개정 개인정보보호법에서 ‘정보통신서비스 제공자 등’에 관한 조문을 모두 들어냄에 따라 ‘개인정보의 기술적·관리적 보호조치 기준’ 고시가 폐지되고, 그 내용의 일부가 반영된 ‘개인정보의 안전성 확보조치 기준’ 고시 개정 행정예고가 개인정보위 사이트에 올라왔어요. 7월 26일까지 의견 수렴하는데, 의견 내는 방법은 첨부된 ‘개인정보보호위원회공고 제2023-58호(개인정보의 안전성 확보조치 기준 일부개정고시안 행정예고).pdf’ 파일에 나와 있어요.
개인정보위가 고객 개인정보 26개 항목, 29만여 건이 유출된 LGU+의 개인정보 유출 사고에 대해 약 68억 원의 과징금을 부과했어요. 과징금이 수십억 원에 그친 것은 ‘위반행위 관련 매출액’이 ‘부가서비스 매출’만 해당한다는 LGU+ 측의 주장이 수용됐기 때문이라는 상세한 기사는 흥미로워요. CPO의 역할과 위상 강화 등 개인정보보호 거버넌스를 포함해 시정조치를 내린 것은 FTC가 페이스북에 5억 달러의 과징금을 부과할 때와 비슷해요. 다만 ‘보고’ 의무는 없네요.
채용대행 전문사이트 인크루트에서 크리덴셜 스터핑 공격으로 2020년 개인정보가 유출된 사건으로 약 7000만원의 과징금이 부과됐어요. SK그룹의 채용 관련 수탁업체인 (주)BSC에서 개인정보가 유출되어 위탁사인 24개 SK그룹사에 과태료가 부과됐어요. 인크루트가 이례적으로 반박문을 냈어요. 이 역시 속기록이 나오면 알 수 있을 것 같아요.
지난 4월에 발생한 사건이에요. 한전에서는 감사 결과, 수탁사인 한전KDN의 직원이 메일발송시스템과 엑셀을 조작하면서 실수로 발생했다고 주장했어요. 법적으로는 위탁사의 책임 문제이고, 실무적으로는 정형화된(또는 비정형화된) ‘사소한’ 업무에서 개인정보 사고를 예방하는 방법에 관한 문제에요.
미국 연방거래위원회에서 ChatGPT가 개인의 평판과 데이터를 위험에 빠뜨려 소비자 보호법(customer protection laws)을 위반했는지 여부를 조사하기 위해 OpenAI에 대한 광범위한 조사에 착수했다고 해요. 이제 시작한 거라서 결과를 지켜봐야 할 것 같아요.
