제315회 강원도의회(정례회)

제2차    기획행정위원회

강원도 개인정보 보호에 관한 조례안

검 토 보 고 서

기획행정위원회

(전문위원 이병승)

강원도 개인정보 보호에 관한 조례안

검 토 보 고 서

1. 회부경위

○ 제 안 자 : 김희철·이무철 의원 외 19명

○ 제안일자 : 2022년  10월  21일

○ 회부일자 : 2022년  10월  24일

2. 제안이유

○「개인정보 보호법」에 따라 강원도에서 수집ㆍ처리되는 개인정보를 안전하게 보호하고 관리하는데 필요한 사항을 규정함으로써 도민의 자유와 권리를 보호하고자 함.

3. 주요내용

○ 조례안의 목적 및 정의 (안 제1조∼제2조)

○ 도지사의 책무 및 다른 조례와의 관계 (안 제3조∼제4조)

○ 개인정보 보호 기본계획의 수립ㆍ시행, 개인정보처리시스템 관리 책임자 등에 관한 사항(안 제5조∼제7조)

○ 개인정보 침해사고 대응, 개인정보의 파기 실태 점검에 관한 사항 (안 제8조∼제9조)

○ 개인정보취급자에 대한 관리 및 교육, 수수료 등의 금액에 관한 사항 (안 제10조∼제11조)

○ 이의신청에 관한 사항 (안 제12조)

○ 보험ㆍ공제의 가입, 의회에 대한 보고에 관한 사항 (안 제13조∼제14조)

○ 강원도 개인정보 보호 관계 기관 협의회 설치, 기능, 구성 및 운영 등에 관한 사항 (안 제15조∼제23조)

4. 검토결과

○ 본 조례안은 강원도에서 처리하는 개인정보의 안전한 관리와 정보주체의 권리 보장을 위하여 「개인정보 보호법」(이하 “법”이라 한다) 및 같은 법 시행령에서 위임된 사항과 그 밖의 개인정보 보호 업무를 체계적으로 추진하기 위하여 필요한 사항을 정하기 위한 것임.

○ 주요내용을 살펴보면,

- 안 제2조에서는 ‘개인정보 보호책임자’, ‘개인정보취급자’,‘개인정보처리시스템’의 용어에 대해 정의하였음.

- 안 제3조는 도지사의 책무에 관한 사항으로서, 도지사는 정보주체의 권리를 보호하기 위한 시책을 마련하고, 법 제31조제1항에 의해 지정된 ‘강원도 개인정보 보호책임자’가 법 제31조제2항 각 호의 업무를 수행하는 경우 독립성을 보장하도록 규정하였음.

개인정보 보호법 제31조(개인정보 보호책임자의 지정) ① 개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다.

② 개인정보 보호책임자는 다음 각 호의 업무를 수행한다.

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리ㆍ감독

7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무

- 안 제5조에서는 도지사는 개인정보 처리 및 보호의 체계적 추진을 위해 3년마다 강원도 개인정보 보호 기본계획을 수립·시행하도록 하였음.

- 안 제6조에서는 개인정보취급자가 200명 이상이고 정보주체가 100만 명 이상인 개인정보처리시스템을 구축·운영하는 경우, 해당 시스템을 관리하는 부서의 장을 개인정보처리시스템 관리책임자로 지정할 수 있도록 하였으며,

개인정보처리시스템 관리책임자는, 개인정보처리시스템의 접속자 기록관리 등 개인정보처리시스템의 안전성 확보를 위해 필요하다고 인정하는 조치를 수행하기 위해 해당 처리시스템의 전문가 또는 관계자 등으로 구성된 협의체를 운영할 수 있도록 하였음.

- 안 제8조는 개인정보 침해사고 대응에 관한 사항으로서, 운용부서장은 개인정보의 분실도난유출 등 침해사고가 발생하였을 때에는 별지 서식에 따른 개인정보 유출신고서를 작성하여 도 개인정보 보호책임자에게 제출하도록 하였으며, 필요한 경우에는 개인정보 침해사고 대응팀을 구성·운영 할 수 있도록 하였음.

- 안 제10조는 개인정보가 안전하게 관리될 수 있도록 개인정보취급자에 대하여 연간 1회 이상의 교육을 실시하도록 규정하였음.

