기사 상세
개인정보 도둑법이라고 비판받는 ‘데이터 3법’이 국회 본회의를 통과했다. 개인정보 판매와 공유의 위험성, 시행령의 문제점 등 개정된 개인정보보호법에 제기된 우려를 짚어보고, 개인정보 보호 체계 개선을 통한 실효성 있는 개인정보 보호 방법이 무엇일지 살펴본다. 편집자 주
2020년 1월 9일, 소위 ‘데이터 3법’이 국회 본회의를 통과했다. ‘데이터 3법’은 개인정보 보호법, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)」, 「신용정보의 이용 및 보호에 관한 법률(신용정보법)」 등 개인정보에 관한 규율을 담은 세 가지 법을 지칭한다. 이를 ‘데이터 3법’으로 부르는 것은 개인정보를 빅데이터 산업 발전을 위한 하나의 재료로서 바라보는 정부 여당의 관점을 보여준다. 즉, 이번 법률 개정의 주된 취지는 빅데이터 산업 활성화를 위해 개인정보를 정보 주체의 동의 없이 활용할 수 있도록 하겠다는데 있다. 이 때문에 시민사회는 이를 ‘개인정보 도둑법’이라 비판해왔다.
개인정보 판매·공유의 위험성
가장 논란이 됐던 쟁점 중 하나는 ‘과학적 연구’의 개념 혹은 범위에 대한 것이다. 개정 개인정보보호법 제28조의2는 개인정보처리자가 “통계작성, 과학적 연구, 공익적 기록보존 등을 위해 정보 주체의 동의 없이 가명 정보를 처리할 수 있”도록 허용하고 있다. 기존 개인정보보호법에서도 “통계작성 및 학술연구 등의 목적을 위해 필요한 경우” 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공할 수 있도록 하고 있다. 그런데 이를 왜 과학적 연구로 바꾼 것일까.
개정 개인정보보호법은 ‘과학적 연구’를 “기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구”로 정의하고 있다. 과학적 연구는 과학적 방법을 적용하는 연구라니, 이는 동어반복에 불과하다. 미신적 방법을 적용하는 연구도 있는가. 이렇게 정의를 한 것은 과학적 연구라고 주장하는 모든 연구에 동의 없이 개인정보(가명정보는 일부 식별자를 제거하는 등의 처리를 한 것이지만 여전히 개인정보이다)를 제공하기 위한 것이다. 예를 들어 기업 내부에서 신상품 개발을 위해 수행하는 연구 역시 과학적 방법을 사용할 것이기에 ‘과학적 연구’에 포함될 것이다.
필자 역시 ‘학술 연구’를 위해 개인정보를 동의 없이 제공할 수 있다고 생각한다. 예를 들어 공공보건 정책 연구의 수행을 위해 수백만 명의 개인정보가 필요할 경우 연구자가 수백만 명의 동의를 받아 연구를 수행하기는 힘들 것이다. 다만, 필요 이상의 개인정보를 포함할 필요는 없고 가명처리, 보안조치 등 안전조치를 취해야 할 것이다. 또한 해당 연구 결과는 공유돼 우리 사회의 지적 기반을 확대하는데 기여할 수 있어야 한다. 특정 기업의 사적 이익을 위해 정보 주체의 권리를 제한할 이유는 없기 때문이다.
그런데 개정 개인정보보호법은 사적인 이익을 위한 기업 내부 연구를 위해서도 개인정보를 제공할 수 있도록 하고 있다. 예를 들어 A포털사가 신상품 개발을 위한 연구를 위해 B통신사의 고객정보를 요청할 수 있을 것이다. 요청을 받은 B통신사는 자신의 고객 정보를 가명처리해서 A포털사에 제공할 수 있다. 그런데 B통신사가 A포털사에 무료로 제공할까? 아마도 고객정보에 대한 대가를 받거나 혹은 A포털사의 고객정보를 반대급부로 요구할 것이다. 그런데 B통신사의 고객 정보를 탐내는 곳은 A포털사만이 아닐 것이다. 이런 식으로 서로 다른 영역의 기업 간에 가명 처리된 고객 정보를 판매하고 공유할 우려가 있다.
