[비즈한국] 今年に入り相次いで発生した大規模な情報流出事故によって規制の実効性が問われる中、情報保護強化に向けた立法の動きが活発化している。SKテレコム017670のUSIM（加入者識別装置）ハッキング事態以降、YES24053280、KT030200、ロッテカードなどで顧客情報の流出が繰り返された半年間、情報保護管理体制（ISMS）と調査手続きの変更を求める情報通信網法改正案が25件発議された。潜在的な被害者にも流出の可能性を通知したり、全利用者に対する保護措置を義務化する法案も推進されている。類似の事故と報告の遅延が繰り返される中で制度強化を求める声が高まっており、相次ぐ法案がセキュリティの「空白」を埋められるか注目される。
企業対応の遅延防止・義務の具体化が核心
今年4月に発生したSKテレコムのUSIMハッキング事態以降、国会は対策作りに奔走した。2日、国会法案情報システムによると、6ヶ月間に発議された「情報通信網利用促進及び情報保護等に関する法律の一部改正案（情報通信網法改正案）」は25件にのぼった。報告・通知義務を具体化して企業の対応遅延や回避を防ぎ、情報保護の予算投資や管理体制の運用実態などを体系化する内容が主をなした。
現行法は利用者保護義務を規定しているが、ハッキングなどの侵害事故発生時の保護措置に関しては具体的な規定を置いていない。例外的な場合に通知を先延ばしにできるようになっており、対応の「穴」を生んだと評価されている。個別の改正案では、△迅速な被害救済義務の賦課及び未履行時の過料引き上げ（チェ・ミンヒ議員案）△一定規模以上の事業者に対する情報保護レベル評価の義務化及び結果公開（イ・ヘミン議員案）△情報保護最高責任者に人材管理及び予算編成権限を付与（チョ・インチョル議員案）△公共機関の情報保護管理体制認証の義務化（キム・ギヒョン議員案）などが提案された。
これらの法案は、最近の大規模な個人情報流出事故で露呈した企業による報告の遅延や隠蔽行為、政府対応体制の弱点、公共機関のセキュリティの死角などから出発した。多数の法案は、管轄機関の権限と制裁手段を具体的に法に盛り込み、企業には被害拡大防止及び救済義務を課すという立法議論を盛り込んでいる。
国会科学技術情報放送通信委員会所属のイ・ヘミン議員（祖国革新党）が韓国インターネット振興院（KISA）から提出を受けた資料によると、昨年8月以降の1年間で確認された報告の遅延や未報告の事例は66件にのぼる。昨年8月の情報通信網法改正により事故発生から24時間以内の報告が義務化されたが、一部の企業では事故を認知してから1年が経過した後に報告するケースも存在した。過料が最大3000万ウォンに過ぎない現行の制裁水準が、企業の報告回避を助長しているとの指摘がある。
今年に入り毎月繰り返された大規模な情報流出事件をきっかけに、政府の事前予防と事後対応体制の双方に弱点があるという事実が浮き彫りになった。最近、顧客3370万人の個人情報が流出したクーパンをはじめ、SKテレコム、YES24、ロッテカード、KTなどはすべて国内最高レベルのセキュリティ認証「ISMS-P（情報保護及び個人情報保護管理体制認証）」を取得した企業である。
このうちロッテカードは、サーバーハッキング発生の2日前に金融保安院からこの認証を取得していた。サイバー侵害の脅威に効果的に対応する能力があると認められていたのだ。金融圏以外で発生した民間でのセキュリティ事故は、情報通信網法や情報保護産業法などに従い、科学技術情報通信部傘下のKISAが担当する。政府が情報通信網の安全性を保証するために導入したこのセキュリティ認証は、実際には最低限の基準のみを満たす形式的な制度であるとの指摘を受けている。
企業内のセキュリティ体制強化…「保護措置」の義務化も推進
同期間、個人情報保護法（18件）と電気通信事業法（5件）の改正案も相次いで立案された。個人情報流出に関連して、情報主体に対して迅速かつ十分な情報を提供し、政府の権限などを強化すべきという大きな枠組みは同様である。
具体的に見ると、個人情報保護法改正案は、△個人情報の処理及び収集段階での権利告知手続きの強化、個人情報影響評価の義務実施対象を民間に拡大（パク・ミンギュ議員案）△流出の可能性がある全ての潜在的被害者を対象にした個別通知の義務化（イ・フンギ議員案）△電話・メール・Eメール・書面による個別通知及び再発防止対策の公開義務など、いわゆる「個別通知義務化法」（イ・ヘミン議員案）など、情報主体の知る権利を保障するための詳細規定を扱っている。
国会科学技術情報放送通信委員会は先月19日、法案小委員会で企業内部の情報保護の意思決定構造と責任体制を強化する情報通信網法改正案を委員会案として議決した。情報通信サービス提供者が情報保護の専門人材及び十分な予算を確保するために努力し、情報保護責任者（CISO）に人材管理・予算編成権限を付与し、情報保護の現状を理事会に報告するようにする内容である。
当局は最近、強制力を強化した規制体制を構築する意志を明らかにしている。金融圏へハッキング事態が拡大する中、金融委員会が課徴金・履行強制金の導入など、制裁レベルを大幅に強化する内容の電子金融取引法改正の推進も示唆した。現行の個人情報保護法によれば、全売上高の3％以内で課徴金を課すことができる。一方で、金融取引法改正案には適切な事後制裁の手段がない。
国会立法調査処も、事故処理に消極的な企業の対応と、政府の不十分な対策の改善の必要性を指摘した。関連報告書では「情報通信網法に、侵害事故発生時にとるべき警告の対象や内容、方式を具体的に定め、広範囲かつ重大な危険を発生させ得ると判断される場合、行政安全部長官と協議して災害警告システムを活用し、迅速にハッキングの事実を案内できる体制を設ける案を検討する必要がある」と言及した。情報通信網法上の侵害事故を、放送通信発展基本法の「放送通信災害」に分類する案も挙がっている。
最近は、個々の被害者に対する実質的な被害補償の必要性にも注目が集まっている。SKテレコムの事例は、集団紛争調整・団体訴訟の施行後初の集団紛争調整申請事例であったが、去る20日、会社側は加入者の個人情報流出被害者1人当たり30万ウォンを賠償するようにという個人情報保護委員会紛争調整委員会の調整案を拒否した。
国会立法調査処のパク・ソヨン立法調査官は、「個人情報侵害による少額・多数被害に対する実効的な救済案を設けることは明らかに必要であり、それについて深い検討が必要だ」としつつも、「米国などとは異なる法体系を持つ韓国で集団訴訟を導入するには、慎重な検討と細心な制度設計が求められる」と指摘した。