2020년 데이터 3법(개인정보 보호법·정보통신망법·신용정보법) 개정 이후, 기업은 가명정보 활용이라는 새로운 기회를 얻었습니다. 그러나 동시에 내부 규정 정비라는 숙제도 함께 떠안게 되었습니다. 오늘은 데이터 3법을 활용하기 위해 기업이 반드시 갖춰야 할 내부 규정과 컴플라이언스 체계를 단계적으로 알아보겠습니다.
1. 데이터 3법이 기업에 가져온 변화
데이터 3법 개정의 핵심은 가명정보 개념의 도입입니다. 가명정보란 추가 정보 없이는 특정 개인을 알아볼 수 없도록 처리한 정보를 말하며, 정보주체의 동의 없이도 통계 작성, 과학적 연구, 공익적 기록 보존 목적으로 활용할 수 있습니다.
또한 개인정보보호위원회가 중앙 행정기관으로 격상되어 감독 권한이 일원화되었고, 신용정보 분야에서는 마이데이터 산업이 본격적으로 열렸습니다. 기업 입장에서는 데이터 활용의 폭이 넓어진 만큼, 위반 시 제재 수위도 함께 높아졌다는 점에 유의해야 합니다.
과징금 부과 기준의 변화
개정 개인정보 보호법은 전체 매출액의 3% 이하 과징금을 부과할 수 있도록 규정하고 있어, 위반 시 기업이 받는 재무적 충격이 과거와 비교할 수 없을 정도로 커졌습니다.
2. 기업이 반드시 정비해야 할 내부 규정
실무에서 자주 접하는 사례를 보면, 많은 기업이 형식적인 개인정보처리방침만 게시하고 정작 내부 규정은 공백 상태인 경우가 적지 않습니다. 데이터 3법 체계에서는 다음 다섯 가지 규정이 기본 골격을 이룹니다.
첫째, 개인정보 처리 내부 관리계획
개인정보의 안전성 확보조치 기준 고시에 따라, 1만 명 이상의 개인정보를 처리하는 사업자는 반드시 내부 관리계획을 수립해야 합니다. 책임자 지정, 처리 절차, 접근 권한 관리, 교육 계획이 포함되어야 합니다.
둘째, 가명정보 처리 및 결합 규정
가명정보를 활용하려는 기업이라면 가명처리 절차, 추가정보 분리 보관 방식, 재식별 금지 의무, 결합전문기관 이용 절차를 별도 규정으로 마련해야 합니다. 가명정보를 다루다가 재식별이 발생하면 형사처벌 대상이 됩니다.
셋째, 정보주체 권리 행사 대응 규정
열람, 정정·삭제, 처리정지 요구 등 정보주체의 권리 행사에 어떻게 대응할지를 사전에 매뉴얼화해야 합니다. 법정 기한(원칙적으로 10일 이내) 내 처리하지 못하면 그 자체로 위반이 됩니다.
넷째, 개인정보 유출 대응 매뉴얼
유출 사실을 인지한 시점부터 72시간 이내에 정보주체와 보호위원회에 통지해야 합니다. 통지 양식, 보고 라인, 외부 공시 여부 결정 절차를 미리 규정해 두지 않으면 골든타임을 놓치기 쉽습니다.
다섯째, 위탁·제3자 제공 관리 규정
클라우드 사용, 마케팅 위탁, 계열사 간 데이터 공유 등 외부와의 데이터 흐름은 모두 위탁 또는 제3자 제공으로 정리되어야 합니다. 위탁계약서 표준양식과 수탁사 점검 절차가 포함되어야 합니다.
3. 컴플라이언스 체계 구축의 실무 포인트
규정을 만들었다고 끝이 아닙니다. 실제 감독기관 조사나 사고 발생 시 기업이 상당한 주의와 감독을 다했는지가 책임 경감의 핵심 판단 기준이 됩니다. 이를 입증하려면 다음과 같은 운영 체계가 뒷받침되어야 합니다.
- 개인정보 보호책임자(CPO) 지정 및 권한 명문화
- 연 1회 이상 전 임직원 대상 개인정보 보호 교육 실시 및 기록 보존
- 분기 또는 반기별 내부 점검 체크리스트 운영
- 외부 위탁사에 대한 연 1회 이상 정기 점검
- 접근 권한 부여·변경·말소 이력의 최소 3년 이상 보관
특히 최근 보호위원회 조사 사례를 보면, 형식적인 교육 자료만 제출하는 기업과 실제 이수 기록 및 시험 결과까지 보관하는 기업 사이에 제재 수위가 상당히 갈리는 경향이 있습니다.
4. 데이터 활용 사업의 법적 함의와 전망
마이데이터, AI 학습 데이터, 빅데이터 분석 등 데이터를 활용한 신사업 모델이 빠르게 확산되고 있습니다. 이러한 사업은 기획 단계에서부터 법률 검토(Privacy by Design)가 결합되지 않으면 출시 직전에 사업 자체를 재설계해야 하는 상황이 발생하곤 합니다.
또한 2024년 시행된 개정 개인정보 보호법은 자동화된 결정에 대한 정보주체의 권리, 국외 이전 규제 강화 등 새로운 의무를 추가하고 있습니다. 글로벌 사업을 하는 기업이라면 EU GDPR, 중국 PIPL과의 정합성도 함께 고려해야 합니다.
앞으로 데이터 컴플라이언스는 단순한 법무 이슈를 넘어 기업의 경쟁력을 좌우하는 인프라로 자리 잡을 가능성이 높습니다. 내부 규정과 운영 체계를 선제적으로 정비한 기업만이 데이터 3법이 열어준 기회를 실제 사업 성과로 연결할 수 있을 것입니다.
본 글은 일반적인 법률 정보 제공을 목적으로 작성되었으며, 구체적 사안에 대한 판단은 개별 검토가 필요합니다.