더 우려스러운 것은 서로 다른 기업들의 고객 정보 결합을 허용하고 있다는 점이다. 2016년 6월 박근혜 정부는 <개인정보 비식별조치 가이드라인>을 통해 한국인터넷진흥원(KISA) 등 공공기관을 데이터 결합 전문기관으로 지정하고 기업들의 고객 정보 결합을 지원한 바 있다. 예를 들어 A기업과 B기업의 고객 정보를 결합해 생성된, 공통 고객의 결합된 고객 데이터베이스를 다시 A, B 두 기업에 제공한 것이다. A기업은 B기업이 보유하고 있는 고객 정보를 별다른 비용 없이 획득한 셈이다. 물론 비식별 처리해 결합한다고 하지만, 이미 고객정보 원본을 가지고 있는 두 기업이 과연 특정 개인을 재식별할 능력이 없을지 의문이다. 개정 개인정보보호법은 이와 같이 공공기관을 통한 고객정보 결합 서비스를 아예 입법화한 것이다.
해외에서는 공공기관이 보유한 개인정보를 결합해 학술 연구자에게 제공하는 사례는 많이 존재한다. 연구 제안서를 평가하고 학술 연구자에게 개인정보 보호에 대한 교육 훈련을 시키고 안전한 보안시설에서 결합된 개인정보에 접근하게 하는 등 데이터 거버넌스가 잘 구축된 곳도 있다. 그러나 민간기업이 보유한 개인정보 결합을 지원하는 공공기관을 해외에서는 찾기 힘들다. 국내에서는 개인정보 보호나 학술 연구 지원보다는 산업 활성화에 방점을 찍고 있는 것이다.
개인정보보호법 시행령의 문제점
이런 논란에도 불구하고 국회는 ‘데이터 3법’을 통과시켰다. 법안 통과 이후 정부는 시행령 개정 작업을 진행했고 지난 3월 31일 각 법률의 시행령을 입법예고했다. 앞서 시민사회는 2월 17일 발표한 의견서를 통해, 앞서 언급한 바와 같은 개정 개인정보보호법의 문제를 시행령을 통해서라도 최소화할 것을 촉구했다. 그러나 정부가 입법예고한 시행령은 시민사회 입장에서 매우 실망스럽다.
우선 과학적 연구의 범위를 어떻게 봐야 할 것인지에 대해서는 시행령에서 다루지 않았다. 개인정보보호법 개정안 발의 당시 행정안전부 국장은 가명 정보의 판매는 허용하지 않겠다고 했지만, 어떠한 근거로 그렇게 하겠다는 것인지 법률과 시행령만 봐서는 명확하지 않다. 향후에 고시나 가이드라인, 해설서 등을 통해서 다루겠다는 것인지 의문이다. 가명 정보의 결합과 관련해, 보안조치가 된 분석 공간에서 결합된 정보를 분석하도록 한 것은 긍정적이지만, 분석 공간에서 연구 수행이 힘들 경우에는 결합된 정보를 반출할 수 있도록 했기 때문에, 분석 공간에서 분석하도록 한 조항이 의미가 없어질 수도 있다. 가명 정보 형태로 결합된 정보를 반출할 수 있도록 한 법률 조항에 대해 비판이 제기됐음에도 불구하고 시행령에서도 구체적인 조건을 규정하지 않았다. 해외에서는 대체로 연구 결과물조차 개인 식별 가능성이 없도록 검토한 후에 반출을 허용한다. 그 밖에 연구 제안서에 대한 평가, 연구자의 자격 요건 규정, 어떠한 데이터의 결합이 이루어졌는지에 대한 공개 등 안전성과 공공성을 강화하기 위한 내용은 찾아보기 힘들다.