- 안 제11조에서는 정보주체의 열람등요구에 따른 수수료 등의 청구 및 납부에 관한 사항으로, 「강원도 제증명 등 수수료 징수 조례」에서 정한 정보공개수수료 및 우체국 우편요금에 준하여 청구하도록 규정하였음.

- 안 제13조에 개인정보의 취급업무 과정에서 개인정보 침해사고에 따른 피해발생과 손해배상에 대비하기 위한 보험․공제 등의 가입근거를 규정하였음.

- 안 제15조는 영 제5조의3제1항에 따라 강원도 개인정보 보호정책과 관계기관·단체 등의 의견수렴 및 전달 등의 협의를 위해 강원도 개인정보 보호 관계 기관 협의회(이하 “협의회”라 한다)를 설치하도록 규정하는 사항임.

개인정보 보호법 시행령 제5조의3(시ㆍ도 개인정보 보호 관계 기관 협의회) ① 개인정보 보호 정책의 효율적인 추진과 자율적인 개인정보 보호 강화를 위하여 특별시, 광역시, 특별자치시, 도, 특별자치도(이하 “시ㆍ도”라 한다)에 시ㆍ도 개인정보 보호 관계 기관 협의회(이하 “시ㆍ도협의회”라 한다)를 둘 수 있다.

② 시ㆍ도협의회는 다음 각 호의 사항을 협의한다.

1. 시ㆍ도 개인정보 보호 정책

2. 관계 기관ㆍ단체 등의 의견 수렴 및 전달

3. 개인정보 보호 우수사례 공유

4. 그 밖에 개인정보 보호와 관련하여 시ㆍ도협의회의 협의가 필요한 사항

③ 제1항 및 제2항에서 규정한 사항 외에 시ㆍ도협의회의 구성 및 운영 등에 필요한 사항은 시ㆍ도의 조례로 정한다.

- 안 제16조부터 제22조까지는 협의회의 구성 및 기능 등에 관한 사항으로서, 협의회는 위원장 1명과 부위원장 2명을 포함한 20명 이내의 위원으로 구성하도록 하고 위촉직 위원의 임기는 2년으로 하되 한 차례 연임할 수 있도록 하였으며, 위원을 위촉 해제할 수 있는 경우와 협의회 운영의 일반적인 사항과 위원장의 직무에 대해 규정하였음.

- 부칙 제2조는 다른 조례의 폐지에 관한 사항으로서, 본 조례안의 제정으로 기존 「강원도 개인정보 보호 관계 기관 협의회 설치 및 운영에 관한 조례」는 폐지하게 됨.

□ 2021년 6월 4일 제정된「강원도 개인정보 보호 관계 기관 협의회 설치 및 운영에 관한 조례」는, 「개인정보 보호법 시행령」 제5조의3(시·도 개인정보 보호 관계 협의회)제1항에 의거하여 강원도 개인정보 보호 관계 기관 간의 협의회 구성을 위해 제정한 조례로, 금번 제정하는 개인정보 보호에 관한 조례안의 협의회 관련 조항(제15조~제22조)과 중복되어 폐지되는 것으로 적절한 부칙 규정이라 판단됨.

○ 본 조례안은 상위법인「개인정보 보호법」및 같은 법 시행령에서 위임한 사항을 구체화하여 강원도의 개인정보 처리 및 보호에 관한 사항을 규정하기 위한 것으로,

- 개인정보를 업무적으로 처리하는 과정에서 개인정보 보호책임자와 개인정보처리시스템 관리책임자를 지정하고 정보주체의 개인정보가 분실·도난·유출되지 않도록 관리하며, 분실 및 유출 등 침해사고가 발생하였을 경우 피해가 최소화 될 수 있도록 대응조치를 규정하려는 건으로 조례의 제정취지는 타당하다고 사료되며,

- 다양한 형태의 개인정보 유출과 침해사고가 발생할 수 있고 소송 등이 제기될 수 있는 점을 감안하여 예산의 범위 내에서 보험 또는 공제에 가입할 수 있도록 규정한 점은 손해배상 등 업무를 원활히 수행하는데 있어 바람직하다고 사료되므로, 조례 제정의 당위성 및 필요성은 충분하다고 판단됨.

- 또한, 입법정책담당관의 검토결과, 법령 상호간 중복되거나 상충되는 내용이 없으므로 조례제정에 문제점은 없는 것으로 사료됨.

