[6월3일 IT뉴스]개인정보보호법 개정(ISMS-P의무 확대 등), AI보안협의체 GTAC
개인정보 유출 대응 체계를 사후 신고 중심에서 사전 차단 중심으로 바꾸고자 하는 개편 방향을 핵심으로 전합니다. 유출 가능성 단계부터 대응을 의무화하고, CPO의 독립성과 절차를 강화해 이사회 의결과 신고 의무를 확대합니다. 유출 가능성이 인지되면 72시간 내 통지해야 하며, 실제 유출 여부와 무관하게 가능성 단계에서도 적용됩니다. 적용 대상은 매출 1,800억원 이상 대규모 개인정보 처리 기업과 대학·상급종합병원·공공기관 등을 포함해 주요 데이터 보유 기관에 집중합니다. ISMS-P 인증 대상도 통신사, 본인확인기관, 공공기관으로 확대되며, 매출 1조 이상이거나 이용자 3,000만명 이상인 기업은 2028년까지 인증 의무화 규제 체계에 포함됩니다. 위조·변조·훼손까지 보호 범위를 확장하고 비밀번호 변경 등 피해 최소화 조치를 정보주체에 안내하도록 하여 사용자의 대응력도 강화합니다. 과태료와 제재도 강화되어 경고·시정조치의 위반 횟수가 가중됩니다. 전문기관 위탁 근거와 자료 요구 권한도 구체화되어 관리·감독 체계의 실효성을 높입니다. 한편 GTAC 프로그램에 한국이 아시아 최초로 참여해 오픈AI의 보안 특화 AI 모델에 대한 접근 권한을 확보하고, 글로벌 협력으로 취약점 정보 실시간 공유와 AI 기반 해킹 방어 역량 강화를 추진합니다. 국내 사이버 보안 역량 고도화를 위한 연구 및 안전성 협력도 강화합니다. 이러한 변화의 종합적 의미는 개인정보 보호를 사전 예방 중심으로 전환하고 기업 책임과 거버넌스를 고도화하며 대형 플랫폼 중심의 규제 체제를 강화하는 데 있습니다.