금융위원회의 마이웨이
그래도 최악은 신용정보법과 금융위원회다. 금융위원회는 ‘데이터 3법’ 논의 과정에서도 노골적인 부처 이기주의를 보여줬다. ‘데이터 3법’에서 그나마 긍정적인 점은 개인정보보호법, 정보통신망법 등으로 분산된 개인정보 보호 법률을 일원화하고 감독기구도 개인정보보호위원회로 통합한 것이었다. 개인정보 보호법령과 감독기구가 분산돼 있어 수범자의 혼란을 야기하고 효율적인 개인정보 보호정책 집행에 장애가 됐기 때문이다. 신용정보법의 개인정보 관련 규정도 개인정보보호법으로 통합하고 감독 권한도 개인정보보호위원회로 이관돼야 했지만, 금융위원회의 고집으로 무산됐다. 금융위원회는 자신이 신용정보업체에 대한 감독을 맡고 있기 때문에 개인신용정보에 대한 감독까지 담당하는 것이 효과적이라고 주장하나, 이런 논리라면 교육, 의료 등 부문마다 별도의 감독기구를 둬야 할 것이다. 또한 개인정보보호위원회가 개인정보 보호정책을 통합해 담당하더라도 각 부문의 정부부처와 공동으로 감독하는 것이 가능하다.
신용정보법의 개정 방향 중 하나는 개인정보보호법과의 중복과 혼란을 최소화하는 것이었는데, 이러한 취지가 무색하게 개정 신용정보법은 혼란을 가중하고 있다. 예를 들어 개인정보보호법은 ‘과학적 연구’라는 용어를 사용하고 있는 반면, 신용정보법은 ‘연구’라는 용어를 사용하고 있다. 같은 ‘가명처리’인데 개인정보보호법과 신용정보법의 정의가 다른 것이다. 단지 용어의 차이에 그치는 것이 아니라 실질적인 운용에 있어서도 차이가 있다. 신용정보법은 개인정보보호법과 달리 데이터 전문기관에서 ‘익명처리의 적정성을 평가’할 수 있는 권한을 부여하고 있다. 그뿐만 아니라, 결합된 데이터를 안전한 분석공간에서 수행케 하는 것이 아닌 결합을 의뢰한 업체에 전달하도록 하고 있다. 신용정보법은 2016년 박근혜 정부의 <개인정보 비식별조치 가이드라인>에 여전히 머물러있는 것이다.
개인정보 보호 체계, 어떻게 개선할 것인가
개인정보보호법은 이미 통과됐지만 시행령 및 고시 등 하위 법령이 어떻게 정해지는지에 따라, 그리고 새로 설립될 통합 개인정보보호위원회가 어떻게 활동하느냐에 따라 국내 개인정보 환경은 크게 달라질 것이다. ‘데이터 3법’에 대해 제기된 우려를 최소화하고, 새로운 기술 환경에서 개인정보를 실효성 있게 보호하기 위해 다음과 같은 노력이 필요하다.
첫째, 2020년 8월 5일 새롭게 출범 예정인 통합개인정보보호위원회가 정보인권의 수호자로서 제 역할을 수행해야 한다. 개인정보 활용과 보호의 균형은 활용을 위해 보호 수준을 완화하라는 것이 아니다. 개인정보보호위원회가 새로운 기술 환경에 맞는 개인정보 보호의 기준을 정립한다면, 그러한 규범에 맞게 개인정보를 활용하면 될 일이다. 개인정보보호위원회는 고시, 지침, 해설서 등의 제정 과정에서 개정 개인정보보호법에 제기되는 우려를 충분히 고려해야 한다.
둘째, 신용정보법의 개인정보 규정을 개인정보보호법으로 통합하고 금융위원회의 감독권한도 개인정보보호위원회로 이관해야 한다. 늦어질수록 개인 신용정보의 침해 우려가 커질 뿐만 아니라 개인 신용정보와 다른 개인정보의 결합을 통해 전반적인 개인정보 보호가 위협받을 수 있다.
셋째, 가능한 한 빨리 개인정보보호법을 개정해야 한다. 우선 개정 개인정보보호법이 졸속으로 발의된 나머지 정보통신망법상의 규정을 개인정보보호법의 관련 규정에 제대로 통합하지 못하고 ‘특례 조항’ 형태로 형식적으로만 합쳐놓았다. 또한, 프로파일링 등 자동화된 처리에 대한 정보 주체의 권리, 개인정보 중심설계 및 기본설정(Privacy by Design & Privacy by Default), 개인정보 영향평가 등 빅데이터 환경에서 정보주체의 권리 보호 및 개인정보처리자의 책임성 강화를 위한 규정도 신설할 필요가 있다.
저자의 다른 미디어
