개인정보 보호법 개정안은 제22대에 왜 83건이나 쌓였을까: 개정 추적

제22대 국회에 접수된 개인정보 보호법 개정안은 83건이에요. 그런데 83건 어디에도 공포 표기는 없어요. 공포로 기록된 건은 다른 쪽에 있는데, 원안 14건을 모은 위원회 대안 한 건이 2026년 2월 12일 본회의에서 의결돼 처리 단계가 공포로 기록됐거든요 (의안 원문). 83건과 이 대안은 어떻게 이어져 있을까요?

개정안은 대수별로 어떻게 쌓였을까요?

대수별로 세어 보면 제18대 5건, 제19대 40건, 제20대 52건이에요. 이어서 제21대가 63건이고요.

임기가 진행 중인 제22대는 83건이에요. 제18대에서 출발한 흐름이 대수마다 한 번도 줄지 않고 지금 자리까지 왔다는 뜻이에요. 수집과 이용의 근거, 정보주체의 권리, 처리자의 안전조치 의무가 한 법에 걸쳐 있다 보니 손대려는 대목도 여러 갈래로 나뉘어요.

제22대 83건은 지금 어떤 상태로 남아 있을까요?

처리 상태로 갈라 보면 상임위 심사 단계인 소관위심사가 37건으로 가장 많아요. 회부와 접수까지 기록이 남은 소관위접수가 28건, 위원회 대안 쪽으로 내용이 넘어간 대안반영폐기가 16건, 본회의에 부의하지 않기로 한 본회의불부의가 2건이고요. 37 더하기 28 더하기 16 더하기 2로 83건이 맞아떨어져요.

위원회가 개정안들을 묶어 대안을 만들면 원안 쪽 기록에는 대안반영폐기가 찍혀요. 부결과는 다른 갈래이고, 본회의에 올리지 않기로 한 본회의불부의와도 결이 달라요.

2026년 2월 의결된 대안은 무엇을 문제로 짚었을까요?

앞에서 연 대안의 제안이유는 사고 기록에서 출발해요. SK텔레콤, 롯데카드, 쿠팡 같은 통신사와 금융사, 플랫폼 사업자에서 대규모 개인정보 유출사고가 잇따라 국민 피해가 확대되고 있는데도, 일부 기업은 개인정보 보호를 비용으로만 인식해 보호 노력이 충분하지 않다는 지적이 제기된다는 진술이에요.

그래서 침해사고를 사전에 예방하고 기업의 책임성을 강화하기 위해 개인정보 보호 체계와 행정제재의 실효성을 손봐야 한다는 게 이 대안이 든 이유예요.

그 대안은 어떤 조문을 새로 넣었을까요?

먼저 책임자 쪽이에요. 사업주 또는 대표자를 개인정보 처리와 보호에 관한 최종 책임자로 명확히 규정하고, 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 개인정보 보호책임자 지정에 관한 사항을 신고하도록 의무화했어요(안 제30조의3 신설 및 제31조). 매출액과 개인정보 처리 규모를 고려해 정하는 기준에 해당하는 처리자에게는 개인정보 보호 인증을 의무적으로 받도록 했고요 (안 제32조의2).

통지 범위도 넓혔어요. 기존 통지 대상이던 분실·도난·유출에 위조·변조·훼손을 더하고, 대통령령으로 정하는 유출 가능성이 있는 경우에도 통지 의무를 두도록 했어요(안 제34조).

과징금은 요건을 나눠 적었어요. 고의 또는 중대한 과실로 3년 이내에 반복해 위반한 경우, 고의 또는 중대한 과실로 1천만명 이상의 대규모 피해가 발생한 경우, 시정조치 명령을 따르지 않아 유출이 발생한 경우에는 전체 매출액의 10% 범위에서 과징금을 부과할 수 있도록 했어요. 예산·인력·설비· 장치 등의 투자와 운영처럼 대통령령으로 정하는 사유가 있으면 과징금을 감경하도록 한 조항도 함께 들어갔고요(안 제64조의2제2항 신설 등).

앞선 대안은 국내대리인 제도를 어떻게 손봤을까요?

2025년 3월 13일 의결된 대안은 원안 2건의 내용을 모았어요 (의안 원문). 국내에 주소나 영업소가 없는 개인정보처리자는 개인정보 보호책임자의 업무와 유출 통지·신고 등을 대리하는 국내대리인을 지정하도록 돼 있는데, 지정 요건에 국내 소재 말고는 형태나 운영방식에 관한 규정이 없어 여러 국내대리인이 하나의 주소지를 두는 등 형식적으로 운영되는 문제가 있다는 게 제안이유예요.

이 대안은 개인정보처리자에게 국내대리인 관리·감독 의무를 부과하고, 국내 법인을 설립·운영 중인 경우에는 그 법인을 국내대리인으로 지정하도록 했어요. 관리·감독을 소홀히 하거나 지정 요건에 따라 지정하지 않는 경우, 개인정보 처리방침에 국내대리인의 전화번호 등을 공개하지 않는 경우에는 과태료를 부과하도록 했고요(안 제31조의2제1항·제2항 및 제75조제3항·제4항).

개인정보 보호법 개정 기록, 어디부터 볼까요?

83건이 곧 개정 횟수는 아니에요. 접수된 개정안을 센 값이니까요.

공포로 기록된 대안 두 건은 맡은 자리가 서로 달라요. 2026년 2월 12일 의결된 쪽은 원안 14건을 모아 보호책임자 신고 의무와 보호 인증 의무화, 통지 범위 확대, 매출액 기준 과징금을 한자리에 실었어요. 2025년 3월 13일 의결된 쪽은 원안 2건을 모아 국내대리인의 지정 요건과 과태료를 손봤고요. 개정안 한 건이 어디까지 갔는지 궁금할 때 펼쳐 볼 기록이 이 주요내용이에요. 다른 법률의 개정 기록은 전기통신사업법 개정 추적 편과 정부조직법 개정 추적 편에서 같은 방식으로 볼 수 있어요. 제정과 개정을 가르는 기준은 제정·일부개정·전부개정 편에서 볼 수 있고요.