3월 15일 본격적으로 시행되는 개정 개인정보보호법 5개!

언론사 : 보안 뉴스

뉴스 제목 : 3월 15일 본격 시행... 꼭 기억해야 할 개정 개인정보보호법 5가지

게시일 : 2024-03-06

URL : https://m.boannews.com/html/detail.html?mtype=3&tab_type=6&idx=127454

3월 15일 본격 시행... 꼭 기억해야 할 개정 개인정보보호법 5가지

---

[ 기사 요약 ]

지난해 3월 14일 공포된 '개인정보보호법'에 신설된 인공지능(AI) 자동화된 결정에 대한 권리 등에 관한 일부 규정이 오는 3월 15일부터 본격 시행된다.

이번에 시행되는 '개인정보보호법'의 주요 내용

1. 인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화

→ CPO의 전문성 강화를 위해 매출액, 개인정보의 보유 규모를 고려해 일정 기준 이상의 개인정보보호처리자는 개인정보보호·정보보호·정보기술 경력을 총 4년 이상 경력자를 CPO로 지정해야한다. 다만 입법 과정에서 산업계 등의 의견을 반영해 시행 당시 CPO로 지정된 자는 경과조치 규정 마련으로 2년 이내에 자격 요건을 맞춰야하고, 공공시스템운영기관 요건에만 해당하는 공공기관의 경우 2026년 9월 14일까지 자격 요건을 갖추면된다.

→ 개인정보처리자가 CPO의 독립성을 보장하기 위해 대표자 또는 이사회에 정기적으로 보고할 수 있는 보고체계 구축, 개인정보 처리 관련 정보에 대한 접근 보장, 인적·물적 자원 제공 준수해야 할 사항이 신설됐다.

3. 공공분야 개인정보 보호수준 평가 확대

→ 개인정보 관리 수준의 진단결과에 대한 신뢰성 확보의 한계를 해소하기 위해 '개인정보 보호수준 평가'에 대한 법적 근거가 신설됐다. 이에따라 공공기관의 개인정보보호 수준을 평가하고, 결과를 바탕으로 공개 및 개선을 권고할 수 있게 되었다.

4. 손해배상책임 보장 의무대상자 변경

→ 정보주체에 대한 손해배상책임 이행을 위한 보험 가입, 준비금 적립 등 의무 대상이 온라인 사업자에서 오프라인·공공부문을 포함하는 전체 개인정보처리자로 변경되었다.

→ '연 매출액등 10억원 이상'이고, '정보주체 수 1만명 이상'인 개인정보처리자로 기준 강화

→ 의무 면제 대사을 명시해 공공기관, 비영리법인 및 단체, 소상공인으로서 보험등에 가입한 전문 수탁자에게 개인정보 저장 및 관리 업무를 위탁하는 경우는 적용 대상 제외

5. 기타 개정사항 및 향후 계획

→ 개인정보위의 고유식별정보 관리 실태 정기조사의 기간 : 2년 → 3년

→ '개인정보 보호수준 평가'·'개인정보보호인증(ISMS-P)' 등 다른 법률에 따라 점검이 이루어지는 경우 정기조사 대상에서 제외

→ 국외 이전의 경우 법적 근거를, 국외에서 국내 정보주체의 개인정보를 직접 수집해 처리하는 경우는 처리하는 국가명을 개인정보처리방침에 기재해 공개

구분	현행	개정
자동화된 결정에 대한 정보주체 권리 구체화 (법 제37조의2)	- 인공지능(AI)과 같이 사람의 개입이 없이는 완전히 자동화된 결정이 내려지는 영역에서, 열람 및 정정·삭제 등 기존의 권리 보장 수단으로는 국민의 권리 보호에 한계가 발생	- 완전히 자동화된 결정이 정보주체의 권리·의무에 영향을 미치는 경우, 거부 및 설명 등 최소한의 권리 구제 수단을 보장 - 자동화된 결정의 기준 및 절차 등을 사전에 공개하여 개인정보 처리의 투명성 확보
개인정보 보호책임자 전문성 및 독립성 강화 (법 제31조)	- 기존의 개인정보 보호책임자(CPO)는 기업 조직 내 개인정보보호 전담 인력으로서의 전문성과 독립성 부족으로 위상이나 역할 수행에 한게	- 일정 기준 이상의 개인정보처리자는 전문성 요건을 충족하는 개인정보보호책임자(CPO)를 지정 - 대표자·이사회 보고체계 구축 등 CPO의 독립성을 보장하기 위한 준수사항 마련
공공기관 개인정보 보호수준 평가 확대 (법 제11조의2)	- 기존 공공기관 '관리수준 진단'은 명확한 법적 근거가 없어, 개인정보 관리 수준의 진단 결과에 대한 신뢰성 확보에 한계	- 기존 관리수준 진단에서 '개인정보보호수준 평가'로 법적 근거를 신설 - 평가 결과를 바탕으로 공개 및 개선 권고할 수 있도록 하고, 우수기관 및 소속직원에 대해 포상할 수 있는 근거를 마련
손해배상책임 보장 의무대상자 변경 (법 제39조의7)	- 법 개정('23.9.15.시행)으로 정보통신서비스제공자 특례규정이 삭제됨에 따라, 손해배상책임의 보장 의무대상이 개인정보처리자로 변경되어 대상에 대한 조정이 필요	- 손해배상책임 보상을 위한 보험 가입 및 준비금 적립 의무대상 기준을 매출액 10억원, 정보주체 수 1만명 이상으로 조정 - 가입 의무가 면제되는 공공기관, 비영리법인·단체, 소상공인 등에 대한 구체적인 기준 마련

 

[ 개인 의견 ]

예전에는 이런 개인정보보호 법 관련된 뉴스를 스크랩하면 그냥 이렇게 바뀌었구나라고 넘어갔었는데 지금 CPPG 공부를 하면서 이러한 기사를 보니 아 이런 부분 나도 배웠는데 이렇게 바뀌는구나 하면서 보는 시야가 더 넓어진 것 같다. 열심히 공부해야지

아는 만큼 보이네 ^>^