개인정보변호사 보호조치 기준

개인정보변호사 보호조치 기준

안녕하세요 개인정보변호사 장지원입니다. 

개인정보의 안정성 확보를 위하여 정보통신서비스제공자 등이 준수해야 하는 개인정보의 기술적, 관리적 보호조치의 기준의 일부 개정안이 5월 19일에 시행되었습니다. 이 보호조치 기준의 개정된 내용이 무엇인지 개인정보변호사와 함께 이야기 나눠보겠습니다. 

이번 보호조치의 기준 개정은 관계부처의 합동으로 지난 2014년 7월에 발표했던 개인정보보호의 정상화 대책 중 기업의 개인정보보호 조치 자율성의 보장과 개인정보유출 대응지침 마련 의무화 등 주요 과제의 이행과 최근 스마트폰과 태블릿 PC 등 모바일 기기에서의 개인정보 처리가 늘어남에 따라서 보호조치 사항들을 반영하기 위함이며 주요한 내용 및 시사점은 다음과 같아 일선 사업자들의 입장에서 세심한 검토와 현업의 적용에 더욱 신경을 써야 할 것으로 생각이 됩니다. 

보호조치 기준의 목적이 사업자가 준수해야 하는 최소한의 기준을 정하는 것으로 명시하여 개정을 하고 각 사업자가 사업규모와 개인정보 보유 수 등을 고려해 자율적으로 사업자 환경에 알맞는 개인정보 보호조치의 기준을 수립해서 시행하도록 하였습니다. 

종전에는 보호조치 기준의 목적이 사업자가 준수해야 하는 구체적인 기준을 정하는 것으로 만들어져 있어 기준만 준수하면 유출사고의 발생한 경우에도 면책이 가능하다는 해석들이 훨씬 우세하였으며 최근 옥션 사건에 대한 대법원의 판례 또한 동일한 입장을 취했습니다. 

그러나 개인정보변호사와 이야기 나누고 있는 이번 개정으로 인하여 앞으로는 보호조치 기준에 정해놓은 사항을 이행했다고 하더라도 유출사고가 발생하게 되면 바로 면책되는 것이 아니라 최소한의 조치를 넘어서 각 사업자의 환경과 업계의 통상적인 수준 등 제반 상황들을 고려해서 상당한 보호조치를 취했는지 검토를 해야 한다는 주장이 제기될 여지가 커지게되었습니다. 

다만, 다른 한편으로 수범자에게 법 준수의 여부에 관한 예견가능성을 부여하는 것이 법규범 자체의 아주 근본적인 기능이라는 것을 감안한다면 여전히 관련고시의 내용만을 준수하면 면책되어야 한다는 주장도 충분하게 성립이 가능하리라 생각이 됩니다. 

결국에는 이 부분은 위와 같은 보호조치 기준 개정에도 불구하고 법원의 판단이 필요한 부분으로서 일말의 해석 여지를 남겨두고 있는 것이 아닌가 생각이 듭니다. 개인정보변호사 장지원이었습니다.