.
대규모 개인정보를 다루는 플랫폼과 금융권, 공공기관 등은 정기·수시 점검대상에 포함되고, 신기술 분야까지 관리범위가 확대된다.
개인정보보호위원회는 22일 경제장관회의에서 이 같은 내용을 담은 ‘예방 중심 개인정보 관리체계 전환계획’을 발표했다.
지난 12일 국무회의에 보고한 정책 방향의 후속 조치다. 개인정보 침해와 유출사고가 발생한 이후 제재하는 방식에서 벗어나, 위험을 사전에 식별하고 관리하는 체계로 정책 무게중심을 옮기겠다는 취지다.
최근 생성형 AI와 플랫폼, SaaS(서비스형 소프트웨어), 클라우드 서비스가 빠르게 확산하면서 개인정보 보호체계 역시 새로운 전환점에 놓였다는 평가가 나온다.
특히 AI 학습 과정에서의 데이터 활용, 클라우드 기반 공급망 확대, 사물인터넷(IoT) 기기의 상시 연결 환경 등은 기존 보안체계만으로 대응하기 어렵다는 지적이 이어져 왔다.
정부는 우선 개인정보 처리 규모와 민감도, 산업별 특성을 기준으로 개인정보 처리 분야를 고·중·저 위험군으로 구분하기로 했다.
고위험군은 점검 야를 사전에 공개한 뒤 정기 및 수시 점검을 병행해 내부통제 운영 실태를 집중적으로 들여다본다.
올해 점검대상은 플랫폼 기업과 금융기관, 공공기관, 에듀테크, 요양병원 등 대규모 개인정보 또는 민감정보를 처리하는 분야가 중심이 될 전망이다.
반면 중·저위험군에는 자율점검 도구와 컨설팅을 제공해 기본적인 보호 수준 확보를 유도한다.
개인정보 영향평가와 ‘개인정보 보호 중심 설계(PbD)’ 원칙 준수도 확대 적용할 계획이다. 필요할 경우 관계 부처와 개인정보위가 합동 점검에 나선다.
정부는 부처 간 협업체계도 강화한다. 주요 관계부처가 참여하는 범정부 정책협의체를 통해 분야별 개인정보 관리현황과 위험요인을 공유하고 대응방안을 공동 마련하기로 했다.
위험 기반 예방관리체계(안). 연합뉴스
개인정보 처리현황과 위험요인을 분석한 ‘기초 위험지도’도 구축해 점검대상 선정에 활용한다.
오는 9월 도입 예정인 개인정보보호책임자(CPO) 지정 신고제와 연계한 민관 협력체계도 추진된다.
개인정보위는 CPO협의회 등과 협력해 최신 보안 위협정보를 신속히 공유하는 조기경보 핫라인을 운영하고, 유사사고 발생시 선제 대응을 유도할 방침이다.
신기술 분야 관리도 한층 강화된다. 개인정보위는 IoT 기기와 에이전트 AI 등 새로운 기술영역에 대해 선제점검 체계를 도입해 개인정보 보호 사각지대를 최소화한다는 계획이다.
특히 개인정보 보호를 서비스 기획·설계 단계부터 기본값으로 반영하는 PbD 원칙은 제도화 수순에 들어간다.
그동안 IP카메라와 로봇청소기 등 일부 제품군 중심으로 운영됐던 PbD 인증제를 넘어, 법 개정과 가이드라인 보급을 통해 전 산업으로 확산하겠다는 구상이다.
ISMS-P 인증 기준에도 관련 원칙이 반영될 예정이다.
기업의 자율적인 보호 투자 확대를 유도하기 위한 인센티브 체계도 마련된다.
정부는 정보보호 공시 항목에 추가 보호조치 내역과 CPO 내부통제 프로세스 등을 포함하도록 유도하고, 실질적인 보호 활동이 확인될 경우 과징금 감경 등의 혜택을 제공할 계획이다.
다만 중소·영세 사업자 부담 완화는 과제로 꼽힌다. 정부는 경미한 법 위반에 대해서는 기술지원과 컨설팅을 통해 시정 시 처분을 감경하는 방향으로 유연하게 운영할 방침이다.
향후 정책의 핵심은 공급망 전반 관리 강화와 보호 기술 고도화에 맞춰질 전망이다.
개인정보위는 SaaS와 클라우드, 전문수탁자 등 데이터가 집중되는 영역을 중심으로 관리 체계를 강화하고, 개인정보 유출·오남용을 방지하기 위한 PET(개인정보 보호 강화기술) 연구개발과 전문인력 양성도 병행할 계획이다.
댓글
0