정부의 EU 개인정보 보호수준 적정성 평가 추진에 대한 시민사회 의견서
정부의 유럽연합(EU) 개인정보 보호수준 적정성 평가 추진에 대한 시민사회 의견서
유럽연합에서 2018년 5월 25일부터 일반개인정보보호규정(GDPR)이 시행되었다. 기존의 95년 개인정보보호지침과 달리 GDPR은 EU 역내에서 법과 같이 직접적인 구속력을 가진다. GDPR은 EU의 법률이지만 한국을 비롯한 전 세계 기업에게 영향을 미친다. EU 내에서 사업장을 운영하는 기업은 물론, EU 시민에게 재화나 서비스를 제공하는 기업이라면 모두 적용 대상이 되기 때문이다. 이에 따라 개별 기업 차원의 GDPR 대응도 필요하지만, 한국 정부도 유럽에 진출하는 국내 기업의 지원을 위해 EU 적정성 평가를 추진하고 있다.
시민사회는 EU 적정성 평가 추진이 국내 개인정보 보호수준을 국제적인 규범에 맞게 개선하는 계기가 될 수 있다고 생각하며, 한국 정부의 EU 적정성 평가 추진을 기본적으로 환영하는 바이다. 그러나 현재 한국 정부가 추진하는 부분 적정성 결정 추진은 오히려 국내 개인정보 보호법제 개선의 발목을 잡을 수 있다. 그 보다는 국내 개인정보 보호법제를 국제 규범에 맞게 개선한 후, 전체 적정성 결정을 추진하는 것이 보다 효과적이며 한국의 국제적 위상을 높이는 데에도 기여할 수 있다고 생각한다.
이에 한국 정부의 EU 적정성 평가 추진과 관련하여 다음과 같이 시민사회의 의견을 밝힌다.
1. 상향된 개인정보 국제규범 형성의 계기
EU는 자국 시민의 개인정보가 유럽 역외로 이전되는 경우, 원칙적으로 개인정보를 이전받는 제3국이 적정한 개인정보 보호수준을 보장할 것을 요구하고 있다. EU의 법제와 동일할 필요는 없지만, EU에서 보장하고 있는 것과 ‘실질적으로 동등한’ 수준으로 개인의 자유와 권리를 보장해야 한다는 것이다. 이에 EU 집행위원회는 제3국의 요청에 의해 해당 국가의 개인정보 보호수준을 평가하고 적정성 결정을 내린다. 물론 개별 기업 차원에서는 적절한 안전조치의 제공 등 유럽 시민의 개인정보를 자국으로 이전할 수 있는 또 다른 방법이 있지만, 국가 차원에서 적정성 결정을 받을 경우 해당 국가의 기업은 추가적인 조치 없이도 개인정보를 이전할 수 있다.
세계화된 디지털 정보 사회에서 재화나 서비스의 제공을 위한 개인정보의 수집과 이전은 피할 수 없다. 그러나 제3국으로 개인정보가 이전될 경우 본국보다 개인정보 보호수준이 낮은 나라로 이전될 경우에 정보주체의 권리가 침해될 가능성이 높아진다. 따라서 개인정보의 국외 이전 문제는 비단 EU 시민만의 문제가 아니며, 우리 국민의 개인정보가 제3국으로 이전될 때에도 안전하게 보호될 수 있도록 우리 역시 관련 법제를 정비할 필요가 있다.
개인정보의 국제적 이동이 활발해지면서 각 국의 개인정보 보호법제의 상호운용성이 중요해지고 있다. 즉, 개인정보의 보호를 위한 국제적인 규범이 형성되고 있으며, 이는 각 국의 개인정보 보호수준을 향상하는 계기가 될 수 있다. 그렇지 않으면, 개인정보가 추가적으로 이전되면서 개인정보 보호에 허점이 발생할 수 있고, 오히려 개인정보를 보호하지 않는 기업이나 국가가 이익을 볼 수 있기 때문이다. EU 집행위원회도 EU는 세계적으로 높은 수준의 상호 호환가능한 개인정보 보호 표준 증진을 위해 국제파트너와 논의를 지속할 것임을 밝히고 있다.[1]
우리는 EU 적정성 평가 신청을 계기로 한국의 개인정보 보호수준을 한단계 높이는 계기가 되기를 바란다. 다행히 한국 정부는 우리나라 국민의 개인정보가 제3국으로 이전하는 것과 관련하여 해당 국가의 개인정보 보호수준이 적정한 수준이어야만 한다는 내용으로 개인정보보호법 개정도 추진하고 있다고 한다. 시민사회는 정부가 EU 일반개인정보보호규정에 의한 적정성 평가를 추진하고, 우리 개인정보보호법제에 ‘적정성 평가’ 신설을 추진하는 것을 적극 환영한다.
