[동향] 내부감사 / 개인정보보호법 개정안

내부고발자 PC카톡 포렌식, 적법할까?

[1] 적법한 내부감사 진행

[법원의 조사 방법 - '사법부 블랙리스트' 의혹 해소 사례]

1. 조사 예정일 2~3일 전 대상자들에게 조사 일정을 사전 통보한다.
2. 자료 열람 조사 과정에 참여할 수 있는 기회를 부여한다.
3. 필요한 검색어를 한정해 그 검색어가 포함된 파일들을 추출하는 방식으로 조사 대상 범위를 축소한다.
4. 조사 대상 파일의 외부 유출을 방지하기 위한 보안유지 조치
   • 조사 장소의 출입 통제
   • 조사에 필요한 장비 운용자에 대한 보안서약서 징구
   • 장비 운용자는 항상 조사위원과 동석
   • 조사 장소 출입자의 휴대전화 및 USB 휴대 금지 등

위 4가지를 행해 대상자들의 컴퓨터를 조사했다.

 

[피징계자 동의 없는 사내 이메일 조사 사례]

서울고등법원 2020. 5. 8. 선고 2019나2032512

법원: '사용자는 근로자의 업무상 비위행위에 관하여 의심할 만한 상당한 이유가 있고, 사실관계 확인이나 징계자료 수집을 위하여 불가피한 경우에는, 형사소송법에서 정한 것과 같은 엄격한 절차를 거치지 않더라도 제한된 목적과 범위 내에서 해당 근로자의 사내 이메일을 검색, 열람할 수 있다고 봄이 타당하다.'

→ 그러나, 단서 존재

1. 아주 급박한 경우가 아닌 한 동의를 구하거나 의견진술 기회를 부여할 것
2. 그 대상이나 범위, 방법을 합리적으로 제한해서 사생활 침해가 과도하지 않도록 할 것
3. 검색, 열람과정에 중립적 제3자를 입회하도록 하거나 그에 준하는 합리적인 조치를 취할 것

[2] 감사원의 '디지털 자료 수집 및 관리 세부 지침'

디지털 포렌식을 통해 확보하려는 자료 내용은 감사 목적 달성에 필요한 경우 등으로 한정한다.

디지털 저장매체 등의 관리자 등으로부터 동의를 얻고 참여권을 고지해야 한다.

원본 훼손 방지를 위해 자료 분석은 복제본으로 하는 것이 원칙이다.

실시계획서에서 승인된 범위 안에서만 분석 가능하다.

디지털 포렌식을 통해 제출받은 자료 중에 증거자료 외에는 감사결과 처분 요구 등을 시행한 날부터 5일 이내에 모두 폐기해야 한다. 

[참고]

https://www.ytn.co.kr/_ln/0103_202309181837408028

내부고발자 PC카톡 포렌식, 적법할까?

 

---

 

동의 없어도 드론, 자율주행차 업무 목적 촬영 가능

개정된 개인정보보호법이 9/15부터 시행되었다.

위급시 개인정보 제공, 이용 요건이 완화되었다.

촬영 대상이 거부의사를 밝히지 않는 한, 동의 없이도 드론, 자율주행차 등 이동형 영상정보처리기기를 이용한 업무 목적의 촬영이 가능해진다.

[개정안 요약]

