동의받을 때 국민의 실질적 선택이 가능하도록 개선

정보 주체인 국민이 스스로 자신의 개인정보에 대한 권리를 실질적으로 행사할 수 있도록 동의의 원칙을 구체화하고, 개인정보처리방침 평가제를 통해 개인정보처리방침을 단계적으로 개선할 수 있는 기반을 마련했다.

동의를 받으려면 정보 주체의 자유로운 의사에 따르도록 하는 등 동의 원칙을 구체화하고, 정보 주체가 동의 여부를 선택할 수 있다는 사실을 구분하여 표시하도록 했다.

개인정보 처리자의 유형, 개인정보 처리 형태 등을 고려하여 개인정보처리방침 평가 대상자를 선정한 후, 동의 등 처리 근거가 적정한지, 개인정보처리방침을 이해하기 쉽게 수립하여 공개하고 있는지 등을 평가하여 개선할 수 있도록 구체화했다.

온라인과 오프라인 구분 없이 동일한 기준 적용: 규제 정비

온라인과 오프라인으로 구분하여 달리 규율해 온 이원화된 규제를 디지털 사회에 맞는 규제로 일원화하고, 드론·자율주행차 등 이동형 영상 정보 처리 기기가 보편화되는 환경에 맞추어 운영 기준을 정비했다.

정보 주체가 아닌 제3자로부터 개인정보를 수집하여 출처를 통지해야 하는 경우(수집 출처 통지)와 개인정보 이용·제공 내역을 통지해야 하는 경우(이용 내역 통지)의 통지 의무 대상자의 범위를 수집 출처 통지 기준에 맞추어 정비하고 통지도 함께 할 수 있도록 개선했다.

개인정보의 안전 조치 기준이 온라인과 오프라인으로 구분되어 있는 문제를 해소하기 위해 온라인 기준을 중심으로 통합하고, 안전 조치를 위한 다양한 기술이 도입될 수 있도록 특정 기술을 채택해야 하는 것으로 오인될 수 있는 용어를 삭제하는 등 관련 규정을 기술 중립적으로 정비했다.
*예) 백신, 보안 서버 등 용어 삭제, 저장·전송 시 암호화 외에 암호화에 상응하는 조치 추가 등

정보 주체가 정보통신서비스(온라인)를 1년 이상 이용하지 않은 경우 파기하거나 별도 분리하여 저장하도록 한 규정(유효기간제)을 삭제하고, 파기의 일반 원칙에 따라 목적이 달성되었거나 보유 기간이 종료되면 지체없이 파기하도록 하였다.
*예) 코로나19 상황에서 해외 여행이 제한되어 면세점 홈페이지 서비스 이용이 1년 동안 없어서 파기 등의 조치를 하는 경우 이용자와 기업 모두 불편 발생

과징금이 위반 행위에 비례하여 산정되도록 하기 위해 중대하고 의도적인 위반 행위에 대하여는 엄중한 과징금을, 경미한 위반 행위에 대하여는 면제까지 가능하도록 산정 기준을 개편했다.

과징금 산정을 위한 기준이 되는 금액(기준 금액)을 결정하는 비율(부과기준율)을 결정할 때, 위반 행위의 중대성 정도*에 따라 현행 3구간-단일 비율 방식에서 4구간-구간 내 차등 비율 방식으로 전환하였다. 이번 개정안의 산정 기준은 법 시행일 이후 위반 행위에 대하여 모든 개인정보 처리자와 개인정보 처리 업무를 위탁받은 수탁자까지 확대하여 적용될 예정이다.
*위반 행위의 중대성 판단 기준: ▲1. 위반 행위의 내용 및 정도 ▲2. 개인정보의 유형과 정보 주체에게 미치는 영향 ▲3. 정보 주체의 피해 규모 등을 종합적으로 고려

개인정보가 유출되었다는 사실을 알게 된 경우 유출된 개인정보가 민감 정보 또는 고유 식별 정보인 경우, 해킹 등 외부로부터 불법적인 접근에 의한 유출인 경우, 1천 명 이상인 경우에는 정당한 사유가 없는 한 72시간 이내에 개인정보위(또는 한국인터넷진흥원)에 신고하도록 했다. 정보 주체에 대한 통지는 유출 규모와 무관하게 정당한 사유가 없는 한 72시간 이내에 이행되어야 한다.

그동안 규제샌드박스 실증 특례를 통해 제한적으로 운영해 온 사항을 입법화하기 위하여 영상 촬영 후 별도로 저장하지 않는 경우로서 통계 목적으로 운영하는 때에는 고정형 영상 정보 처리 기기(CCTV 등) 설치·운영이 가능하도록 했다.

더불어, 국민의 생명 등을 보호하기 위하여 범죄·재난·화재 등의 상황에서 인명의 구조·구급 등을 위해 영상 촬영이 필요한 경우에는 이동형 영상 정보 처리 기기(드론, 자율주행차 등)를 통해 촬영할 수 있음을 명확히 했다.

공공 분야 개인정보 처리의 안전성 강화

그동안 공공 부문에서 계속되어 온 개인정보 침해 사고를 근절하기 위하여 대규모 공공 시스템을 운영하는 공공 기관에 대한 안전 조치 의무를 강화하고 개인정보 파일 등록, 개인정보 영향평가 등 제도를 보완했다.

공공 시스템의 개인정보 유출로 인한 국민의 2차 피해*를 막기 위해 마련한 '공공 부문 개인정보 유출 방지 대책'에 따라 공공 시스템 운영 기관에 대한 안전 조치 특례를 신설했다.
*n번방 사건(2019), 송파 살인 사건(2021), 신당동 역무원 살인 사건(2022) 등

그동안 공공 기관이 관리하는 개인정보 파일이 내부적 업무 처리 목적인 경우에는 등록 대상에서 제외되었으나, 일시적으로 처리되는 경우 등 관리 필요가 없는 경우* 외에는 등록하여 관리하도록 했다.
*등록 예외: ▲일회적 행사 수행 ▲공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리 ▲저장하거나 기록하지 않을 목적으로 수집된 개인정보 파일

공공 기관이 개인정보 영향 평가를 수행해야 하는 시점을 개인정보 파일 운용 또는 변경 전으로 명확히 하고, 영향평가서 요약본을 공개할 수 있도록 하여 공공 기관의 개인정보를 투명하게 관리하도록 했다.