사안의 개요
2024년 7월 시행된 개정 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제23조의6은 연계정보 이용기관에 대하여 개인정보 보호법상 안전조치와 별도의 안전조치 의무를 부과하고 있고, 같은 법 시행령은 본인확인기관으로부터 연계정보를 1,000건 이상 제공받은 자를 실태점검 대상으로 정하고 있습니다. 의뢰인은 휴대전화 본인확인 서비스를 이용하면서 연계정보를 제공받아 왔고, 보유량이 10만 건을 넘어 점검 대상에 포함되었습니다.
대응 경과
① 계약관계와 데이터 흐름을 기준으로 의뢰인이 연계정보 이용기관이고 솔루션 사업자는 수탁자임을 확정하였습니다. 대상 해당 여부를 다투는 대신 이를 전제로 대응 범위를 신속히 확정한 것이 시간 확보의 출발점이었습니다.
② 화면 캡처가 불가능한 항목에 대하여, 솔루션 사업자와 본인확인 서비스 제공사에 사실확인서 발급을 요청하는 방식으로 전환하였습니다. 이때 상대방이 별도 문서를 기안할 필요가 없도록 자료요청서와 확인서 양식을 함께 작성하여 송부하였습니다.
③ 연계정보 내부규정, 침해사고 대응계획서, 처리 실태점검 계획서, 보호 교육계획서, 백업 정책서, 수집현황 기록 등 8건을 제정하고 대표자 결재를 받아 시행일자를 확보하였습니다.
④ 현재 상태를 사실대로 기재하되, 이미 완료한 개선은 증빙을 첨부하고, 즉시 이행이 불가능한 항목은 담당자·조치내용·완료예정일을 특정한 개선계획으로 소명하였습니다.
성과 및 시사점
촉박한 시간적 제약 속에서 제출기한을 지켰을 뿐 아니라, 의뢰인은 이번 대응을 계기로 연계정보 안전조치 체계 자체를 갖추게 되었습니다. 점검 대응이 일회성 서류 작업에 그치지 않고 실제 운영체계 구축으로 이어진 점에 의미가 있습니다.
연계정보 의무는 2024년 신설된 것이어서 인지도가 낮고, 개인정보 관련 문서를 갖춘 기업조차 연계정보에 관하여는 별도 규정을 두지 않은 경우가 많습니다. 점검기관 역시 미흡사항이 곧바로 제재로 이어지는 것이 아니라 보완요청과 개선권고를 우선한다는 입장을 밝히고 있으므로, 현황과 개선계획을 성실히 제시하는 것이 중요합니다.