2. EU 적정성 평가에 비추어 본 국내 개인정보 보호체계 개선 과제
한국의 개인정보 보호법제는 강하다고 알려져 있지만, 시민사회단체인 우리가 보기에는 많은 한계를 가지고 있다. 사회 전반을 관할하는 개인정보보호법과 더불어 정보통신망법, 신용정보법, 위치정보법 등 개별 영역을 관할하는 법이 존재하는데, 중복되고 유사한 조항들이 다수 존재하여 수범자의 혼란을 야기하고 있다. 무엇보다 독립적이고 적절한 권한을 가진 개인정보 감독기구의 부재는 큰 문제이다.
개인정보보호위원회를 비롯하여 행정안전부, 방송통신위원회, 금융위원회 등 다수의 감독기구가 있지만, 개인정보보호위원회는 정책의 심의, 의결 권한 및 분쟁조정을 관할하고 있을 뿐 인사권, 예산권이 없어 독립성이 없고 감독기구로서 필요한 집행권한도 없다. 행정안전부는 집행권한을 가지고 있지만 정부부처이기 때문에 독립성이 없고, 방송통신위원회와 금융위원회는 주된 업무가 해당 분야의 산업 발전과 규제를 동시에 담당하고 있어 종종 산업 발전을 명분으로 개인정보의 보호를 약화시킨다. (최근 <개인정보 비식별조치 가이드라인>이 대표적인 사례이다.)
또한, 감독기구가 분산되어 있기 때문에, 각 감독기구는 전문성을 갖기 힘들고 효율적인 집행에 한계가 있다. 우리 시민사회는 오래 전부터 개인정보보호위원회의 독립성을 보장하고 감독기구로서 필요한 권한을 부여함으로써, 개인정보보호위원회로 감독기구를 일원화할 것을 요구해왔다. 사실 한국정부는 이미 오래 전에 EU 적정성 평가를 추진한 바 있지만, 개인정보 감독기구의 독립성 문제로 EU로부터 부적격 통지를 받은 바 있다.
정보수사기관의 개인정보 접근 문제도 필요성과 비례성 요건을 갖추고 있지 못하고 있다. 예를 들어, 공공기관이 보유한 개인정보와 통신사들이 보유한 이용자의 가입자 정보가 영장없이 수사기관에 제공되고 있다. 특정 기지국에 접속한 이용자의 개인정보가 무분별하게 제공되거나 실시간 위치추적이 허용되는 등 통신사실확인자료에 대한 보호도 충분하지 않다. 정보수사기관의 개인정보 수집에 대한 독립적인 감독기구의 감독은 제대로 이루어지고 있지 않다. 유엔 시민적 정치적 권리규약 위원회(UN Human Rights Committee)도 한국정부에 영장없는 통신자료 제공, 기지국 수사, 국정원의 감청과 이에 대한 불충분한 규제 등에 대한 개선을 권고한 바 있다.
빅데이터 산업 활성화를 명분으로 법적 근거 없이 <개인정보 비식별조치 가이드라인>에 따라 (일부 비식별조치 된) 개인정보가 기업 간에 공유되고 있다. 개인정보보호법은 개인정보의 국외 이전 시 정보주체의 동의를 받고 있지만, EU의 적정성 결정과 같이 개인정보 보호수준이 한국보다 미흡한 국가로 개인정보가 이전되지 못하도록 규제하지는 않고 있다. 또한, 개인정보보호법은 프로파일링이나 자동화된 결정과 관련된 규정을 포함하고 있지 않다.
이와 같이 많은 문제점들로 인해 국내 개인정보 보호법제는 EU 적정성 평가를 통과하기 힘들다. 그러나 비단 EU 적정성 결정을 위해서가 아니라, 우리 시민들의 개인정보 보호를 위해서 국내 개인정보 보호법제는 국제적인 개인정보 보호규범에 맞게 개선될 필요가 있으며, 우리 시민사회는 이를 지속적으로 요구해왔다.
3. 부분 적정성 평가의 문제점과 한계
앞서 언급한 바와 같이, 한국 정부는 이미 EU 전체 적정성 평가를 추진한 바 있으나 감독기구의 독립성 문제로 EU로부터 부적정 통보를 받은 바 있다. 이에 한국 정부는 정보통신망법 중심의 부분 적정성 평가를 추진하고 있다. 그러나 이 역시 여러가지 문제점을 안고 있어서 EU로부터 적정성 결정을 받을 수 있을지도 의문이지만, 설사 적정성 결정을 받더라도 그 적용이 매우 제한적이라는 한계를 가질 수밖에 없다.
정보통신망법은 영리를 목적으로 한 ‘정보통신망 서비스제공자’가 수집하는 이용자의 개인정보로 그 관할 범위가 제한된다. 예를 들어 유럽 시장에 진출한 국내 정보통신서비스 제공자가 유럽의 피고용인의 개인정보를 수집하여 국내에서 통합 처리하는 경우, 오프라인 매장을 통해 수집한 고객정보의 처리, 보건의료나 금융 서비스 목적의 개인정보 수집 등도 정보통신망법의 적용을 받지 않는다.
