[월간경실련 2020년 7,8월호 – 활동가가 주목하는 이슈]
개인정보의 가치는 활용보다 보호에 있다
가민석 정책국 간사
누군가 나의 정보를 동의 없이 사용할 수 있다. 정확히 말하자면 오는 8월 5일부터 개인정보 중 하나인 ‘가명 정보’를 그 정보의 주체가 동의하지 않아도 산업 전반에서 활용할 수 있게 된다. 가명 정보란 개인정보에서 이름, 주민등록번호, 연락처 등 식별정보가 일부 지워지거나 가공된 것으로서 추가적인 처리 없이는 개인을 특정할 수 없는 정보다. 나이, 성별, 지역과 같은 범주화시킬 수 있는 정보는 남아 있어서 개인을 전혀 식별할 수 없는 익명 정보보다 산업적 가치가 높다고 할 수 있다.
올해 초 국회 본회의를 통과한 일명 “데이터 3법” 개정안이 약 6개월의 유예기간을 거쳐 8월 시행을 앞두고 있다. 정부가 발표한 ‘한국판 뉴딜’의 중요한 축인 디지털 뉴딜의 근거로 작용할 것으로 기대된다. 개정안 통과를 숙원으로 여기던 각종 업계에서도 환영의 목소리가 나오고 있다. 분명 데이터 융합시대에 발맞춘 시기적절한 조치라 볼 수 있지만, 시민사회는 그 이면에 숨어 있는 부작용을 우려하고 있다. 보호받아야 마땅한 개인정보에 대한 권리가 개정된 법안을 통해 오히려 침해될 여지가 많기 때문이다.
데이터 3법
데이터 3법은 개인정보보호법, 정보통신망법, 신용정보법 개정안을 통칭한다. 이 개정안의 목적은 가명 정보를 이용하여 데이터 산업을 발전시키고 개인정보에 대한 보호체계를 정비하는 것에 있다.
데이터는 미래 산업의 원유로 불린다. 4차 산업혁명으로 빅데이터와 인공지능 산업 등이 각광 받고, 코로나19 여파로 경제사회 구조가 비대면·디지털화되었다. 데이터 경제를 선도하고 활성화하기 위해 가명 정보 이용의 기대효과는 상당하다. 개정된 개인정보보호법 제 28조의2 1항에 따르면 “개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보 주체의 동의 없이 가명 정보를 처리할 수 있다”. 이에 그동안 규제에 막혀 있던 산업 전반에 활로가 열릴 것으로 보인다.
개인정보 보호 체계를 일원화하고 강화하는 방안도 포함한다. 그동안 개인정보 보호에 대한 법이 소관 부처별(행정안전부, 과학기술정보통신부, 금융위원회)로 나뉘어 중복규제되던 문제를 해결하기 위해 개인정보보호법으로 법제를일원화했다. “특정 개인을 알아보기 위한 목적으로 정보를 처리한 경우 전체 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과”하는 등 의무와 처벌에 대해서도 명시되었다. 또한 개인정보 처리자를 감독하고, 정보 주체의 권리 보호를 담당하기 위해 ‘개인정보보호위원회(이하 개보위)’가 기존 대통령 직속 기구에서 독립된 중앙행정기관으로 격상된다.
개인정보‘활용’법
거듭 개인정보 ‘보호’가 언급되고 있지만 실질적으로 나의 권리가 보장받을 수 있을지는 의문이다. 개정안이 안고 있는 근본적인 결함을 비롯해 시행령과 고시로도 메우지 못하는 구멍들이 산재하고, 논란의 지점들도 다양하기 때문이다.
크게 가명 정보를 1) ‘처리’하고, 2) ‘결합 및 반출’하는 두 가지 맥락으로 이해할 수 있다. 앞서 언급한 세 가지 목적에 부합할 경우 개인의 식별정보를 가명 정보로 처리하는 것이 가능하다. 그러나 그 해석이 매우 모호해지는데, 특히 과학적 연구라는 것의 범위가 어디까지인지 확정할 수 없다. 현재 산업적 연구까지 과학적이라는 범위 내에 들어가 있어 기업의 자체적인 영리 목적을 위해 악용될 소지가 있을 뿐 아니라, 사실상 처리 주체가 “과학적 연구”라고 주장했을 때 사실 여부를 명확히 따져볼 만한 기준이 존재하지도 않는다. 즉, 가명 정보를 활용하고자 하는 요구자가 나타났을 때 이를 엄격히 평가하고 심사할 수 있는 절차가 미비한 것이다.
결합하면 문제는 더 심각해진다. 예를 들어 가명 정보를 가지고 있는 다수의 기업들이 결합 전문기관에 신청하면 각자 가지고 있는 정보가 ‘결합’되어 활용성이 좋아진 정보가 ‘반출’된다. 이것은 개인을 식별하기 더욱 용이한 자료로 거듭난다는 의미라서 우려하지 않을 수 없다. 결합을 신청하거나 결합된 정보를 반출할 경우 모두 심사과정을 거치는데, 각계각층의 의견을 수렴하는 유예기간이 흐르는 동안 반출의 규제가 더 완화된 시행령 재발의안이 탄생하는 지경까지 이르렀다. 개인정보보호 체계를 정비하는 것이 개정안의 큰 갈래 중 하나였지만 시행을 코앞에 두고도 개악의 굴레를 벗을 수 없는 상황이다.
데이터 경제와 권리 보호
사회 주체별로 시각이 달라 요구하는 방향도 상이하겠지만 활동가의 입장에서 데이터 3법 개정은 시민의 권리가 침해될 지점이 상당한 조치다. 물론 제재를 위한 규정과 장치가 존재한다. 그러나 정보 활용의 근거가 구체적이고 방대한 것에 비해 보호를 위한 방안은 모호하고 미흡하다. 합법적으로 익명 정보만 활용할 수 있었던 시기에도 유출, 판매를 비롯한 개인정보 문제들을 심심치 않게 접한 바 있다. 원칙의 영역에서는 해결책이 뚜렷해 보이지만 현실의 영역에서는 활용 가치가 더욱 뛰어난 가명 정보로 인해 개인의 권리가 침해될 소지가 다분하다.
우리나라 산업이 발전한다고 불쾌할 국민은 없을 것이다. 시민사회도 데이터 산업의 성장을 방해하고 싶은 것이 아니다. 다만 문제상황을 방지하기 위해 규정을 명확히 하고 다양한 절차를 마련하는 것에 대한 공백이 존재하기에 걱정이 될 뿐이다. 데이터 경제가 부각되는 글로벌 시대에도 우리의 권리는 여전히 소중하기에, 보호받아 마땅한 우리의 개인정보가 최대한으로 지켜지고 최소한으로 노출되기 바란다.
