2023.3.14. 개인정보보호법 전면개정 시사점 편집하기 (부분)

==== 3. 정보통신서비스 제공자와 오프라인 개인정보처리자에 대한 규제 일원화 ====
현행법은 데이터 3법 개정에 따라 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 “정보통신망법”)에서 이관된 개인정보 보호 관련 규정을 정보통신서비스 제공자[5]에 대한 특례 조항으로 규정하고 있습니다. 개정법은 정보통신서비스 제공자 등에 대한 특례 규정을 일반 규정으로 정비하여 정보통신서비스 제공자와 오프라인 개인정보처리자에 대한 규제를 일원화하였습니다.


<small>'''[각주5] 정보통신서비스 제공자는 (i) 전기통신사업자와 (ii) 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 의미합니다(정보통신망법 제2조 제1항 제3호). 일반적으로 정보통신서비스 제공자의 범위는 넓게 해석되며, 자사 제품에 관한 정보를 제공하기 위하여 웹사이트를 운영하는 경우도 이에 포함될 수 있습니다.'''</small>


정보통신서비스 제공자 등에 대한 특례 규정 중 상당수는 모든 개인정보처리자에 대하여 적용되는 일반 규정으로 전환되었습니다. 주요 조항은 다음과 같습니다.


- 현행법은 정보통신서비스 제공자가 개인정보의 분실·도난·유출(이하 “유출 등”) 사실을 안 때에는 24시간 내에 해당 이용자에게 알리고 개인정보보호위원회(이하 “보호위원회”) 또는 개인정보침해 신고센터 등에 신고하여야 한다고 규정하고 있으나 개정법은 위 특례 규정을 삭제하고 일반 규정으로 통합하여 규정하였습니다. 이에 따라 모든 개인정보처리자는 개인정보의 유출 등을 알게 되었을 때 ‘지체 없이’ 해당 정보주체에게 알리고[6], 보호위원회 또는 개인정보침해 신고센터 등에 신고하여야 합니다(제34조 제1항, 제3항).

- 대통령령으로 정하는 기준에 해당하는 개인정보처리자[7]는 수집한 개인정보의 이용·제공 내역이나 이용·제공 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 주기적으로 정보주체에게 통지하여야 합니다(제20조의2).

- 개인정보처리자로서 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 자[8]는 손해배상책임의 이행을 위하여 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 합니다(제39조의7).

- 국내에 주소 또는 영업소가 없는 개인정보처리자로서 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정하는 자[9]는 국내대리인을 지정하여야 합니다(제31조의2).


<small>'''[각주6] 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 통지를 갈음하는 조치를 취할 수 있습니다.'''</small>

<small>'''[각주7] 현행 개인정보 보호법 시행령(이하 “현행 시행령”) 규정에 의하면, 개인정보의 이용·제공 내역 등을 주기적으로 정보주체에게 통지할 의무가 있는 정보통신서비스 제공자는 다음과 같습니다.'''</small>

1. 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도) 매출액이 100억원 이상인 정보통신서비스 제공자등

2. 전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명 이상인 정보통신서비스 제공자등

<small>'''[각주8] 현행 시행령 규정에 의하면, 다음 각 호의 요건을 모두 갖춘 정보통신서비스 제공자는 보험 또는 공제에 가입하거나 준비금을 적립해야 할 의무를 부담합니다.'''</small>

1. 전년도(법인의 경우에는 전 사업연도)의 매출액이 5천만원 이상일 것

2. 전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 1천명 이상일 것

<small>'''[각주9] 현행 시행령 규정에 의하면, 국내대리인을 지정할 의무가 있는 정보통신서비스 제공자는 다음과 같습니다.'''</small>

1. 전년도(법인인 경우에는 전 사업연도) 매출액이 1조원 이상인 자

2. 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도) 매출액이 100억원 이상인 자

3. 전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명 이상인 자


한편, 현행법은 정보통신서비스 제공자가 정보통신서비스를 1년의 기간 동안 이용하지 아니하는 이용자의 개인정보를 파기 등 필요한 조치를 취하여야 한다고 규정하고 있으나, 개정법에서는 해당 규정을 삭제하였습니다. 

이번 개정을 통해 온라인과 오프라인에서의 개인정보처리자에 대한 규제가 일원화 되었으므로, 정보통신서비스 제공자 뿐만 아니라 모든 개인정보처리자는 달라지는 규제들을 살피고 이를 준수하기 위하여 전반적인 점검을 할 필요가 있겠습니다.