1. 국민 안전, 권리 보호 강화
   • 긴급 구조 등 급박한 생명, 신체, 재산의 이익을 보호하기 위해 필요하거나, 메르스, 코로나19 등 공공 안전을 위해 개인정보를 수집, 이용, 제공해야 할 때는 우선 조치할 수 있도록 하되, 개인정보 안전조치 등은 적용되도록 한다.
   • 정보주체인 국민이 개인정보 침해를 받은 경우 신속하게 구제 절차를 진행할 수 있도록 개인정보 분쟁 조정 참여 의무를 모든 개인정보처리자로 확대하는 등 분쟁 조정 절차를 개편했다.
   • 지난 2021년 공유 자동차 서비스 '쏘카' 차량을 이용한 어린이 납치 사건 당시 업체가 이용자 정보를 즉각 제공할 수 없어 범죄를 막지 못한 사례처럼 '과도한 장벽'을 부순다는 취지
2. 영상정보 온-오프라인 이원화된 규제 (드론, 자율주행차의 영상 촬영)
   • 높게, 혹은 빠르게 지나가며 촬영하는 이동형 영상정보처리기기들은 그동안 찍히는 이들의 동의를 일일이 받기 어려워 촬영 가능 여부에 대한 혼선이 존재했다.
   • 앞으로는 업무 목적 촬영의 경우 안내판, 소리 등을 통해 촬영 사실을 알린 뒤 정보 주체의 거부 의사가 없다면 촬영이 가능하다. 
   • 다만, 드론의 경우 촬영사실을 표시하였으나 정보 주체가 쉽게 알기 어려운 경우에는, 개인정보보호위원회가 구축한 사이트를 통해 공지하는 방법으로 알려야 한다.
   • 화장실, 목욕탕 등 사생활을 현저히 침해할 우려가 있는 장소에서는 이동형 영상정보처리기기를 통한 촬영 금지를 명확히 했고, 인명 구조, 구급 등을 위해 필요한 경우에 한해 예외를 두었다.
   • 정보통신서비스 제공자가 개인정보 유출 사실을 안 뒤 72시간 안에 신고, 통지하도록 완화되었다. 기존에는 24시간 내 신고, 통지로, 그동안 개인정보 침해 사고 발생 시 그 사실을 알고도 24시간 안에 관계기관에 신고하거나 이용자들에게 통지하지 않는 기업 행태에 대한 지적이 이어졌는데 이마저 연장된 것이다.
     • 이는 유럽연합(EU), 미국 등 해외 국가들이 72시간으로 입법하고 있음을 고려해 일원화한 것이다.
     • 신고 의무는 개인정보 유출 규모 1000명 이상, 민감정보 및 고유식별정보 유출, 해킹 등 외부 공격으로 인한 유출
     • 유출 사실 통지는 규모 상관 없이 72시간
   • 개보법에서 개인정보 보호의무를 위반한 기업에 부과하는 과징금은 관련 매출액이 아닌 전체 매출액을 기준으로 하도록 확대했지만, '관련 없는 매출'은 뺄 수 있도록 단서 조항을 달았고 시행령에 기준과 방법을 제시했다.
3. 공공분야 등 개인정보 처리 안정성 강화
   • 국민 개인정보가 대규모로 관리되고 있는 주요 공공시스템 운영기관에 대해 접속기록 분석, 점검, 공공시스템별 관리책임자 지정, 공공시스템에 권한 없이 접근한 사실이 확인된 경우 통지 등 안전성 확보 조치를 강화했다.
   • 공공기관이 관리하는 개인정보파일이 내부적 업무처리 목적인 경우 등록 대상에서 제외됐으나, 앞으로는 일시적 처리되는 경우 등 관리 필요가 없는 경우 외에는 등록해 관리해야 한다.
   • 개인정보보호위원회 또는 공공기관이 영향평가서 요약본을 공개할 수 있는 근거를 마련했다.
4. 글로벌 기준 반영
   • 우리나라와 동등한 수준으로 개인정보 보호하는 국가 또는 개인정보보호인증을 받은 기업으로의 국외 이전이 가능하도록 요건을 다양화하고, 법을 위반하는 등의 사유가 있는 경우 국외 이전 중지명령이 가능하도록 했다.
   • 과징금 상한액 산정기준을 위반행위 관련 매출액에서 전체 매출액으로 변경하고, 산정기준이 되는 매출액은 '위반행위와 관련 없는 매출액'을 제외하도록 하여 과징금이 책임 범위 벗어나 과도하지 않도록 했다.
   • 중소, 영세사업자 부담능력 등을 감안해 과징금 납부기한을 2년 범위 내에서 연기하거나 분할 납부할 수 있도록 개선했다.

[참고] 

https://www.koit.co.kr/news/articleView.html?idxno=116772 

동의 없어도 드론·자율주행차 업무 목적 촬영 가능 - 정보통신신문