방통위, 개인정보 보호조치 기준 해설서 개정

방송통신위원회와 한국인터넷진흥원은 ‘개인정보의 기술적 관리적 보호조치 기준 해설서’를 개정했다고 12일 밝혔다.

방통위는 “온라인 사업의 특성상 1인 사업자부터 대기업에 이르기까지 규모나 업종 등이 다양해 보호조치가 복잡하고 어렵다는 지적에 따라 해설서를 개정했다”고 설명했다.

개정 해설서는 일반인도 쉽게 이해할 수 있도록 조문별 의미와 이행방법 등 사례를 상세히 수록한 점이 특징이다.

또한 내부관리계획 수립과 시행 등 관리적 분야, 접근통제, 접속기록의 위변조 방지, 개인정보의 암호화, 악성프로그램 방지 조치 등 기술적 분야를 포함해 총 10개 조문이 보완됐다.

우선 보호조치 기준의 목적이 사업자가 준수해야 할 ‘최소한의 기준’을 정하는 것으로 각 사업자가 사업규모 등을 고려해 사업자 환경에 맞는 보호조치 기준을 수립 시행토록 했다.

개인정보취급자가 업무종료 이후에도 로그아웃 등 보호조치를 하지 않아 해킹에 의한 개인정보 유출사고가 발생한 사례가 있다. 이에 따라 사업자는 개인정보처리시스템에 대한 접속이 필요한 시간에 한해 최대접속시간 제한 등의 조치를 하도록 했다.

개정된 정보통신망법에 따라 온라인상 주민등록번호수집이 금지됐다. 때문에 주민등록번호 외에 고유식별번호의 이용이 늘어날 것으로 예상돼 여권번호, 운전면허번호, 외국인등록번호를 암호화 대상에 추가했다.

사업자가 시행해야 할 내부관리계획에 ‘개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항’, ‘개인정보 유출사고 등 발생시 대응절차 및 방법에 관한 사항”을 추가됐다.

개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속할 때에 공인인증서 외에 다양한 인증수단을 사용할 수 있음을 명확히 하고, 업무환경 변화로 모바일 기기와 외장 하드 등에 개인정보를 저장할 때도 암호화를 적용하도록 했다.

이밖에 개인정보가 보관된 전산실, 자료보관실 등에 대한 출입통제 절차와 보조저장매체의 반출입 통제 등 물리적 접근 방지 조치를 하도록 하고, 업무 담당자가 실무에 참고할 수 있도록 ‘정보통신서비스 제공자등을 위한 망분리 해설’과 그간 개인정보보호 업무와 관련헤 문의가 많았던 31개 사항도 질답 형식으로 정리해 수록했다.