본문바로가기

법무법인 민후는 위치정보 관련 서비스를 운영하는 기업 고객사로부터, 개인위치정보사업자 정기 실태점검에 따른 보완자료의 적정성과 위치정보 보호를 위한 관리적·기술적 조치 및 파기절차가 관련 법령상 요구사항을 충족하는지에 관한 법률자문을 요청받았습니다.

고객사는 정기 실태점검 과정에서 확인된 사항을 반영하여 취급대장 관리, 정기 자체검사, 저장정보 암호화 및 개인위치정보·수집사실 확인자료의 파기 등에 관한 보완자료를 마련하고 있었습니다. 법무법인 민후는 고객사가 수정한 자료와 증빙자료를 검토하여 실제 제출 가능한 수준인지 확인하고, 추가적인 지적 가능성을 낮추기 위해 보완이 필요한 부분을 검토하였습니다.

먼저 개인위치정보 취급대장의 작성·관리 방식을 검토하였습니다.

고객사는 취급대장의 수집기간 및 보관기간을 관련 법령상 보존기한에 맞추어 정비하고, 수집사실 확인자료에 필요한 사항을 추가하는 방식으로 기존 자료를 보완하였습니다. 법무법인 민후는 이러한 조치가 관련 자료의 보존기간과 실제 파기주기 사이의 정합성을 확보하는 방향으로 적절하게 이루어졌는지 확인하였습니다.

아울러 시스템 변경을 통해 이미 개선된 사항이라 하더라도 이번 실태점검의 직접적인 지적대상이 아니라면 불필요하게 제출범위를 확대하기보다, 변경 완료 사실과 시점을 내부 품의·시스템 변경기록 등으로 보존하여 향후 점검에서 즉시 소명할 수 있도록 관리하는 방안을 권고하였습니다.

다음으로 정기 자체검사의 실시 및 증빙자료 구성을 검토하였습니다.

고객사가 실제 자체검사를 실시했음에도 일부 연도의 자료가 최초 제출 과정에서 누락된 사안에 대해서는, 최근 자료가 존재하지 않는 문제와 단순한 제출자료 누락을 구별하여 대응할 필요가 있다고 보았습니다. 이에 관련 연도의 자체검사 자료가 보완자료에 모두 포함되었는지 최종적으로 확인하도록 하고, 향후에는 암호화와 파기 등 위치정보 보호조치 전반이 자체검사의 범위에 포함된다는 점을 보다 명확하게 나타낼 수 있도록 점검체계를 정비하는 방안을 제시하였습니다.

특히 이번 자문에서 중요하게 검토한 부분 중 하나는 저장되는 위치정보의 암호화 조치가 실제로 적절하게 이루어지고 있다는 사실을 어떻게 소명할 것인지였습니다.

고객사는 안전한 암호 알고리즘과 일정 수준 이상의 키 길이를 사용하는 암호화 방식을 적용하고 관련 인증자료까지 증빙자료로 마련하였습니다. 법무법인 민후는 이러한 조치가 암호화 방식 자체의 안전성을 설명하는 자료로서는 적절하다고 판단하였습니다.

다만 기술적으로 암호화가 적용되고 있다는 사실만 제시해서는 충분하지 않을 수 있습니다. 제출된 자료만으로는 실제로 암호화되는 데이터가 규제기관에서 요구하는 ‘위치정보값’에 해당하는지 불분명하게 보일 가능성이 있었기 때문입니다.

이에 법무법인 민후는 실제 암호화 대상 데이터에 시간·장소 등 위치정보가 포함되어 있어 해당 데이터의 암호화를 통해 위치정보값이 보호된다는 점을 소명자료에 명확하게 기재하거나, 관련 데이터 필드가 어떠한 방식으로 저장·보호되는지를 추가로 설명하도록 권고하였습니다.

이는 실태점검 대응에서 보호조치를 실제로 시행하고 있는 것과 그 사실을 제출자료를 통해 충분히 입증하는 것은 별개의 문제라는 점에서 중요합니다. 기술적 보호조치가 적절하게 이루어지고 있더라도 증빙자료만으로 보호대상과 보호방식의 관계가 명확하게 확인되지 않는다면 추가적인 보완요구가 이루어질 수 있기 때문입니다.

또 다른 주요 검토사항은 개인위치정보 및 수집·이용·제공사실 확인자료의 파기절차였습니다.

고객사는 관련 데이터의 보유기간을 일관되게 조정하고, 일정한 주기에 따라 데이터베이스에서 삭제하는 구조를 보완자료에 반영하였습니다. 법무법인 민후는 관련 자료의 보유기간과 실제 파기주기 사이의 정합성이 개선되었다는 점을 확인하였습니다.

다만 데이터베이스에서 삭제되어 더 이상 조회되지 않는다는 사실만으로는 위치정보법에서 요구하는 파기조치가 충분히 소명되지 않을 가능성이 있다고 검토하였습니다.

위치정보법에서는 개인위치정보 등을 파기하는 경우 복구 또는 재생을 방지하기 위한 조치가 요구될 수 있으므로, 운영 데이터베이스에서 삭제되었다는 사실뿐만 아니라 백업 데이터까지 포함하여 해당 정보가 다시 복원될 가능성이 없도록 관리되고 있는지를 함께 살펴볼 필요가 있습니다.

이에 법무법인 민후는 고객사가 제출할 보완자료에 백업 데이터의 보존기간과 자동삭제 또는 순환정책 등을 추가로 설명하여, 삭제된 정보가 백업본을 통해 다시 복원되지 않는다는 점까지 소명하는 방안을 권고하였습니다.

이번 자문은 개인위치정보사업자의 정기 실태점검 대응에서 단순히 관련 법령상 의무를 이행하고 있는지를 확인하는 데 그치지 않고, 취급대장·자체검사·암호화·파기 등 개별 보호조치가 실제 시스템 운영현황과 일치하는지, 제출자료 사이에 모순이 없는지, 규제기관이 요구하는 사항을 증빙자료만으로 충분히 확인할 수 있는지를 종합적으로 검토했다는 점에 의미가 있습니다.

법무법인 민후는 이번 자문을 통해 고객사가 개인위치정보사업자 정기 실태점검에 대응하여 취급대장과 정기 자체검사 자료를 정비하고, 위치정보 저장 시 적용되는 암호화 대상과 보호방식을 명확하게 소명하는 한편, 데이터베이스뿐 아니라 백업자료의 복구·재생 방지까지 고려한 파기절차를 마련하여 관련 법령상 관리적·기술적 보호조치의 이행 여부를 효과적으로 소명할 수 있도록 법률자문을 제공하였습니다.

업무 수행 변호사
최근 유사 업무사례
더보기 +
목록