[스타트업 법률상식173] 개인정보유출대응, 나의 정보가 유출되거나 불법적으로 수집된 경우 대응 방안은?

[법무법인 민후 윤진 변호사] 현대 사회에서 개인정보는 더 이상 단순한 정보가 아닌, 헌법상 보장되는 개인의 존엄과 가치, 사생활의 비밀과 자유를 보장하는 핵심적인 무형자산입니다. 하지만 정보처리 기술의 발전과 함께 개인정보의 대규모 유출 및 오·남용 사례 또한 급증하고 있으며, 정보주체(개인정보 보호법상 정보주체란, 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말합니다)로서 나의 정보가 위법하게 처리되고 있다는 사실을 알게 되는 경우가 늘고 있습니다.

그렇다면 나의 개인정보가 기업이나 단체에 의해 위법하게 처리되고 있다는 사실을 인지했을 때, 정보주체는 자신의 권리를 보호하기 위해 어떻게 대응해야 할까요?

1. 사실관계 확인 및 증거 보전이 첫걸음

개인정보 침해 사실을 인지했다면, 가장 먼저 유출되거나 위법하게 처리된 개인정보의 종류와 범위를 확인하고 관련 증거를 확보해야 합니다. 특히 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보 등 정보주체의 사생활을 현저히 침해할 우려가 있는 정보, 즉 민감정보가 포함되었는지 여부를 면밀히 살펴야 합니다.

또한, 정보를 수집하고 처리하는 주체가 누구인지, 그리고 업무를 위탁받아 실제로 처리한 제3자(수탁자)는 누구인지 명확히 구분하여 확인하는 것이 향후 법적 책임을 묻는 데 중요한 기초가 됩니다.

2. 행정적 구제를 위한 개인정보보호위원회 신고

개인정보 처리 과정에서 법 위반이 확인될 경우, 정보주체는 개인정보 보호법 제62조에 따라 개인정보보호위원회에 침해 사실을 신고하고 조사를 요청할 수 있습니다.

이때, 개인정보보호위원회는 신고의 접수·처리 등에 관한 업무를 효율적으로 수행하기 위하여 한국인터넷진흥원(KISA)을 전문기관으로 지정하여 KISA 개인정보침해 신고센터를 통해 신고를 접수하고 상담, 사실 조사 등의 업무를 수행하고 있습니다. 즉, 실제 신고는 KISA 개인정보침해 신고센터를 통하여 접수받고 있습니다.

위원회는 조사를 통해 개인정보처리자에게 위법한 개인정보 침해행위의 중지, 개인정보 처리의 정지, 그 밖에 개인정보 보호 및 침해 방지를 위하여 필요한 조치 등의 시정명령을 내릴 수 있습니다(개인정보 보호법 제64조).

나아가 법 위반의 중대성 등에 따라 관련 매출액의 일정 비율을 초과하지 않는 범위에서 과징금을 부과하거나(개인정보 보호법 제64조의2), 과태료를 부과하여(개인정보 보호법 제75조) 기업의 법 준수를 강제하는 강력한 절차를 진행할 수 있습니다.

3. 위법성이 명백하다면 형사고소도 가능

개인정보처리자가 정보주체의 별도 동의 없이 민감정보를 처리하는 행위 등 중대한 위반사항에 대해서는 개인정보 보호법에 따라 별도의 형사처벌 조항이 적용될 수 있습니다.

따라서 위법성이 명백하고 그 침해의 정도가 심각하다고 판단될 경우, 수사기관에 형사고소를 제기하여 개인정보처리자 등에게 형사책임을 묻는 방안도 고려해볼 수 있습니다.

4. 실질적인 피해 회복을 위한 민사상 손해배상 청구

나아가, 개인정보처리자가 개인정보 보호법을 위반한 행위로 정보주체가 손해를 입은 경우, 정보주체는 개인정보 보호법 제39조에 따라 개인정보처리자에게 손해배상을 청구할 수 있습니다. 이때 개인정보처리자는 고의 또는 과실이 없음을 입증하지 못하면 책임을 면할 수 없으므로(무과실 입증책임) 정보주체에게 유리한 측면이 있습니다.

특히, 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실·도난·유출·위조·변조 또는 훼손된 경우에는 개인정보 보호법 제39조의2 제1항에 의거하여, 손해액을 입증하기 어렵더라도 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있는 법정손해배상제도를 활용할 수 있습니다.

또한, 개인정보 처리 업무를 위탁받은 수탁자의 위법 행위로 인한 손해배상 책임에 대해서는 수탁자를 위탁자의 소속 직원으로 간주하여 위탁자도 함께 책임을 지도록 하는 방안도 고려해볼 수 있습니다(개인정보 보호법 제26조 제7항).

맺음말

개인정보 침해는 정보주체의 기본권을 침해하는 중대한 사안인 만큼, 위법한 개인정보 처리 사실을 알게 되었다면 주저하지 말고 자신의 권리를 행사해야 합니다. 침착하게 증거를 확보하고, 행정적 구제(개인정보보호위원회 신고)와 형사적 구제(형사고소), 민사적 구제(손해배상 청구)라는 세 가지 법적 절차를 종합적으로 검토하여 대응하는 것이 가장 효과적입니다. 이러한 법적 대응은 정보주체의 피해를 회복하는 동시에, 기업이 책임 있는 개인정보 처리 문화를 정착하도록 하는 가장 강력한 무기가 될 것입니다.

<윤진 변호사> 법무법인 민후

<기고와 칼럼은 본지 편집방향과 무관합니다.>

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -