개인정보처리자에 대한 책임을 묻고자 지난해 3월 30일 개인정보보호법이 본격 시행됐다.
시행 초기 행정안전부에서는 공공기관과 민간기관, 법인과 개인에게 개인정보 보안 의무를 강력히 부여, 철저한 단속을 통해 개인정보 보안을 소홀히 한 자에 대해 최대 5년 이하의 징역이나 5천만원 이하의 과태료를 부과하겠다고 밝혀, 일부 치과에서는 부랴부랴 환자 개인정보 안전에 대한 조치를 취했다.
하지만 시행된지 1년이 채 안된 지금 벌써부터 ‘허울뿐인 개인정보보호법’이라는 말이 나오고 있다. 그 이유는 그동안 개인정보보호법을 위반해 개인정보 처리자가 처벌을 받았다는 소식을 접해보지 못했기 때문.
전국 개원가에서 몇 퍼센트나 개인정보보호법이 정한 안정성 확보조치를 이행하고 있는지 의문이다.
모 원장은 “당장 지키지 않으면 큰일 날 것처럼 겁을 주더니 단속은 하고 있는 건지 모르겠다. 그동안 주변 동료와 선?후배를 통틀어 개인정보보호법과 관련해 조사나 단속을 받았다는 얘기를 듣지 못했다”며 “돈을 들여 안전장치를 마련한 원장이 적지 않을 것인데, 치협도 지난해 9월 1차례 개인정보보호 실무교육 이후 큰 관심이 없는 것 같다”고 말했다.
이 때문일까. 아직까지 개인정보보호법이 무엇인지 모르는 원장들부터 치과에서는 무엇을 어떻게 준비해야 하는지 모르는 원장들도 적지 않다.
행정안전부 개인정보보호 조사과 김성규 사무관은 “개인정보보호법과 관련해 대기업부터 중?소기업, 영세기업, 각종 협회와 민간기업, 공공법인과 공공기관 등 단속 대상이 350만 곳 이상이다. 지난해는 시행 첫 해로 대기업과 공공기관, 보험사와 유통회사 등 상대적으로 개인정보 보유량이 많은 기관을 대상으로 단속을 진행했으며,  그에 해당하는 과태료 등의 처분을 내렸다”며 “그렇다고 소규모 기관이나 개인병원, 영세기업 등을 단속 대상에서 배제한 것은 아니다. 계도 위주의 조사를 진행하면서 개인정보 유출이나 개인정보 침해 등 문제를 일으켰다고 신고가 들어온 기관이나 병원에 대해서는 단속을 진행해 처분을 내렸다”고 말했다.
그는 이어 “약 10개월 제도 정비기간을 거친 만큼 올해부터 대상 규모나 개인정보 보유량 등과 상관없이 영세기업을 포함한 모든 기관에 대해 체계적으로 단속을 강화할 계획”이라며 “올해 연말쯤에는 그동안 단속한 결과 데이터가 확보될 것”이라고 말했다.
한편 현행 개인정보보호법은 공공기관과 민간기관을 같은 법령으로 규율하고 있다. 일관성이라는 측면에서는 바람직해 보일 수 있지만 형평성에서 차이가 난다. 미국의 경우에도 공공기관에 대해서는 까다로운 절차 등을 통한 엄격한 규율인 옵트인제도를, 민간기관에 대해서는 옵트아웃을 인정, 자율규제로 방향을 잡고 데이터의 자유로운 이용 등을 보장하면서 공공기관과 다른 차원에서 접근하고 있다.
공공기관의 경우 정부 지원 등 재정 충당이 쉽기 때문에 안전성 확보 조치가 비교적 쉽지만, 민간기업의 경우 보안투자에 대한 경제적 부담이 만만치 않은 것이 사실이다.