《 입법정책담당관 검토 의견》

1. 입법필요성

□「개인정보 보호법」 제5조 및 제68조에 따라 강원도에서 수집ㆍ처리되는 개인 정보가 오용 또는 남용되지 않도록 개인정보를 보호하고 안전하게 관리하는 것은 도민의 자유과 권리 보호의 측면에서 그 필요성이 크다고 할 것임.

□ 현대 사회는 기술의 발달로 정보화 시대를 맞이하여 어느 때보다 생활의 편의와 편리를 누리고 있으나 이와 함께 개인정보 침해의 위험성은 점차 커지고 있는 바, 개인정보를 안전하게 보호하고 개인정보 주체의 권리를 보다 두텁게 보호하는 동시에 개인정보 유출시의 대응 등의 체계적인 관리 또한 매우 중요하다고 할 것임.

2. 입법형식의 적절성

□ 사무성질 상 자치사무로서 조례 제정이 가능함.

□ 상위법령에 저촉되지 않으며, 규율하고자 하는 내용이 적절함.

3. 입법내용의 정당성, 통일성 및 조화성

□ 헌법의 기본정신인 비례의 원칙, 평등의 원칙, 신뢰보호의 원칙 및 적법절차에 따라 내용을 갖추고 있음.

□ 다른 자치법규와 조화ㆍ균형을 이루고 있으며, 자치법규 상호 간 중복되거나 상충되는 내용이 없음.

4. 집행부(정보산업과) 의견 ⇨  원안 동의

5. 입법사례(타 광역시ㆍ도)

연번	시ㆍ도	조 례 명	제ㆍ개정
1	서울	서울특별시 개인정보 보호에 관한 조례	2022.4.28. 일부개정
2	인천	인천광역시 개인정보 보호에 관한 조례	2022.4.21. 전부개정
3	광주	광주광역시 개인정보 보호 조례	2021.12.15. 일부개정
4	대전	대전광역시 개인정보 보호 조례	2022.2.17. 일부개정
5	경기	경기도 개인정보 보호 조례	2021.7.14. 일부개정
6	충남	충청남도 개인정보 보호에 관한 조례	2022.8.17. 제정
7	전북	전라북도 개인정보 보호 조례	2021.10.1. 일부개정
8	전남	전라남도 개인정보 보호 관계 기관 협의회 설치 및 운영에 관한 조례	2021.9.30. 제정
9	경남	경상남도 개인정보 보호 관계 기관 협의회 설치 및 운영에 관한 조례	2022.5.6. 제정

6. 종합검토의견

□ 본 조례안은 「개인정보 보호법」에 따라 도민의 개인정보를 안전하게 보호하고 관리하는데 필요한 사항을 규정함으로써 사생활의 자유와 권리를 두텁게 보호하고자 함.

□ 검토결과, 자치법규 입안기준에 부합하고 입법형식 등에서 별다른 문제점이 없음.

○ 다만, 안 제6조(개인정보처리시스템 관리책임자) 관련하여, 「개인정보보호법 시행령」 제48조2에서 “개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템”으로 정의한 개인정보처리시스템은, 일반정보처리시스템과 비교하여 개인정보라는 중요정보를 다루는 처리시스템으로 각별한 관리가 필요해 보임.

○ 또한, 현장에서 국민의 개인정보를 직접 처리하는 지방자치단체의 안전한 개인정보 관리에 대한 사회적 요구가 높아지는 상황인 만큼 개인정보처리시스템의 관리책임자 지정 및 임무에 대한 규정은 적절하다고 판단되나,

- “개인정보처리시스템 관리책임자”의 권한 범위와 “개인정보 보호책임자”와의 관계 및 보고체계에 대한 설명이 필요하고,

- 개인정보처리시스템의 안전성 확보를 위해서 처리시스템 전문가 등으로 구성된 협의체를 운영할 수 있다고 하였는데, 협의체의 기능과 구성, 운영방식, 법적지위 등에 대한 설명이 필요해 보임.

○ 아울러, 향후 개인정보 보호 및 관리책임자에게 정부의 정책과 방침이 정확히 전달되고 조직 내에서 그 역할을 충실히 수행할 수 있도록 개인정보보호에 대한 지속적인 온․오프라인 교육 추진 및 정기적인 운영지원은 필수적으로 수반되어야 할 것이며, 개인정보 보호의 중요성을 인식하여 개인정보취급자에 대한 철저한 관리․감독에 만전을 기해야 할 것임.