또한, 정보통신망법에 관련 규정이 없어 개인정보보호법이 적용되거나(예를 들어, 개인정보보호법 제24조는 고유식별정보의 처리 제한을 규정하고 있는데, 정보통신망법에는 관련 규정이 없다), 국세청, 수사기관 등 정보통신망 외로 개인정보가 제공될 경우, 방송통신위원회는 감독권한을 행사하는데 한계가 있다.
또한, 우리는 부분 적정성 평가가 이루어질 경우 현재의 복잡한 개인정보 보호체계가 고착화되지 않을지 우려한다. 방송통신위원회가 부분 적정성 평가가 진행되고 있음을 명분으로 개인정보보호법으로의 법제 일원화나 개인정보보호위원회로 자신의 권한을 이양하는 것을 거부할 수 있기 때문이다. 부분 적정성 평가는 사실상 EU의 적정성 결정을 인정받기 힘들 뿐만이 아니라, 국내 개인정보 보호법제의 신속한 개선에도 장애가 될 수 있다.
4. 결론
따라서 한국의 시민사회단체는 한국 정부가 부분 적정성 평가를 추진하는 것보다 개인정보 보호법제를 개선한 후 전체 적정성 평가를 추진하는 것이 바람직하다고 생각한다. 우리는 한국과 유럽연합이 상호 전체 적정성 결정을 하고 함께 전 세계적으로 개인정보 보호수준의 향상과 표준화를 위해 기여할 수 있기를 바란다.
[1] European Commission, Digital Single Market – Communication on Exchanging and Protecting Personal Data in a Globalised World Questions and Answers, 2017.1.10
<끝>
경실련, 서울 YMCA, 소비자시민모임, 진보네트워크센터, 한국소비자연맹, 함께하는시민행동







![통계작성, 과학적 연구, 공익적 기록보존 등을 위한 처리근거 비교표. 우리 개인정보보호법과 유럽 GDPR을 비교하고 있다. 체계. 우리 개인정보보호법. 개인정보 처리근거와 무관하게 맥락없는 가명정보의 특례로 “동의받지 않고 활용할 수 있다”라고 구성되어 있음(제3절 가명정보의 처리에 관한 특례). 유럽GDPR. 양립가능성(제6조 제4항 본문)을 근거로 하여 공익적 기록보존 목적, 과학적 또는 역사적 연구 목적, 또는 통계 목적을 위한 추가 처리를 양립가능성 범위내로 예시함(전문 제50조, 제5조 제1항 b호 후문). 요건. 우리 개인정보보호법. 가명정보. 유럽GDPR. 가명처리는 안전조치의 하나일 뿐이지, 가명처리되었다고 하여 안전조치가 전부 충족된 것은 아니다. 정보주체의 권리 배제. 우리 개인정보보호법. 별도의 조건이나 제한없이 수집출처 등 고지의무(제20조), 개인정보 파기의무(제21조), 영업양도등에 따른 사전 통지의무(제27조), 개인정보 유출 통지의무(제34조), 열람권(제35조), 정정・삭제에 관한 권리(제36조), 처리정지 요구권(제37조), 정보통신서비스 사업자의 정보통신서비스 제공자의 개인정보 수집・이용에 관하여 이용자로부터 동의 등을 받을 의무(제39조의3), 개인정보 유출통지 및 신고의무(제39조의4), 개인정보 파기의무(제39조의6), 동의 철회에 관한 권리(제39조의7) 등 정보주체의 권리행사배제 (법 제28조의7). 유럽GDPR. - 과학적 또는 역사적 연구 목적, 통계 목적으로 처리되는 경우 일부 정보주체의 권리[제15조(열람권) , 제16조(정정권), 제18조(처리에 대한 제한권), 제21조(반대할 권리)]를 배제할 수 있으나, 이 경우에도 해당 권리가 목적의 달성을 불가능하게 하거나 중대하게 손상시키고, 그러한 배제가 목적달성에 필요한 경우에만 배제를 허용함. - 공익적 기록보존 목적일 경우에는 [제15조(열람권) , 제16조(정정권), 제18조(처리에 대한 제한권), 제19조(고지의무), 제20조(개인정보이동권), 제21조(반대할 권리)]를 배제할 수 있으나, 이 경우에도 해당 권리가 목적의 달성을 불가능하게 하거나 중대하게 손상시키고, 그러한 배제가 목적달성에 필요한 경우에만 배제를 허용함.](https://pspd-www.s3.ap-northeast-2.amazonaws.com/wp-content/uploads/2023/02/21103403/20230220_%ED%8C%90%EA%B2%B0%EB%B9%84%ED%8F%89_%EA%B9%80%EB%B3%B4%EB%9D%BC%EB%AF%B8%EB%B3%80%ED%98%B8%EC%82%AC_%ED%91%9C1.png)
시민들의 의견
댓글 달기